ログインの方式をどう決めるか ── パスワード・Googleログイン・招待制の使い分け

「ログインはパスワードでいいですよね」と言われることも、「Googleでログインできますか」と聞かれることもあります。どちらが合うかは、使う人が誰かで決まります。社内の10人だけか、取引先の担当者も触るか、一般の人が登録するか。この3つで、向く方式も増える画面の数も変わります。

ログインしたあとに誰に何を見せるかは業務システムの権限をどう決めるかに、パスワードの保存方法や通信の暗号化は業務システムのセキュリティ、最低限どこまでやるかに書いたので、ここでは繰り返しません。

方式は5つ。違いは「本人だと何で確かめるか」

方式は名前こそ多いですが、本人だと何で確かめるかで整理すると5つに収まります。

方式	本人だと確かめるもの	向く場面	弱いところ
パスワード	本人だけが知っている文字列	一般の人が自分で登録する	忘れる。再設定の仕組みが要る
Google / Microsoft のアカウント	会社や本人が持っているアカウント	Google Workspace や Microsoft 365 がある社内	アカウントを持たない人は入れない
メールのリンク（マジックリンク）	そのメールを受け取れること	たまにしか開かない取引先	メールが届かないと止まる。毎回メールを開く
招待制（管理者が発行）	管理者が「この人」と決めたこと	取引先、現場	招待と停止を誰がするかを決めておく
二段階認証	上のどれかに持っている端末を足す	管理者、金額を扱う人	機種変更で入れなくなる

招待制だけ性質が違います。上の3つは「どう確かめるか」、招待制は「誰を入れるか」の話で、組み合わせて使います。二段階認証も方式を置き換えるのではなく、上に足す層です。

社内だけで使うなら、会社のアカウントでそのまま入る

会社でGoogle WorkspaceかMicrosoft 365を使っているなら、私たちはそのアカウントでログインする形を最初に提案します。新しいパスワードを誰も覚えなくてよく、ログイン画面は「Googleでログイン」のボタン1つです。会社のドメインだけ許可すれば、部外者のGoogleアカウントでは入れません。

会社のアカウントがない場合はパスワードになりますが、各自が自由に登録する形にはせず、管理者が利用者を登録し、本人が最初のパスワードを設定するリンクをメールで受け取る形にします。部署で1つのメールアドレスを共有していると誰がログインしたかが残らないので、1人1つのアドレスは用意しておいてください。

現場の人がスマホで使う場合は、方式より「毎回ログインさせない」ほうが効きます。一度ログインしたら数週間は保ち、開いたらすぐ入力画面にします。現場がスマホで入力し続ける画面と同じで、ログインも現場には入力の1つです。

取引先が使うなら、招待制とメールのリンク

取引先の担当者は、月に数回しか画面を開きません。パスワードにすると開くたびに忘れていて、再設定の問い合わせが自社の事務に来ます。覚えるものがないメールのリンクのほうが双方の手間が減ります。

それと、取引先に自分で登録させる形にはしません。どの会社の誰なのかを自社の側で決めておかないと、「自社の分だけ見せる」制限が成り立たないからです。管理者が会社と担当者のメールアドレスを登録して招待メールを送り、担当者はそのリンクから入ります。

架空の想定例です。部品の受発注で、取引先が30社、担当者は各社1〜3名。事務が取引先マスタに担当者のメールアドレスを入れると招待メールが届き、担当者がリンクを開くと自社の注文だけが見える。担当者が代わったら、前の人を停止して新しい人を招待する。取引先に覚えてもらうことは、注文を見るときにメールを開く、それだけです。

一般の人が使うなら、パスワードと、ログインなしの選択肢

会員向けの予約やマイページのように、一般の人が自分で登録する場合は、パスワードが基本です。Googleでログインするボタンを横に置くと、登録の途中でやめる人が減るというケースが多いです。パスワードにする以上、新規登録、メール確認、再設定の依頼と再設定の画面が一式ついてきます。

その前に、ログインなしで済ませられないかを考えます。予約なら、予約番号とメールアドレスで自分の予約を確認できれば足ります。年に1〜2回しか使わない人にパスワードを作らせると、次に来たときに再設定から始まります。登録してもらうのは、何度も使う人が出てからでも間に合います。

身分証による本人確認が要る場合は別物です。金融や中古品の買い取りのように法律で求められる業種では、ログインとは別に確認の仕組みが要り、私たちの初期費用には含めていません。該当しそうなら専門家に確認したうえで、最初のお打ち合わせで教えてください。

二段階認証はどこまで要るか

最初から全員には求めません。対象は管理者と、金額や個人情報を扱う役割からです。入力の手間が1つ増えるだけで、現場の人ほど使わなくなります。利用者の停止、CSV出力、単価の変更ができる人には求め、入力だけの人には求めない。権限の表と同じ線です。

方法は認証アプリかSMSで、社内なら電話番号の管理が要らない認証アプリを勧めています。GoogleやMicrosoftのアカウントでログインする形なら、会社側の二段階認証がそのまま使えて、画面を足さずに済みます。機種変更で入れなくなる人は必ず出るので、管理者が解除して設定し直してもらう手順を用意し、管理者は2人にしておきます。

停止と権限は、方式とは別に決める

方式を決めても、「誰を止めるか」と「何を見せるか」は決まりません。Googleでログインする形でも、システムの側で利用者を停止できる作りにしておきます。会社のアカウントを消してもログインした状態が残ることがあるからです。

辞めた人のアカウントは削除ではなく停止にし、担当の付け替えを決めておく、というのは権限の記事に書きました。停止の手順を誰が持つかは、セキュリティの記事の6項目の最後です。

方式で、画面はいくつ増えるか

ログインと権限の設定は、私たちの初期費用に標準で含まれています。方式で費用が大きく変わるというより、画面構成のラフにしたときの枚数が変わります。

方式	増える画面	発注側で用意するもの
Google / Microsoft のアカウント	ログイン 1枚（ボタンだけ）	許可するドメイン
メールのリンク	メールアドレスの入力 1枚と、送るメールの文面	送信元のメールアドレス
パスワード	ログイン、再設定の依頼、再設定の 3枚。自分で登録する形なら新規登録とメール確認で 5枚	送信元のメールアドレス
招待制	利用者の管理 1枚（権限の設定と同じ画面）	誰が招待し、誰が停止するか
二段階認証	設定と入力の 2枚。Google / Microsoft のアカウントなら 0枚	対象にする役割

社内だけでGoogleのアカウントなら1枚、一般向けにパスワードで登録してもらう形なら5枚。画面を数えて見積もる考え方はMVP開発の費用は、何で決まるのかに書いたとおりで、ログインの方式はその数え方の中で決まります。

避けたいのは、途中で方式を変えることです。パスワードからGoogleログインへ切り替えると、全員に登録のやり直しをお願いすることになります。初回のお打ち合わせ（60分・オンライン可）で「使うのは誰か」から聞き、3営業日以内にお出しする画面構成のラフに、ログインまわりの画面も枚数込みで入れます。ここまで費用はいただきません。