エックスサーバーがパスキーに対応したとのことで、さっそくパスキーを登録しました。
そのついでにセキュリティ設定の画面を見ていたところ、「バックアップコードが残り1個です」という趣旨の注意が表示されているのに気づきました。
「え？バックアップコードって発行されたら10個くらいあるやつよな。それが1個しかない？ でも、一度も使った記憶はないのに……」
そこでコードを再発行してみると、利用可能なコードが10個に増えました。やっぱり10個…
「ってことはもともと10個あったのに残り1個だったってこと？ じゃあ、知らないうちに9個も使われたの？」
不正アクセスされたのではないかと、かなり焦りました。
結論から言うと、「残り1個」という表示だけで、9個使われたとは限りません。実はエックスサーバーでは、以前はバックアップコードが1本だけ発行される仕組みだったのです。焦ったー。
今回は、この表示に驚いた私の体験と、色々調べまくったことをまとめていきます。
バックアップコードは、以前は「1本」だった
エックスサーバーは2026年7月28日、XServerアカウントのログイン機能を強化しました。その際、バックアップコードの発行数が、それまでの1本から10本に変更されています。
変更前に発行されたコードも、そのまま使えると案内されています。
つまり、以前の1本を持ち続けている人なら、一度も使っていなくても「残り1個」になり得るわけです。（だったら残り1個って表示させるのやめてほしいよね…心臓止まるかと思ったわ）
私自身が古いコードを発行した正確な時期までは確認できていませんが、この仕組みなら今回の表示にも納得がいきます。エックスサーバーを使い始めたのはもう10年以上前になりますから。
「10個あったものが1個に減った」と思い込んでいましたが、「もともと1個だった」のです。これを知って、かなりホッとしました。
なぜ、1本残っているのに警告が出るの？
公式マニュアルでは、バックアップコードが残り2本以下になると、設定画面に警告が表示されると説明されています。
以前の方式で発行された1本を持っている場合も、この条件に当てはまります。
私は残数の注意を見て、「誰かに使われたのでは」と不安になりました。ただ、「残りのコードが少ない」という警告と、「不正利用が確認された」という通知は別です。
念のため、ログイン履歴も確認した
大切なアカウントなので、念のためログイン履歴も確認しました。
過去10件ほどを見たところ、身に覚えのないログインは見当たらず、IPアドレスもすべて同じでした。これも安心材料になりました。
XServerアカウントのログイン履歴は、次の手順で確認できます。
- XServerアカウントにログインする
- 画面右上のアカウントメニューから「ログインセキュリティ」を開く
- 「ログイン履歴」を確認する。必要に応じて「さらに読み込み」を押す
直近30件のログイン日時、IPアドレス、ホスト名、ログイン方法を確認できます。
確認するときは、IPアドレスだけでなく、自分がログインした日時と合っているかも見ておきましょう。
再発行すると10本に。ただし古いコードは無効になる
私の場合、設定画面で再発行すると、利用可能なバックアップコードが10個になりました。
ここで気をつけたいのは、古いコードに9本が追加されるわけではないことです。再発行すると新しい10本へ切り替わり、それまでのコードは無効になります。
古いコードの控えだけ残していても、いざというときには使えません。再発行したら、新しい10本のコードを保存し直しましょう。
バックアップコードは、スマートフォンの紛失などで認証アプリやSMSの認証コードを取得できなくなったときに、ログインするための備えです。
保存先は、パスワードマネージャーやロックをかけたメモなど、他人に見られず、自分が必要なときに取り出せる場所を選びましょう。スマートフォンをなくした場合でも、別の端末などから取り出せるか確認しておくと安心です。
まとめ：「残り1個」だけで、9個使われたとは限らない
今回、いちばん焦ったのは、再発行で10個になったのを見て「じゃあ、それまでに9個使われたのでは？」と思ったことでした。
エックスサーバーには以前1本だけ発行していた時期があり、そのコードを持ち続けていれば、使っていなくても「残り1個」と表示されることがあります。
同じ表示を見て不安になったら、次の点を確認してみてください。
- 以前の1本方式で発行されたコードを、そのまま持っている可能性はないか
- ログイン履歴に、身に覚えのない日時やアクセス元はないか
- 再発行した場合、新しいコードを安全に保存し直したか
パスキーを登録したついでに、思いがけずバックアップコードの仕組みを知ることになりました。あの表示、知らずに見ると本当にびっくりしますね。
参考までに。それでは！
＊関連記事
→パスキーとは？なぜ安全なのか、仕組みと使う前の注意点をやさしく解説
→住所は知られても、鍵は渡さない。個人情報流出が続く時代の、怖がりすぎない備え方
参考資料
エックスサーバー：XServerアカウントのログイン機能を強化（2026年7月28日）
バックアップコードの発行数を1本から10本へ変更。既存コードも引き続き有効。
https://www.xserver.ne.jp/news_detail.php?view_id=19042
エックスサーバー：二段階認証設定
残数に応じた警告、再発行時の旧コード無効化、バックアップコードの利用について。
https://www.xserver.ne.jp/manual/man_order_twostepauth.php
エックスサーバー：ログイン履歴
確認できる項目・件数と、画面へのアクセス方法について。
https://www.xserver.ne.jp/manual/man_order_loginhistory.php
資料確認：2026年11月12日
コメント