サイトからログアウトしたのに、次のログイン画面でIDやパスワードが自動入力されることがあります。これは異常とは限りません。「サイトにログインしている状態」と「ブラウザが保存済みパスワードを使える状態」は、別々に管理されることがあるためです。
ログアウトで終わるのは、主にサイト上のログイン状態
Webサイトにログインすると、サイトは利用中のブラウザを本人の操作中だと識別するための一時的な情報を持ちます。一般にセッションと呼ばれる仕組みです。ログアウトは、このログイン状態を終わらせるための操作です。
一方、ブラウザのパスワード保存は、次回の入力を省くための機能です。保存先は端末やブラウザのプロファイルであり、サイトのログアウトとは別に扱われます。そのため、ログアウト後にもIDの候補が表示されたり、保存済みのパスワードが入力されたりすることがあります。
つまり、ログアウトは重要な操作ですが、端末に保存された認証情報まで消す操作ではありません。ログアウトしたかどうかだけで、端末を他人に使わせてよいかは判断できません。
見るべきなのは「その端末を誰が使えるか」
ブラウザ保存を一律に危険と考えるより、端末、OSの利用者アカウント、ブラウザプロファイルに誰が到達できるかを確認することが大切です。
本人だけが使う端末で、OSの画面ロックを設定し、離席時にもロックする習慣があれば、ブラウザ保存は入力の手間を減らす選択肢になります。ただし、画面ロックを解除したまま端末を渡したり席を離れたりすれば、保存済み情報が利用される可能性は高まります。
保存済みパスワードを表示するときや利用するときに、PIN、生体認証、OSアカウントのパスワードなどを求める製品もあります。しかし、その有無やタイミングはOS、ブラウザ、設定、端末の状態によって異なります。追加確認があるからといって、ロック解除済みの端末を共有してよいとは限りません。
共有PCでは「保存しない」が基本になる
学校、職場、ホテルなどの共用端末や、一時的に借りたPCでは、パスワード保存の提案を断り、ブラウザの同期用アカウントにもログインしないほうが無難です。利用後はサイトからログアウトし、必要に応じて閲覧データの扱いも確認します。職場や学校の端末では、組織の規則や管理設定を優先してください。
家族で使うPCも、1つのOSアカウントや1つのブラウザプロファイルを使い回すと、保存済みパスワードやログイン候補が混ざりやすくなります。可能なら、利用者ごとにOSユーザーを分け、それぞれに画面ロックを設定します。ブラウザプロファイルも分け、同期先を混在させないことが重要です。
シークレットモードやプライベートモードは、通常は閲覧履歴などを残しにくくするための機能です。共用端末を本人専用の環境に変える機能ではありません。保存済みパスワード、拡張機能、端末の管理状態などは別途影響します。
「文字列が見えない」だけでは判断できない
パスワードの文字列を画面に表示できなければ安心、と考えたくなるかもしれません。しかし、自動入力された状態でログインボタンを押せるなら、文字列を読めなくてもアカウントを使われるおそれがあります。特にメール、金融、通販、行政、仕事用のアカウントは、端末を他人が触る可能性に応じて保存方法を慎重に選びます。
また、ブラウザ同期を有効にしている場合は、保存済みパスワードの管理範囲が目の前の1台に限られないことがあります。同じブラウザアカウントで同期している端末に見覚えがあるか、不要になった端末が残っていないかを確認しましょう。同期をオフにしても、すでに端末にある保存データがどう扱われるかは製品や設定で異なるため、利用中のサービスの公式説明で確認が必要です。
今日確認したい5項目
まず、普段使う端末ごとに、次の点を確認してみましょう。
1. OSアカウントに、自分以外がログインできない状態か。
2. 離席時に手動でロックし、自動ロックも設定しているか。
3. 自分以外のPIN、パスコード、生体認証が登録されていないか。
4. ブラウザのパスワード管理画面で、保存済みパスワード、自動入力、保存提案、同期の設定を把握しているか。
5. 同期中の端末に不要または見覚えのないものがないか。
共有PCや一時利用PCですでにパスワードを保存した場合は、その端末のブラウザから保存済み認証情報を削除します。その後も、サイト側でログアウトすることは必要です。ログアウト、保存情報の削除、端末のアカウント分離は、それぞれ役割が異なります。どれか一つだけに頼らず、利用する端末に合わせて組み合わせることが、認証情報を本人だけが使える状態に近づけます。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。