ログイン画面でパスワードを入れる。スマホに届いた確認コードを打ち込む。指紋や顔でスマホのロックを外す。どれも、アクセスしてきた相手が本当に名乗っているとおりの本人かを確かめる動きで、これを認証と呼びます。
建物の受付にたとえると分かりやすいでしょう。来た人が名前を口で言うだけでは通さず、身分証や予約情報を見て「たしかにその人だ」と確認してから中へ案内する。Webサービスでも、ここを通らないと、その先の機能や情報へは進めません。人だけでなく、APIを呼び出してきたプログラムが正当な相手かを確かめるのも認証の仕事です。
確かめる材料は一つとは限らない
本人確認に使う材料には、いくつかの種類があります。ID とパスワード、一度きりのワンタイムコード、パスキー、生体認証。どれを使うかは、守りたいものの重さで決めます。
パスワードは漏れたり使い回されたりしやすいので、管理画面のように被害が大きい場所では、パスワードだけに頼らず別の材料を組み合わせます。種類の違う2つを重ねるのが二要素認証です。
ログインした後も、確認は続く
一度ログインしたら、ずっと本人とみなしてよいわけではありません。席を離れた間に他人が触るかもしれない。だから、一定時間がたったら確認し直す場面、たとえば支払いや設定変更の前にもう一度パスワードを求める場面を決めておきます。
パスワードが漏れたときに備えて、利用者が自分で再設定できる道筋や、管理者がアカウントを無効にできる手順も用意しておきます。
認証で分かるのは「誰か」までです。その人が何を見てよく、何を操作してよいかは、認可という別の仕組みで決めます。2つの関係は認証と認可の違いで詳しく比べています。