注: 2023 年 3 月より、GitHub では、GitHub.com でコードを投稿するすべてのユーザーに、1 つ以上の形式の 2 要素認証 (2FA) を有効にすることが求められます。 該当するグループに属しているユーザーは、そのグループが登録対象として選択されると通知メールを受け取り、45 日間の 2FA 登録期間が開始されて、GitHub.com での 2FA への登録を求めるバナーが表示されます。 通知を受け取らないユーザーは、2FA を有効にする必要があるグループには含まれませんが、有効にすることを強くお勧めします。
2FA 登録のロールアウトについて詳しくは、こちらのブログ記事をご覧ください。
GitHub では、2 番目の形態の認証は、モバイル デバイス上のアプリケーションで生成されたまたはテキスト メッセージ (SMS) で送信されたコードです。 2 要素認証を有効にすると、誰かがアカウントにサインインしようとするたびに、GitHub によって認証コードが生成されます。 本人のアカウントにサインインできるのは、パスワードを知っていて、本人の携帯電話で認証コードにもアクセスできる方だけです。
2FA を構成した後、時間ベースのワンタイム パスワード (TOTP) mobile app を使用するか、text messageを使用して、FIDO2 ハードウェア セキュリティ キー、Apple Touch ID または Windows Hello などのセキュリティ キーを追加できます。 セキュリティキーを使用した認証を可能にする技術は、WebAuthnと呼ばれます。 WebAuthnはU2Fの後継であり、現代的なすべてのブラウザーで動作します。 詳細については、「WebAuthn」と使用できるかに関するページを参照してください。
必要に応じて、アカウントにパスキーを追加できます。 パスキーはセキュリティ キーに似ています。 ただし、パスキーはパスワードと 2FA の両方の要件を満たすので、1 つの手順でアカウントにサインインできます。 パスキーの対象となる 2FA のセキュリティ キーを既に構成している場合は、パスキーの登録中にセキュリティ キーをパスキーにアップグレードするように求められる場合があります。 「パスキーの概要」を参照してください。
TOTP モバイル アプリまたはテキスト メッセージを構成した後、2FA に GitHub Mobile を使用することもできます。 GitHub Mobile では、公開キー暗号を使ってアカウントをセキュリティで保護しているので、2 番目の要素として GitHub Mobile へのサインインに使ったモバイル デバイスを使用できます。
2 要素認証の認証情報にアクセスできなくなった場合に備えて、追加のリカバリ方法を設定することもできます。 2FA の設定の詳細については、「2 要素認証を設定する」と「2 要素認証リカバリ方法を設定する」を参照してください。
注: どの復旧方法も使用できない場合は、アカウントへのアクセスが完全に失われています。 ただし、ロックされたアカウントに関連付けられているメール アドレスのリンクを解除することはできます。 リンクを解除したメール アドレスは、その後新規または既存のアカウントにリンクできます。 詳しくは、「ロックされたアカウントからメール アドレスのリンクを解除する」を参照してください。
アカウントの安全のため、GitHub でだけでなく、2FA をサポートする他の Web サイトやアプリでも、2FA を有効にすることを強くお勧めします。 2FA が GitHub および GitHub Desktop にアクセスできるようにすることができます。
2FA を有効にしない場合、GitHub は、新しいデバイスまたは認識されないデバイスから初めてサインインしたときに自分であることを確認するために、追加の検証を求めることがあります。 「サインイン時の新しいデバイスを確認」を参照してください。
詳しくは、「2 要素認証を利用した GitHub へのアクセス」を参照してください。
2 要素認証のリカバリコード
2要素認証を設定する際には、2FAリカバリコードをダウンロードして保存することになります。 電話が使えなくなった場合は、リカバリコードを使ってGitHubに認証を受けることができます。 詳細については、「2 要素認証クレデンシャルをなくした際のアカウントの回復」を参照してください。
警告: 2 要素認証の認証情報をなくしたり、アカウントのリカバリ方法が利用できなくなったりした場合、セキュリティ上の配慮から、GitHub サポートでは 2 要素認証が有効になっているアカウントへのアクセスは復元できません。 詳細については、「2 要素認証クレデンシャルをなくした際のアカウントの回復」を参照してください。
Organization で 2 要素認証を要求する
組織の所有者は、その組織のメンバー、課金マネージャー、および外部のコラボレーターが個人アカウントを保護するために 2 要素認証を使うことを要求できます。 詳しくは、「Organization で 2 要素認証を要求する」を参照してください。