1Password 2段階認証(2要素認証)の設定方法とログインできない時の対処法【2026年版】
1Passwordアカウント自体の2要素認証設定手順と、サイトごとのワンタイムパスワード保存機能の違いを整理。認証コードが通らない・QRコードが読めない・生体認証が効かない場合の症状別対処法を公式サポート情報をもとにまとめた。
※ 本記事にはプロモーションが含まれています。記事内リンクから申し込みがあった場合、筆者に紹介報酬が発生します。内容は独自調査に基づいており、報酬によって評価が変わることはありません。 #PR
エンジニアのゆとです。
「1Password 二段階認証」で検索すると、実は2つの別物が同じ検索結果に混在している。1Passwordアカウント自体をログイン時にもう1段階守る「2要素認証」と、GitHubやAWSなど他のサイトの2段階認証コードを1Password側で保存・自動入力する「ワンタイムパスワード機能」だ。名前が似ているせいで、設定しようとした人の半分くらいはどちらの話をしているのか分からないまま記事を読んでいる。
この記事ではまずこの2つ（と、もう1つ紛らわしいSecret Key）を整理した上で、実際に手を動かす設定手順、そして検索需要としても大きい「ログインできない」場面の症状別対処法をまとめた。認証コードが弾かれる、QRコードが読めない、機種変更で認証アプリが消えた、生体認証が急に効かなくなった——それぞれ原因も対処もまったく違う。
まず整理する — 「2段階認証」「2要素認証」「TOTP保存」は別物
検索上位の記事でもこの3つが曖昧なまま説明されているケースが多いので、先に表で整理しておく。
| 呼び方 | 何を守るか | 設定場所 | 忘れた/失った時の救済 |
|---|---|---|---|
| アカウントの2要素認証（2FA） | 1Passwordアカウントへのサインイン自体 | 1Password.comの「Manage Two-Factor Authentication」 | 認可済みデバイス／管理者回復／サポート |
| ワンタイムパスワード保存（TOTP） | GitHub・AWS等、他サービスへのログイン | 各ログイン項目の編集画面 | 1Password側は無関係。各サービス側のバックアップコードに依存 |
| Secret Key | 新規デバイスからのサインイン時の暗号鍵 | アカウント作成時に自動発行 | バックアップコードではない。紛失すると再生成以外の救済なし |
この記事の前半は「アカウントの2要素認証」、後半の「ログインできない」章はこの3つすべてを扱う。自分がどの話で困っているのかを最初に確認してから読み進めると早い。
なお、Secret Keyを忘れた・マスターパスワードごとロックされた場合の詳しい回復手順は別記事にまとめてある。今回の主題である2要素認証の話とは救済ルートが異なるので、混同しそうな場合は先にそちらを確認したほうがいい。
1Passwordアカウント自体に2要素認証を設定する手順
まずはアカウント本体を守る2要素認証の設定から。公式サポートの案内に沿うと次の流れになる。
- Google Authenticator・Microsoft Authenticatorなどの認証アプリを別途インストールしておく（1Password自身をここで使うことは公式も原則推奨していない。1Passwordが止まったときに認証手段まで同時に失うため）
- 1Password.comにブラウザでサインインし、プロフィールから「Manage Two-Factor Authentication」を開く
- 「Set Up App」を選ぶとQRコードが表示される
- QRコードの横に出る16文字のシークレットを控えて、Emergency Kitと同じ場所に安全に保管する。これがQRコードを読み取れない場合や機種変更時の命綱になる
- 認証アプリでQRコードをスキャンする
- アプリに表示された6桁のコードを入力して有効化を完了する
手順自体はシンプルだが、実務で効いてくるのは4番目の「16文字のシークレットを控える」というひと手間だ。ここを飛ばしてQRコードだけでセットアップを終えると、後述する「QRコードが読み取れない」「認証アプリを機種変更で失った」場面で詰む。
サイトごとのワンタイムパスワード（TOTP）を保存する方法
こちらは1Passwordアカウント自体の話ではなく、GitHubやAWS、各種SaaSにログインするときの2段階認証コードを1Password側に代行させる機能だ。設定方法は3パターンある。
- ブラウザ拡張機能: 対象サイトの2段階認証設定画面でQRコードを表示させ、1Passwordのログイン項目編集画面から「QRコードをスキャン」を選択する
