# ユーザー認証

> Source: https://docs.lorel.ai/getting-started/user-authentication/

Lorel.ai の新規ユーザーアカウント作成（サインアップ）、ログイン、二要素認証（MFA）、パスワード管理、アカウント削除などの認証機能について説明します。

## 概要

Lorel.ai では、安全にご利用いただくためのパスワード強度チェックや、認証アプリ（TOTP）による二要素認証（MFA）を提供しています。

- **安全なアカウント管理**: 15文字以上のパスワード要件および漏えいパスワードとの照合チェック
- **二要素認証（MFA）**: 認証アプリを利用した不正ログイン防止
- **アカウントの各種手続き**: パスワード変更・リセット、ユーザーアカウント削除等

## できること

| 機能・操作 | 説明 | 対象 |
|---|---|---|
| サインアップ | メールアドレスとパスワードを登録し、新規ユーザーアカウントを作成します | 未登録ユーザー |
| メールアドレスの確認 | 届いた6桁の確認コードを入力し、ユーザーアカウントを有効化して利用を開始します | 新規登録時 |
| ログイン | メールアドレスとパスワードでサインインします（MFA設定時は二段階認証） | 全ユーザー |
| 二要素認証（MFA）の設定・利用 | 認証アプリによる二段階認証を任意で設定し、ログイン時のセキュリティを強化できます | 全ユーザー（任意） |
| ログアウト | 現在の端末でのログイン状態を安全に終了します | ログイン中ユーザー |
| パスワードの変更 | ログイン中の画面から、いつでも新しいパスワードに変更できます | ログイン中ユーザー |
| パスワードのリセット | パスワードを忘れた際に、再設定メールを受信して新しいパスワードを設定し直します | 全ユーザー |
| ユーザーアカウントの削除 | 利用者ご自身の操作で、ユーザーアカウントを完全に削除できます | 全ユーザー（※組織唯一のオーナーを除く） |

## サインアップとメールアドレスの確認

1. サインアップ画面（`/register`）を開き、「メールアドレス」および「パスワード」（15文字以上）を入力して登録します。
   - 既に登録済みのメールアドレスを入力した場合、第三者によるアカウントの存在推測を防ぐため画面上は通常通り受け付けられますが、対象のメールアドレス宛に登録試行の通知メールが送信されます。心当たりがない場合はパスワードの変更を推奨します。
2. 登録完了後、「メールアドレスの確認」画面に切り替わります。メール本文に記載された6桁の確認コード（30分間有効）を入力すると、ユーザーアカウントが有効化され自動的にログイン状態となります。
   - 確認コードを連続して5回誤入力するとコードが無効になり、再送が必要です。
   - メールアドレスの確認が完了していないアカウントではログインできません。
   - 第三者によるアカウント推測を防ぐため、未登録のアドレスに対して「コードを再送する」をクリックした場合でも、画面上は登録済みの場合と同一の送信完了メッセージが表示されます。

### パスワード要件

| 項目 | 要件・制約 |
|---|---|
| 文字数 | 15文字以上（大文字・小文字・数字・記号などの混在は必須ではありません） |
| 安全性チェック | 過去に外部で漏えいが確認されているパスワードとの照合チェック。該当するパスワードは設定できません |

## ログインとログアウト

- **ログイン**: メールアドレスとパスワードを入力します。MFA未設定の場合は認証成功時点でログイン完了、MFA設定済みの場合は続けて認証アプリの6桁の確認コード入力が必要です（入力は5分以内）。アカウントの存在有無を外部から推測できないよう、未登録のアドレスや利用停止中のアカウントでもパスワード相違時と同じエラーメッセージが表示されます。
- **ログイン状態の有効期間**: 操作するたびに自動更新され、最後の操作から最大7日間維持されます。7日間操作が無ければ自動的にログアウトされます。
- **ログアウトの範囲**: ログアウト操作は現在操作している端末（ブラウザ）のログイン状態のみを終了します（他端末のセッションは維持）。セッションの有効期限が切れた状態でログアウト操作を行った場合でも、エラーメッセージ等は表示されずそのままログイン画面へ遷移します。すべての端末から一括でログアウトしたい場合は、パスワードの変更またはリセットを行ってください（全端末のセッションが一括失効します）。
- **試行制限（レート制限）**: ログイン・パスワード変更/リセット・確認コード入力・MFA設定変更・アカウント削除など認証関連の操作を短時間に連続して誤入力・失敗すると、段階的に待機時間が発生し、操作が制限されます。

