マジックリンク認証.

ユーザーが受信したワンタイム URL(メールや SMS)をクリックするだけでセッションが認証される、パスワードレス方式。 サイバーセキュリティの ID とアクセス カテゴリに属します。

ユーザーが受信したワンタイム URL(メールや SMS)をクリックするだけでセッションが認証される、パスワードレス方式。

マジックリンク認証は、パスワードの代わりに一度限り・有効期限付きの URL を、ユーザーが既に保有するチャネル(通常はメインのメールや検証済み電話番号)に送ります。リンクには短期間有効な署名付きトークン(JWT や不透明 nonce)が含まれており、アプリ側で検証してセッションと交換します。Slack、Notion、Substack、Vercel など多くの SaaS が既定のフローとして採用しているのは、パスワードの再利用や保管の問題を回避できるためです。NIST SP 800-63B では、チャネルが十分に独立していれば帯域外認証器(AAL2)として位置づけられます。リスクはリンクのフィッシング、メール乗っ取り、AiTM 中継などで、TTL の短縮、デバイスバインディング、ワンタイム化、パスキーやデバイス信頼との組み合わせで緩和します。

マジックリンク認証 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: メールマジックリンク, ワンタイムリンクログイン, パスワードレスリンク。