- 1Passwordアプリ: ログイン項目の編集画面で「Add More」→「One-Time Password」を選び、同様にスキャンする
- 1Password.com: QRコードが読み取れない環境では、表示された文字列コードを手動でコピー＆ペーストする
設定が終われば、対象サイトのユーザー名・パスワードを自動入力する際に、6桁のワンタイムパスワードも一緒に自動入力される（macOS/Windows/Linuxのブラウザ拡張、iOS 18以降の自動入力に対応）。
見落としやすい注意点が1つある。ワンタイムパスワードの生成は時刻ベースのアルゴリズム（TOTP）を使っているため、デバイスの日時設定がズレていると認証が通らない。複数端末を使っている場合、まずここを疑う価値がある。次の章で扱う「認証コードが受け付けられない」の最頻出原因でもある。
「ログインできない」時の症状別対処フロー
ここからが検索需要としても大きい本題。症状によって原因も対処もバラバラなので、当てはまるものを探してほしい。
認証コードが「無効です」と弾かれる
一番多い原因はデバイスの時刻ズレだ。Mac・iOS・Windows・Androidいずれも、日時が「自動設定」になっているかをまず確認する。手動でタイムゾーンをいじった直後や、海外出張で時差のあるWi-Fiに繋いだ直後に発生しやすい。時刻を自動設定に戻して数分待つと直るケースがほとんどで、それでも直らない場合は認証アプリを一度削除して16文字のシークレットから登録し直す。
QRコードが読み取れない
カメラの権限、画面の明るさ不足、モニター越しの反射といった単純な原因のほか、そもそもQRコードを表示している端末とスキャンする端末が同じ1台しかない場合も読み取れない。この場合は表示画面の下に出ている文字列コード（手動入力用）を使う。前章で触れた「16文字のシークレットを控えておく」がここで生きてくる。
認証アプリを機種変更・紛失で失った
認証アプリのデータそのものが端末に紐づいている場合（クラウド同期を有効にしていない場合）、機種変更のタイミングでコードが生成できなくなる。この場合の対処は認可済みデバイスの有無で分かれる。
- 他に認可済みのデバイスがある場合: そのデバイスの1Passwordアプリから「Manage Accounts」→対象アカウント→「Turn off two-factor authentication」で一旦オフにし、新しい認証アプリで登録し直す
- 1Password.comにブラウザでサインインできる場合: プロフィールの「Manage Two-Factor Authentication」から同様にオフにできる
- どちらも使えない場合: 個人・ファミリーアカウントならリカバリーコード、ファミリー/チームなら管理者による回復ルートに頼ることになる。この場合の詳しい手順は別記事で扱っている
生体認証（Face ID / Touch ID / Windows Hello）が突然効かなくなった
これは今回扱う「2要素認証」の話とは別レイヤーの問題であることが多い。生体認証はあくまでアプリのロック解除を楽にする機能で、OS側の生体認証設定がリセットされた場合（OSアップデート直後や指紋・顔情報の再登録時）に発生しやすい。この場合、2要素認証の設定自体は壊れていないので、通常のアカウントパスワードでサインインし直せば復旧する。
Secret Keyを紛失した（2要素認証とは別問題）
Secret Keyは新しいデバイスから初めてサインインする際に必要な鍵で、2要素認証のコードとは完全に別物だ。公式サポートも「バックアップコードではない」と明言している。紛失した場合、ファミリー/チームなら管理者に再生成を依頼できるが、個人アカウントで完全に紛失すると自力での再取得手段はサポート経由以外にない。
自動入力そのものが効かない（ロックはされていないのにフォームに入力されない）場合は、また別の原因が絡んでいる。症状別の切り分けは別記事にまとめた。
フリーランスエンジニアの実務 — 開発ツールの2FAとop CLI
ここまでは一般的な話。エンジニアの場合、2要素認証はGitHub・AWSコンソール・Google Cloudなど開発ツール側にも積み重なっていて、手動でスマホの認証アプリを開く手間がそのまま作業の中断コストになる。
1PasswordのCLI（op）には、保存済みのワンタイムパスワードをターミナルから直接取得するオプションがある。
op item get "GitHub" --otpこれで対象ログイン項目に保存済みのTOTPコードがその場で標準出力される。JSON形式で他の値と一緒に取得したい場合は--format jsonを付ければ、"type": "OTP"のフィールドに現在のコードが含まれた形で返ってくる。CIスクリプトや社内ツールから、パスワードとOTPをまとめて1回の認証確認で取得したい場合はこの2つを続けて呼び出す構成が使われている。
