パスワード付きリンクの安全性：クリックするとどうなるか

パスワード付きのショートリンクはシンプルです。あなたがパスワードを入力し、他の人がそのリンクがどこへ向かうかを確認するために同じパスワードを入力する必要があります。背景ではもう少し複雑なことが起きています。何が、なぜ、そしていつそれが役立つかをご紹介します。

なぜリンクにパスワードで保護する必要があるのか

意味のある3つの文脈：

特定の人物のみに表示したいコンテンツ。 プレミアム顧客向けの価格表、公開前のベータ版ドキュメント、コースの購入者向けトレーニング資料。パスワードがないと、誰かが検索エンジンでこのリンクを見つけたり、第三者から入手したりする可能性があります。

寿命が短いコンテンツを閉じ込めたい場合。 金曜日の特別オファー、参加者のみ利用可能な会議資料。パスワードはリンクを制御されたアクセスに変えます — 訪問者があなたから直接パスワードを受け取り、第三者経由ではないことを確信できます。

公開はしたいが、コントロールも維持したいコンテンツ。 完全な価格表、社内製品プロセス、顧客向けオファー。リンクは送信可能ですが、パスワードなしでは誰もアクセスできません。

パスワードを設定すると何が起こるのか

リンク作成フォームにパスワードを入力します。パスワードは即座に暗号化され、読み取れない文字列に変換されます。「保存」をクリックした瞬間、「パスワードが「secret123」である」という事実自体が消滅します。サイト管理者である私でさえ、それを読むことはできません。

データベースには何が保存されているか：パスワードではなく、指紋（技術的には「ハッシュ」）— これはあなたが正確に同じものを入力した場合のみ一致する文字列です。誰かが当社のデータベースに侵入しても、得られるのはこれらの文字列だけであり、あなたのリンクのパスワードではありません。

私たちは、ネットワーク上のほとんどのログインシステムで使われている業界標準をこれに使用しています。これは意図的に計算コストがかかるように設計されており、ハッカーがデータベースを盗んだとしても、パスワードを当てるために数百万年待つ必要があります。

リンクをクリックすると何が起こるか

1. 訪問者は直接リダイレクトの代わりにロック画面を表示します。短いメッセージ「このリンクはパスワードで保護されています」と入力フィールドが表示されます。
2. パスワードを入力して「解除」をクリックします。パスワードはサーバー上で保存されたハッシュ値と比較して検証されます。
3. 一致する場合 — 訪問者は有効期限24時間のセッショントークンを受け取ります。次の24時間中はパスワードを再入力することなくこのリンクにアクセスできます。記憶する必要はありません。
4. 一致しない場合 — エラーメッセージが表示されます。同じIPアドレスから5回試行すると、5分間のブロックが行われます。ボットによる強制侵入は防止されます。

私たちがしないこと

• パスワードを平文でログに記録しません。 決して。デバッグ用のログですら同様です。
• パスワードをメールで送信しません。 ユーザーがパスワードを忘れた場合でも、当社からリマインドすることはできません—なぜなら当社もパスワードを知らないからです。パスワードは、そのアカウントから受信した元の経路を通じて再送する必要があります。
• パスワードを第三者に送信しません。 外部の分析ツール、マーケティングツール、AIサービスなど、いかなるサードパーティもこれらのデータにアクセスできません。

実践的なヒント

明らかなパスワードは作成しないでください。 会社名＋設立年は弱いアイデアです。ブラウザのパスワードジェネレーターの方が優れています。

パスワードと同じチャネルでリンクを送信しないでください。 メールでリンクを送信する場合は、パスワードはSMSで送信してください。その逆でも構いません。こうすることで、1つの通信チャネルへの不正アクセスが完全なアクセス権の奪取につながらなくなります。

同じターゲットURLに対して、異なるパスワードを持つ複数のリンクを作成できます。 これは、異なる人にアクセス権限を与える際に便利です。特定のリンクのアクセス期限が切れた場合でも、他のユーザーへの影響を与えずにそのリンクのみを無効化できます。

パスワードは新しいリンクを作成せずに変更できます。 パネルで「編集」→ 新しいパスワードを入力してください。すべての有効な24時間のセッションは即時失効し、訪問者はすべて新しいパスワードを入力する必要があります。

パスワードでは不十分な場合

パスワードは、公開インデックスや偶然のアクセスから保護します。ただし、パスワードを知っていてそれを共有しようとする人物からは保護されません。 あなたのシナリオで「特定の一人の人だけがこれを見られるようにする」必要がある場合、追加でログイン、ユーザーアカウント、認可が必要です。これはより高度な機能レベルであり（今後のProプランで計画されています）。

95%の場合、「不特定多数に見られたくない」という理由であれば、パスワードで十分です。

自分で試す — リンクを作成する際に「詳細オプション」を選択し、「パスワードを追加」をクリックします。