## 二要素認証（MFA）の設定・管理

二要素認証（TOTP: Time-based One-Time Password）は、ログイン時のセキュリティを強化するためのユーザーごとの任意機能です（組織側で全メンバーに設定を一括強制する仕組みはありません）。確認コードは30秒ごとに更新されます（端末とサーバー間の時刻のずれを考慮し、前後1回分＝前後30秒相当までのコードが許容されます）。確認コードは「有効化」「無効化」「ログイン時の確認」「ユーザーアカウント削除」のいずれの場面でも、一度使用すると再利用できません。連続して操作する場合は、次のコード（30秒後）に切り替わってから入力してください。

**有効化手順**: ユーザーアイコン→「アカウント設定」→「セキュリティ」配下の「二要素認証（MFA）」から、現在のパスワードを入力して開始します。認証アプリでQRコード（またはコードを手動入力）をスキャンし、表示された6桁の確認コードを入力すると有効化されます。

**無効化手順**: 「二要素認証（MFA）」エリアから「MFA を無効にする」を選択し、現在のパスワードと有効な6桁の確認コードを入力して解除します。

> 端末の時計が大きくずれていると、正しい確認コードを入力しても認証エラーとなる場合があります。端末の時刻の自動設定（ネットワーク時刻同期）を有効にしてご利用ください。

## パスワードの変更・リセット

- **変更（ログイン中）**: 「アカウント設定」の「パスワード変更」エリアで、現在のパスワード・新しいパスワード（15文字以上）・新しいパスワード（確認）を入力します。新しいパスワードにも漏えい済みパスワードとの照合チェックが適用されます。
- **リセット（忘れた場合）**: ログイン画面の「パスワードをお忘れですか？」からメールアドレスを入力すると、リセット案内メール（1時間有効なリンク付き）が届きます。リンクから新しいパスワードを設定します。
- パスワードの変更またはリセットが完了すると、変更操作を行った端末・ブラウザ自身を含め、ログイン中だったすべての端末・ブラウザのセッションが自動的にログアウトされます（発行済みの認証情報は、最長15分間有効なまま残る場合があります）。

## ユーザーアカウントの削除

利用者ご自身で、Lorel.aiのユーザーアカウントを完全に削除（退会）できます。

- **削除前の確認事項**: 自身が「組織内で唯一のオーナー」である場合、組織の管理責任者が不在となるのを防ぐため、そのままではアカウントを削除できません。他のメンバーにオーナー権限を譲渡するか、組織の削除をお問い合わせ窓口へご依頼ください。
- **削除手順**: 「アカウント設定」画面のメニューから「アカウントを削除」を選択し、「この操作は取り消せないことを理解しました」のチェックボックスをオンにしたうえで、現在のパスワード（MFA有効時は確認コードも）を入力して削除します。
- **削除後の影響**: アカウント削除時、ログイン中だったすべての端末・ブラウザから即座にログアウトされ、所属していたすべての組織・プロジェクトのメンバーシップから自動的に除外されます。

## 制限事項

- 組織単位で全メンバーに対して二要素認証（MFA）の設定を必須・強制する機能は提供していません。
- 二要素認証（MFA）を解除しても、その時点でログインしている端末やブラウザのログイン状態は自動的に終了しません。
- シングルサインオン（SSO）や、外部サービスのアカウント（ソーシャルアカウント等）を利用したログイン・連携には対応していません。
- パスワード変更やMFA設定変更を行った際、変更完了をお知らせする通知メールは送信されません。
- ユーザーアカウントの削除または利用停止を行うと、ログインセッション自体は即座に失効しますが、その直前に発行済みだった認証情報は最長15分間（既定の有効期限）だけ有効なまま残るため、操作やアクセスが完全に遮断されるまで最大15分程度かかる場合があります。
- サインアップ時に入力されたメールアドレスが実際に受信可能かどうか（到達性）の事前確認は行われません。誤ったアドレスを入力すると確認コードが届かず登録を完了できませんので、入力間違いにご注意ください。

## 関連ページ

- [組織とプロジェクトの概要](/getting-started/organization-project-overview/)（組織の作成や請求ステータスのライフサイクルは本ページの対象外）
- [ロールと権限](/getting-started/roles-and-permissions/)（上記「削除前の注意」の根拠となる唯一の管理者保護など、ロールに基づく制約の詳細）