Skip to main content
ユーザーから提供されたメールアドレスを使用する場合、そのユーザーがそのメールアドレスにアクセスできることを確認することが重要です。これは、ユーザーにメールを送信する場合や、検索のインデックスとしてメールアドレスを使用する場合には常に当てはまります。Auth0 では、メールアドレスを、ユーザーが本人であることを確認する手段として使用することは推奨していません。 次のようなアプリケーションでは、メールアドレスの確認が重要です。
  • ユーザーを識別する主な方法の 1 つとしてメールアドレスを使用する
  • ユーザーにメールを送信する
  • アカウント リンクを勧めるためにメールアドレスを使用する
  • ユーザーがメールアドレスに紐づいたアカウントを作成できるようにする
Auth0 には、アプリケーションにメールアドレスの確認を追加する方法がいくつか用意されています。また、サインイン前にユーザーにメールアドレスの確認を必須にするa マーケットプレイス extensionもあります。
メールアドレスの確認によってアカウントが侵害されるリスクは低減できますが、万全な対策ではありません。アプリケーションによっては、ほかのセキュリティ対策も必要になる場合があります。

​
適切なアプローチを選ぶ

メールを確認済みまたは未確認としてマークする方法はいくつかあります。どの方法が適しているかを判断するために、自分やチームに次のような質問をしてみてください。
  • Auth0 内 (または Auth0 経由で接続されたデータベース内) に識別子とパスワードを保存していますか？ または保存する予定がありますか？
  • Auth0 の組み込みメールアドレス確認フローを使えないような、特別なメールアドレス確認要件がありますか？
  • 多数のユーザーを一括でメールアドレス確認済みに設定する必要がありますか？
  • Azure AD、ADFS、またはその他のエンタープライズ接続からのユーザーで、メールアドレス確認が必要な人はいますか？
識別子とパスワードを Auth0 に保存している場合、またはカスタム DB 接続を使って自分のシステムにユーザーを保存している場合は、Auth0 の組み込みメールアドレス確認フローを利用できる可能性が高いです。 Auth0 の組み込みフローを使えない要件がある場合や、多数のユーザーを一括でメールアドレス確認済みに設定する必要がある場合は、役立つ API エンドポイント を利用できます。 最後に、エンタープライズ接続のユーザーがいる場合は、それらの接続の一部で特別なメールアドレス確認ワークフローがサポートされています。詳しくは、Special Verification Support をご覧ください。 Auth0 でメールアドレスを確認する一般的な方法は、ユーザーにメールアドレス確認リンクを送信することです。ユーザーがそのリンクをクリックすると、ユーザーの email_verified フラグが true に設定されます。 Auth0 ではデフォルトで、ユーザーがサインアップしたときにメールアドレス確認リンクをメールで送信します。 また、Auth0 が確認メールを送信するタイミングをカスタマイズすることもできます。たとえば、メールアドレスを一括で確認する必要がある場合や、確認済みのメールアドレスが必要な操作をユーザーが行うまで確認を遅らせたい場合です。 ユーザーが確認メールを受け取るタイミングを制御する方法は 2 つあります。
  • email verification job を使用します。これにより、verify email template を使用して Auth0 から確認メールが送信されます
  • email verification ticket を作成し、メールを自分で送信します。その際、ユーザーがメールアドレスの確認に使用する ticket を含めます

​
ワンタイムパスワード

ワンタイムパスワード (OTP) は、すべてのユーザーのメールアドレスが確認済みであることを確実にするために、アカウント作成時に各新規ユーザーへメールで送信できます。メール確認リンクは、メールスキャナーやユーザー自身によって意図せず確認される可能性があるため、OTP を使用することで、各ユーザーが実在するメールアドレスを自ら確認したことを確実にできます。OTP を使用するには、テナントで Universal Login、Flexible Identifiers、および Identifer-First login が有効になっている必要があります。
phone と email 識別子の確認に使用する OTP トークンの有効期間は 900 秒です。
OTP を設定するには、Authentication > Database に移動して変更する接続を選択し、Attributes を開いて Email を見つけ、メニューボタンを選択して One-Time Password (OTP) を有効にします。

​
Management API を使ったカスタムまたは一括メールアドレス確認

これはソーシャル接続とデータベース接続では機能しますが、エンタープライズ接続では機能しません。データの取得元がソーシャルアイデンティティプロバイダーである場合、email_verified フィールドはそのプロバイダーによって上書きされる可能性がある点に注意してください。
場合によっては、別の方法でメールアドレスを確認したいこともあります。たとえば、確認対象のユーザー一覧を一括で処理したい場合や、自分で構築したカスタムワークフローでユーザーのメールアドレスを確認する場合です。 このような場合は、PATCH /api/v2/users エンドポイントを使って email_verified を true に設定できます。

​
特別なメールアドレス確認のサポート

Azure AD と ADFS のエンタープライズ接続では、Auth0 はいくつかのカスタムメールアドレス確認ワークフローをサポートしています。これにより、他のシステムから移行してくるユーザーのメールアドレスが確認済みであることを、正確かつ安全に確保できます。詳しくは、Azure AD と ADFS のメールアドレス確認 を参照してください。