op item get "GitHub" --fields password && op item get "GitHub" --otp
注意点として、これはあくまで個人アカウントに保存されたTOTPシークレットをCLI経由で読み出しているだけなので、1Passwordアプリ自体がロックされていれば当然取得できない。CI/CDのように人が介在しない場所で2FA付きのAPIを叩く必要がある場合は、個人のTOTP保存に頼るのではなくService Account、あるいはAPIキー・OIDC連携など2FAを介さない認証方式に切り替えるのが筋がいい設計になる。op CLIとClaude Codeを組み合わせたシークレット管理の具体的な設定は別記事で扱っている。
家族・チームでのアカウント共有と2要素認証
Family／Businessプランで1Passwordを共有している場合、2要素認証はメンバーごとに個別に設定するものであり、家族の誰か1人が設定すれば全員分がカバーされるわけではない。逆に言えば、自分の2要素認証が壊れても他のメンバーには影響しない設計だが、その分「自分が詰まったら自分で直すか、organizerに回復してもらうしかない」ことになる。フリーランスで家族アカウントを検討している場合の料金・運用面は別記事で整理した。
今すぐやっておく予防策
トラブってから対応するより、事前に3つ済ませておくほうが圧倒的に早い。
- 2要素認証設定時に表示される16文字のシークレットを控えておく。QRコードだけに頼ると、機種変更時にゼロから設定し直すしかなくなる
- デバイスの日時設定を「自動」にしておく。認証コードが弾かれる最頻出原因はこれ一つに集約される
- Emergency Kitを紙で保管し、Secret Keyの保管場所を家族/チームで共有しておく。2要素認証とSecret Keyは別問題だが、どちらも「事前に控えていないと詰む」という性質は同じ
まだ1Passwordを使っていない場合は、14日間の無料トライアルから2要素認証の設定を試してみるのが手っ取り早い。
FAQ
1Passwordの2段階認証と2要素認証は何が違うんですか
用語としては同じものを指している。1Password公式は英語で「two-factor authentication（2要素認証）」と表記しており、日本語記事では「2段階認証」と訳されることが多いだけで、設定手順・仕組みに違いはない。
1Password自体を他サービスの認証アプリとして使うのは危険ですか
公式は積極的には推奨していない。1Passwordがロックされたときに、ログインパスワードと2段階認証コードの両方を同時に失うことになるためだ。可能であれば、1Passwordのマスターパスワード解除に使う認証アプリだけは別のアプリ（Google Authenticator等）に分けておくほうが安全性は高い。
2要素認証を設定すると毎回コードの入力が必要になりますか
信頼済みデバイスとして登録すれば、毎回の入力を省略できる設定もある。ただし社給端末やクライアントの環境を頻繁に切り替えるフリーランスの場合、信頼済みデバイスの範囲が広がりすぎるとセキュリティ上のメリットが薄れるので、案件ごとに使い分けている端末では都度確認する運用のほうが実務的には安全に倒しやすい。
認証アプリを機種変更する前に何をしておくべきですか
新しい端末を用意した時点で、旧端末の認証アプリからバックアップ・移行機能を使うのが一番安全。それができない場合は、事前に控えておいた16文字のシークレットを新しい認証アプリに手動入力すれば同じコードが生成できる。どちらも用意していない状態で機種変更してしまうと、認可済みデバイスかリカバリーコード経由の回復に頼るしかなくなる。
まとめ
1Passwordの「2段階認証」で検索して迷子になる一番の原因は、アカウント自体の2要素認証とサイトごとのワンタイムパスワード保存、そしてSecret Keyという3つの別物が同じキーワードで語られていることだった。まず自分がどの話で困っているのかを切り分ければ、対処はそれぞれ難しくない。
ログインできない場面のほとんどは、デバイスの時刻ズレか、16文字のシークレットを控えていなかったことに起因する。逆に言えば、この2つさえ事前に押さえておけば、機種変更やQRコード読み取り不能といったトラブルの大半は防げる。エンジニアであれば、op CLIでのOTP取得とCI/CDでのService Account運用を分けて設計しておくところまでやっておくと、個人アカウントの2FAトラブルが仕事の障害に波及しにくくなる。
