オレンジAuth
01
1つの入口で、すべてのサービスへ
オレンジメール・オレンジフォーム・オレンジセールスのログインは、オレンジAuth を通ります。守りの決まりを1か所にまとめているので、新しい守りを入れると、すべてのサービスが同時に強くなります。
02
パスワードを覚えなくていい
パスキーを使えば、指紋・顔・PIN だけでログインできます。パスワードを入れて、確認コードを待つ手間がなくなります。Google アカウントでのログインにも対応しています。
03
守りを、何層にも重ねる
ひとつの守りが破られても、次の守りで止まるように、入口からログインのあとまで守りを重ねています。
総当たりを、締め出さずに止める
パスワードの誤りが続いたら、まず確認コードを求め、それでも続けば段階的にロックします。他人がわざと誤ってロックさせる嫌がらせにも強い作りです。
再設定も、確認コードで
パスワードの再設定は、再設定を始めたブラウザでしか使えない確認コードで行います。メールを転送されても、他人には進められません。
04
いつもと違うログインに、気づく
知らない端末、初めての国、データセンターからの接続など、ログインのたびに様子を確かめて点数にします（リスクベース認証）。いつもどおりなら確認を省き、いつもと違うときだけ、追加で本人を確かめます。
05
機能一覧
ログイン
- パスキー指紋・顔・PIN でログイン。1つのアカウントに複数の端末を登録できる
- Google でログインGoogle アカウントでログイン。Google の2段階認証がそのまま効く
- 2段階認証パスワードでのログインに、SMS・音声通話・メールの確認コード
- 信頼済みのブラウザ一度確認したブラウザでは、確認コードを省く
- パスワードでのログインを OFFパスキーか Google を登録すれば、パスワードを使わない設定にできる
不正ログイン対策
- リスクベース認証いつもと違うログインに気づき、追加で本人を確かめる
- 大事な操作の前の本人確認メールアドレス・電話番号・パスワード・ログイン方法の変更の前に確かめる
- 総当たり対策パスワードの誤りが続くと、確認コードを求め、段階的にロックする
- ボット対策Cloudflare Turnstile で、人の操作かどうかを確かめる
- お知らせのメールいつもと違うログインや、ログイン方法の登録・削除をメールで知らせる
アカウントの管理
- ログイン設定パスキーの登録・削除、Google との連携、パスワードでのログインの ON・OFF
- ログインしている端末端末の一覧を確認し、端末ごとにログアウトできる
- すべての端末のログアウトパスワードの変更や乗っ取りの疑いのとき、すべての端末をログアウトさせる
パスワード
- NIST SP 800-63B に沿った決まり長さを重んじ、文字の種類の組み合わせは求めない
- 流出したパスワードの照合流出したパスワードの一覧にあるものは使えない
- 安全な保存bcrypt で、元の文字に戻せない形で保存する
- 確認コードでの再設定再設定を始めたブラウザでだけ使える確認コードで、パスワードを決め直す
登録
- 使い捨てアドレスの拒否使い捨てのメールアドレスや、メールを受け取れないドメインでは登録できない
- 重複登録の防止同じ受信箱に届く別名のアドレスで、何度も登録できない
NIST SP 800-63BFIDO2・WebAuthn（パスキー）OAuth 2.0・OpenID ConnectCloudflare Turnstile