OAuth（オーオース）は、別のアプリへ、限られた範囲のアクセス権を渡すための仕組みです。たとえば、予定をまとめるアプリへ、カレンダーの内容を読むことを許可する場面で使われます。
パスワードをそのアプリへ知らせずに連携できても、許可したデータへアクセスされる場合があります。確認したいのは「パスワードを渡すか」だけでなく、誰に、何を、どこまで許すかです。
この記事では、利用者がアプリ連携を許可する場面を中心に説明します。OAuthのすべての方式や、プログラムの実装手順は扱いません。
OAuthとはアプリに限られた権限を渡す仕組み
別のアプリへパスワードを丸ごと預けると、必要以上の操作までできるおそれがあります。OAuthを使う連携では、サービス側が許可した範囲で使える情報をアプリへ渡し、それを使ってアクセスできるようにします。
この許可を示すデータが「アクセストークン」です。利用者が中身を読んだり、手作業で送ったりするためのものではありません。アプリとサービスがやり取りする際に使います。
OAuth 2.0の標準仕様も、第三者のアプリに限定的なアクセスを認めるための仕組みとして定義しています。「OAuth対応」という表示だけで、アプリの運営者や使い道まで信頼できると決まるわけではありません。
連携先と、読む・変更するなどの権限を確認する
認めた範囲でアクセスするための情報を発行する
許可された範囲で、データ取得や操作を行う
利用者が許可する連携の概念図です。実際の画面・権限・解除の動きはサービスにより異なります。
OAuthの「認可」とログインの「認証」は何が違う？
認証は「誰かを確かめること」、認可は「何をしてよいか決めること」です。OAuthが中心に扱うのは、後者の認可です。
サービスへログインし、その後に「このアプリが予定を読んでもよいですか」と聞かれる流れなら、本人の確認と、別アプリへの許可を順番に行っています。同じ画面の流れに現れるため、混同しやすいところです。
「○○でログイン」のような機能では、OAuthに関連する別の仕組みも組み合わせて使われます。画面に出た言葉だけで、すべて同じ権限が渡ると思わず、許可の内容を確認します。ログインの基本も合わせて読むと整理できます。
アプリ連携の許可画面はどこを見る？
まず、連携先の名前と運営者を確かめます。見慣れた大手サービスの許可画面が出ていても、データを受け取るのは別の会社のアプリかもしれません。
次に、求める権限を、実際に使いたい機能と比べます。「スコープ」という言葉が出てきたら、ここではアクセスを認める範囲と考えてください。選べる範囲の細かさはサービスによって異なります。
| 許可の種類 | アプリができることの例 | 考えたいこと |
|---|---|---|
| 読み取り | 写真や予定、プロフィールを見る | 見せたい情報だけが対象か |
| 書き込み・変更 | 新しい予定を追加する、内容を書き換える | 閲覧だけの目的に変更権限まで必要か |
| 投稿・送信 | 本人に代わって投稿やメッセージを送る | 自分の名前で外へ出る操作を任せてよいか |
| 削除 | データや投稿を消す | その機能を使う予定と、取り消し方法はあるか |
これは一般的な読み方の例です。各サービスにこの四つのボタンがある、という意味ではありません。一つの許可に複数の操作が含まれることもあります。
Xの公式案内では、アプリの権限によって、閲覧だけでなく投稿やプロフィールの変更などもできると説明されています。パスワードを共有しない連携でも、許可の範囲が大切だと分かります。
予定を一覧にするだけのつもりなのに、変更や削除まで求められたら、その理由を確認する余地があります。広い権限を求めることだけで不正と断定はできませんが、理由が分からないまま急いで許す必要もありません。
続きへ進むための確認ボタンに見えても、実際にはデータや操作を任せる選択です。 使いたい機能と必要な権限が合うか、そこで一度立ち止まります。
OAuthの連携解除で止まること・残ること
連携解除は、通常、その連携に与えたアクセスを止めるための操作です。ただし、どの権限がいつ無効になるか、関連するログインへどう影響するかは、サービスの仕様を確認する必要があります。
すでにアプリ側が取得・保存したデータまで、同時に消えるとは限りません。たとえば、予定のコピーを保存したアプリへの連携を外しても、そのコピーを消すには別の手続きが必要になる場合があります。
LINEの連動アプリの公式資料も、同意の取り消しでアクセス用の情報が無効になる一方、アプリ側に記録済みの情報が残り得る点に触れています。
| したいこと | 確認する操作 | 自動で一緒に済むとは限らないこと |
|---|---|---|
| これからのアクセスを止めたい | 連携・アクセス権の解除 | 過去に取得されたデータの削除 |
| 連携先に残る情報を消したい | 連携先の削除・退会・問い合わせ手順 | 元のサービスのアカウント削除 |
| 端末からアプリを消したい | アプリの削除 | サーバー側の連携や契約の終了 |
| 別アプリへのログインをやめたい | ログイン方法とアカウント管理の確認 | 保存済みデータや有料契約の解約 |
解除すると、便利に使っていた同期や自動処理が止まることもあります。仕事で使う連携なら、自分だけで止めてよいか管理担当へ確認します。個人で不要な連携を外す場合も、残したいデータや別のログイン方法を先に確かめると、困りにくくなります。
アプリ同士が情報をやり取りする窓口は、APIの仕組みでも説明しています。OAuthは、その窓口を誰にどこまで使わせるかに関係します。
不審なアプリ連携とパスワード変更を分けて考える
身に覚えのない投稿や連携が見つかったら、パスワードだけを変えて終わりにしないでください。連携の権限を取り消すことと、パスワードを保護することは、別の確認事項です。
公式の設定画面で連携先を確認し、利用するサービスの被害時の案内に従います。Xの案内のように、不審なアプリの権限を取り消したうえでパスワード変更も求めるものがあります。全部のサービスが同じ動きをするとは考えないようにします。
Googleの接続管理の案内では、ログインに使っている接続と、データへのアクセス権を与えた接続を確認できます。「どのアプリが、何のためにつながっているか」を見直す入口です。
また、許可画面に似せた偽物も考えられます。連携の確認を口実に、知らないページへパスワードや確認コードを入力させられた場合は、正規の連携管理だけでなく、フィッシングへの対処も関係します。いつもの公式アプリや保存済みの正規の入口から確認してください。
今できる見直しは、公式設定の「連携アプリ」などを開き、使わなくなったものを一つ確かめることです。名前だけで判断せず、許可の範囲と用途を見ます。不要なら公式手順で解除し、過去のデータも消したい場合は連携先の案内を別に確認します。
便利な連携をすべて避ける必要はありません。任せる相手と範囲が分かり、使わなくなったら見直せることが、安心して使うための基本になります。
