メールボックスのセキュリティ設定と2FA

TrekMailの通常メールボックスには、設定ページにセキュリティタブがあります。ここでパスワードの変更、新しい復旧コードの生成、二要素認証が有効かどうかの確認ができます。共有メールボックスは直接ログインできないため、設定には代わりにアクセスが表示されます。

このページは、ダッシュボードから設定するアカウント管理者向けです。メールボックス所有者が管理者に頼まず自分でパスワードを変更する場合は、自分でメールボックスのパスワードを変更するを参照してください。

タブを開く方法

1. ダッシュボードでメールボックスページを開きます。
2. 通常メールボックスの横にある管理をクリックします。
3. セキュリティタブをクリックします。他のタブはメールボックスの種類、プラン、状態によって異なります。

タブには上から順に、二要素認証、メールボックスのパスワード、復旧コードの3つの項目があります。

二要素認証

この項目では、メールボックスで2FAが有効かどうかを確認できます。状態はページの見出しにも表示されます。緑の「2FA有効」バッジは有効、薄い「2FA無効」リンクは無効を意味します。

2FAはダッシュボードではなく、メールボックス所有者がWebmail内で設定します。所有者自身が認証アプリのシークレットをスキャンして確認します。所有者が締め出された場合、権限を持つ管理者は2FAをリセットできますが、本人に代わって有効化することはできません。2FAを有効または無効にする手順は次のとおりです。

1. 所有者がTrekMail Webmail、またはテナント固有のブランドURLへログインします。
2. Webmailの設定で2FAを有効にし、Google Authenticator、1Password、Authyなどの認証アプリでQRコードをスキャンします。
3. 確認後、セキュリティタブに戻るか更新して、新しい状態を確認します。

2FAを有効にすると、Webmailへの新規ログインにはパスワードとTOTP、または2FA復旧コードが必要です。IMAPとSMTPクライアントでは引き続きメールボックスのパスワードを使います。既存のセッションには影響しません。認証情報を変更する必要がある場合は、下記のパスワードに関する注意を確認してください。

メールボックスのパスワード

パスワード項目には1つのフォームがあります。新しいパスワードを2回入力し、パスワードを保存をクリックします。現在、ダッシュボードからパスワードを設定する方法はこれだけです。メールボックス一覧にあった古い「鍵アイコン」のショートカットは、2026年5月のデザイン更新で廃止されました。

入力中に確認される要件は次のとおりです。

• 12文字以上
• 大文字を1文字以上
• 小文字を1文字以上
• 数字を1文字以上

4つのチェックがすべて緑になるまで、保存ボタンは無効です。

パスワードを自分で考えたくない場合は、入力欄の下にある強力なパスワードを生成をクリックします。大文字、小文字、数字、少数の記号を組み合わせた18文字を生成し、i、l、0、Oなど見間違いやすい文字は除外します。両方の欄へ自動的に入力され、コピーできるよう表示されます。

保存に成功した後の変更点：

• 以前のパスワードでは、Webmail、IMAP、SMTPへ新しくログインできなくなります。Outlook、電話、スクリプト、その他のクライアントが再接続する前に更新してください。
• 信頼済みデバイスのアクセス権が取り消されます。管理者によるパスワード変更では、既存のWebmailセッションは自動的に閉じません。アクティブなセッションが問題になる場合は、メールボックスの停止など、インシデント対応を実施してください。
• メールボックス内のメールには影響しません。メッセージやフォルダーは削除されません。

不正利用の疑いからリセットする場合、相手を実際に締め出すのはこの操作です。

復旧コード

復旧コードは、現在のパスワードを使えない所有者がパスワードをリセットするための一度限りの文字列です。直接ログインするものではなく、別途用意された2FA復旧コードの代わりにもなりません。

カードには次の内容が表示されます。

• 現在有効なコードの発行時刻。たとえば「3時間前に発行」、使用可能なコードがなければ「未発行」と表示されます。
• 新しいコードを生成ボタン。

生成をクリックすると確認ダイアログが開き、新しいコードが一度だけ表示されます。すぐに保存してください。ダイアログを閉じると二度と取得できません。コードは24時間後に失効します。新しいコードを生成すると、以前の設定時に保存した古いコードを含め、メールボックスパスワード用の従来の復旧コードはすべて無効になります。

パスワード管理ツールのSendリンク、Signal、対面など、安全な経路でユーザーへ渡してください。ユーザーはWebmailの「パスワードを忘れた場合」ページで復旧コードモードを選び、自分で新しいパスワードを設定します。

メールボックスからの送信を停止した場合

すべてのメールボックスの送信状況を監視しています。パスワードが悪用された可能性を示す動きがあると、その他の機能はそのままにして、そのメールボックスからの送信だけを停止できます。受信は続き、所有者はログインして読めます。他のメールボックスに影響はなく、ドメインの評価も守られます。

これは罰ではなく安全装置です。この措置についてはこちらから連絡します。

実施すること：

1. 上記のフォームでメールボックスのパスワードを変更します。相手を実際に締め出すのはこの手順であり、送信停止は対応時間を確保するだけです。
2. メールボックスを設定しているすべての場所へ新しいパスワードを入力します。電話、メールアプリ、そのメールボックスで送信するスクリプトやツールも対象です。
3. サポートページから完了したことをサポートへ連絡します。こちらで送信を再開します。設計上、ユーザー自身では再開できません。

停止中もメールボックスのその他の動作は正常です。Webmailで作成した内容は下書きとして保存し、送信再開後に送れます。

おすすめの習慣

• TrekMailダッシュボードとは別のパスワードを使う。 メールボックスが侵害されても、請求情報や他のメールボックスへ入れないようにします。
• 復旧コードをパスワード管理ツールへ保管する。 受信トレイや付箋ではなく、保護対象のメールボックスから独立した管理ツールに保存します。
• 重要な通常メールボックスでは2FAを有効にする。共有メールボックスは直接ログインしないため、各メンバー自身のメールボックスを安全に保って保護します。

このタブにない設定

ここにありそうな一部の機能は、設計上ほかの場所にあります。

• 転送ルール： 転送には専用タブがあります。これは配送経路の設定であり、セキュリティではありません。
• 許可またはブロックした送信者： フィルタータブにあります。セキュリティタブは「誰がログインできるか」と「何を受信するか」を分けるため、意図的に対象を絞っています。
• メールボックスを削除： ページ右上、ストレージを編集の横にあるごみ箱アイコンを使います。プラン側の操作であり、セキュリティ側ではありません。
• アカウント所有者のログイン2FA： メールボックスとは別にアカウント → セキュリティで設定します。両者は独立しており、所有者がダッシュボードに2FAを設定していても、個々のメールボックスでは無効にできます。