マジックリンクとは？仕組み・OTPとの違い・デメリットを解説

マジックリンクとは、メールやSMSなどで届く一時的なURLをクリックし、パスワードを入力せずにログインする認証方式です。「マジックリンク認証（Magic Link Authentication）」とも呼ばれ、会員登録、ログイン、パスワード再設定などで利用されます。

ただし、マジックリンクの安全性は、メールアカウントの管理状況やリンクの有効期限、フィッシング対策などに左右されます。すべての認証シーンに適しているわけではありません。この記事では、マジックリンクの仕組み、メリット・デメリット、OTPとの違い、自社サービスで使い分ける際の判断ポイントを解説します。

先に結論

マジックリンクは「届いたURLを開いてログインする方式」、OTPは「届いた認証コードを入力する方式」です。通常のログイン操作を簡単にしたい場合はマジックリンクが候補になります。一方、重要操作の前に再確認したい場合や、メール以外の認証チャネルが必要な場合は、OTPなどの追加認証を検討します。

マジックリンク認証の仕組み

マジックリンク認証では、サービス側が一時的なURLを発行し、ユーザーのメールアドレス宛に送信します。このURLにはユーザー認証に使う一意のトークンが含まれており、ユーザーがリンクをクリックすると、サーバー側でトークンの有効性を確認します。

トークンが有効期限内で、まだ使用されていない場合は認証に成功し、ログイン、会員登録、パスワード再設定などの処理に進みます。有効期限切れ、使用済み、改ざんされたURLの場合は認証に失敗するため、新しいリンクの再発行が必要です。

ここでは、メールで送信する一般的なマジックリンクを例に、認証の流れを説明します。

• 1

  メールアドレスを入力する

  ユーザーがログイン画面、会員登録画面、またはパスワード再設定画面でメールアドレスを入力します。
• 2

  一時的なトークンを生成する

  サービス側が一時的なトークンを生成し、そのトークンを含むマジックリンクを作成します。
• 3

  マジックリンクを送信する

  サービス側がマジックリンクを記載した案内メールをユーザーに送信します。
• 4

  ユーザーがリンクを開く

  ユーザーがメールを開き、本文内のマジックリンクをクリックします。
• 5

  トークンを検証する

  サーバー側でトークン、有効期限、使用済みかどうかを検証します。
• 6

  ログインを完了する

  検証に成功すると、ログインや対象アカウントへのアクセスが許可されます。失敗した場合は、新しいリンクの再発行を案内します。

1回だけ使える、または一定時間だけ有効な一時URL全般を「ワンタイムリンク」や「ワンタイムURL」と呼ぶことがあります。ログインや一時的なアクセス許可に使うワンタイムリンクは、マジックリンクと呼ばれることがあります。一方、メールアドレスの確認だけを目的とするリンクとは、役割を分けて考える必要があります。

マジックリンクのメリット・デメリット

マジックリンクは、パスワード入力やコード入力の手間を減らしやすい認証方式です。一方で、メールアカウントの安全性やリンク管理に依存するため、導入時にはメリットとデメリットの両方を確認する必要があります。

マジックリンクを安全に利用するための確認事項

マジックリンクを導入する場合は、リンクを送信するだけでなく、発行、利用、失効、再発行まで含めて管理します。運用開始前に、次の項目を確認しておきましょう。

• 推測されにくいトークンを生成し、URLに短い有効期限を設定する
• リンクを1回だけ利用できるようにし、使用後は無効化する
• 再発行や送信の回数を制限し、第三者による大量送信を防ぐ
• HTTPSと信頼できるドメインを使用し、URL内のトークンが外部サイトへ送信されないようにする
• 不審なログインや通常と異なる端末からのアクセスを確認できるようにする
• 重要な操作では、想定するリスクに応じて追加認証を組み合わせる

トークンの生成、有効期限、1回限りの利用、送信回数の制限については、OWASPのForgot Password Cheat Sheetも参考になります。重要操作や不審な挙動の後に再認証を求める考え方は、Authentication Cheat Sheetで確認できます。

マジックリンクとOTPの違い・使い分け

マジックリンクは、パスワードを入力せずにログインする方式です。OTPは、パスワードを使わない認証にも、パスワードやマジックリンクに追加する認証にも利用されます。主な操作の違いは、ユーザーがリンクを開くか、認証コードを入力するかです。

マジックリンクは、メールなどで届く一時的なURLを開いて認証する方式です。一方、ワンタイムパスワード（OTP）は、SMS、メール、音声通話、WhatsAppなどで届く認証コードを入力する方式です。

OTPの詳しい仕組みや種類は別記事で解説しているため、ここではマジックリンクとの違いと使い分けに絞って整理します。

マジックリンクが向いている場面

OTPの追加を検討する場面

ただし、OTPを追加すれば、すべての高リスクな認証に対応できるわけではありません。必要な認証方式は、操作内容、アカウントの重要度、想定する攻撃リスクに応じて判断します。場合によっては、OTP以外の認証方式も含めた多要素認証を検討します。

EngageLab OTPを追加認証に使う場合

EngageLab OTPは、マジックリンク自体を発行するサービスではありません。マジックリンクを通常のログインに利用し、重要操作では認証コードによる再確認を追加したい場合などに利用できます。

EngageLab OTPは、SMS、メール、音声通話、WhatsAppを利用した認証コードの送信に対応しています。電話番号向けの認証では、SMS、WhatsApp、音声通話の中からメイン送信チャネルを設定し、必要に応じて最大2つのフォールバックチャネルを追加できます。チャネルの構成条件は、テンプレート管理の公式ドキュメントで確認できます。

メールは電話番号向けチャネルとは別の送信方式として設定します。また、送信APIと検証APIを利用して、既存サービスの認証フローにOTPを組み込めます。

認証要件やフォールバック構成を整理したい場合は、現在のログインフローや対象ユーザーを確認したうえでご相談ください。まず管理画面やAPIを試したい場合は、アカウント登録から始められます。

まとめ

マジックリンクは、メールなどで届く一時的なURLを開き、パスワードを入力せずにログインする認証方式です。ログイン操作を簡単にしやすい一方で、メールアカウントの管理状況、リンクの有効期限、1回限りの利用設定、フィッシング対策が安全性に影響します。

通常のログインではマジックリンクが候補になりますが、重要操作の前に再確認したい場合や、メール以外の受信手段が必要な場合はOTPを追加する方法があります。どの方式を使うかは、ユーザーの操作負担だけでなく、対象アカウントと操作のリスクを基に判断しましょう。