クライアントのアカウントの二段階認証を運用チームで受けるには

二段階認証は、パスワードのあとに、登録したスマホなどに届くコードで本人を確かめる仕組みです。クライアントのアカウントにこれが付いていると、コードは登録した端末や番号にだけ届きます。その先が 1 人のスマホだと、チームのほかの人は入るたびにその人に連絡し、コードを教えてもらいます。受け渡しを減らす方法は 2 つあります。担当者ごとに入れる形に切り替えることと、それでも残るアカウントの受け取り先をクライアントと決めることです。二段階認証の仕組みそのものは二段階認証(二要素認証)とはで説明しています。

媒体ごとの方式と、担当者ごとに入る仕組み

公式ヘルプにある方式と仕組みは次のとおりです。

X の SMS は、Premium の加入者でも国や通信会社によって使えないことがあります。LINE 公式アカウントは、LINE アカウントでログインするときはメールのコードが要らず、LINE アプリで認証番号を入れます。ビジネスポートフォリオからの付け方はMeta のビジネスポートフォリオで代理店に権限を付与する仕組みにあります。

表の媒体にはどれも担当者が自分のアカウントで入る仕組みがあるので、コードの受け渡しが要るのは所有者のログインを使う場面だけです。

担当者ごとに入る形に切り替える

権限付与で担当者を招待してもらうと、コードの受け渡しはなくなります。担当者は自分のアカウントでログインし、二段階認証もその人のアカウントに付くからです。X のヘルプでは、メンバーは管理者かコントリビュータ(投稿などができる役割)として招待を受け、自分のアカウントで承諾して使います。パスワード・電話番号・ログイン認証の設定を管理できるのは所有者だけです。LINE 公式アカウントの権限設定マニュアルでは、メンバーは発行した認証用 URL から 1 人ずつ追加します。Google 広告では、招待されたユーザーはそれぞれの Google アカウントで入ります。MCC(クライアント センター)は、代理店が複数の広告アカウントをまとめて管理するためのアカウントです。Google の開発者向けの資料によると、MCC が所有するアカウントでは、MCC の管理者がそのユーザーに二段階認証を有効にするよう求められます。この所有者としての権限は、MCC にリンクしただけでは付きません。

切り替えには、媒体の規約とヘルプの側からの理由もあります。Meta の利用規約(Facebook に適用)は、利用者の誓約として「自分のパスワードを共有したり、自分のFacebookアカウントに他人をアクセスさせたり」しないことを挙げています。同じ規約は、パスワードを人に求めたり集めたりすることも禁じています。Instagram の利用規約は、ほかの利用者のログイン情報やパスワードを求めたり取得したりしようとすることを禁じています。LINE ビジネス ID に適用される LINEヤフー共通利用規約は、他人にアカウントやパスワードを教えることを禁止事項に挙げています(第 1 章 15 (14))。X のヘルプは、パスワードを所有者か管理者だけが知っている状態を保つよう求めています。

Google 広告には別の事情もあります。開発者向けの資料によると、機密情報にかかわる操作の承認に、パスキー(スマホの指紋や顔の確認などでログインする方式)を求める場合があります。パスキーは端末に結び付いているので、コードのように人に伝えられません。

所有者のログインが残るアカウント

それでも、次の場合は所有者のログインが残ります。

• 表にない媒体で、招待の仕組みがない
• 所有者にしかできない操作がある(X のログイン認証の設定など)
• クライアントに招待の操作を頼めない

ただし、Facebook・Instagram・LINE 公式アカウントは前の節の規約に当てはまるので、招待に切り替えるのが前提です。招待を頼めない事情があれば、クライアントと話して解消します。X もヘルプで共有を避けるよう求めているので、所有者のログインを使うのは所有者にしかできない操作に限ります。残ったアカウントでは、コードを受ける場所を次のどれかに決めます。

クライアントの担当者の端末で受け、その都度聞く

受け取り先を変えないので、クライアント側の設定はそのままです。その代わり、クライアントの担当者が休みの日や夜間は入れません。コードはチャットや電話で運用代行会社に渡ります。誰が頼み、誰が入力したかは、頼んだ側で書き留めないと残りません。使う回数が少ないアカウントに向く形です。

運用代行会社が管理する端末や番号で受ける

受け取り先を、運用代行会社が会社として管理するスマホ、電話番号、メールアドレスに変えてもらう形です。担当者個人のスマホにしないのは、その人が辞めた日から誰もコードを受けられなくなるからです。所有者はクライアントなので、変えるかどうかはクライアントが決めます。Google 広告のヘルプによると、電話番号などの「再設定用の情報」は、変えてから Google のサービス全体に反映し終えるまで、最長で 7 日ほどかかることがあります。その間は追加の確認を求められることがあります。変更は急ぎの作業の前に済ませ、契約が終わるときに戻す手順も一緒に決めておきます。

認証アプリをチームの複数台に登録する

Instagram のヘルプは、1 つのアカウントに複数の端末を登録できることを、認証アプリを勧める理由に挙げています。ただし、その端末を複数人で持つことには触れていません。チームの複数人のスマホに登録すれば受け渡しはなくなりますが、どのスマホも同じコードを出すため誰が使ったかは残らず、人が抜けるたびに設定し直します。この形の問題は共有アカウントの二段階認証を複数人で使うときの問題と選択肢で扱っています。

どの形を選んでも、予備のコードの扱いを決めておきます。Facebook では二段階認証を設定すると、スマホが使えないときのためのログインコードを 10 個受け取れます。X では SMS で登録したあとに、予備のコードが画面に出ます。どちらも受け取り先の代わりになるので、受け取り先と同じ扱いにします。

クライアントと決めておくこと

所有者のログインが残るアカウントは、次の 5 点をクライアントと決めて、預かっているアカウントの一覧に書き込みます。

1. 所有者のログインを使うアカウントと、その理由。招待に切り替えられるアカウントが混ざっていないかを確かめるためです。
2. コードの受け取り先と、その端末や番号の持ち主。持ち主が辞めたり異動したりした日に、誰が受け取り先を変えるかを決めておくためです。
3. 受け取り先を変えるときの頼み方と時期。変更はクライアントの操作で、反映に日数がかかる媒体もあるためです。
4. 予備のコードの保管場所と、見られる人。
5. 誰がいつコードを使ったかの残し方。媒体の記録はアカウント単位で、運用代行会社の側で残さないと担当者まで分からないためです。

担当者が交代するときに受け取り先をどう引き継ぐかは、運用担当者の交代・退職時のアカウント引き継ぎチェックリストにまとめています。