VKT Toolkit · 2026年9月12日 · 約9分で読めます

Windows のブラウザで TOTP 認証コードを生成する方法 — Chrome/Edge 対応 2FA ガイド（2026）

今日だけで何回、6 桁のコードを確認するだけのためにスマホを取り出したでしょうか。ロック解除、認証アプリを探す、リストの読み込みを待つ、カウントダウンを凝視する、そして親指で PC 画面に向かってコードを打ち込む。PC 1 台で仕事をしているなら、この一連の動作はログインのたびに繰り返されます。メール、GitHub、AWS、銀行、VPN、プロジェクト管理ツール——逃げ場はありません。これは壊れたワークフローです。必要なコードが、手元にない唯一のデバイスの中にあるわけですから。

しかし解決策は思ったよりシンプルです。TOTP 認証アプリは Windows のブラウザの中で直接動かせます。デスクトップアプリのインストールも、アカウント登録も不要で、スマホアプリとまったく同じコードを生成できます。このガイドでは、TOTP の仕組み、Windows で現実に使える選択肢、そしてブラウザ認証アプリを2分ほどでセットアップする方法を解説します。

TOTP とは？（30 秒で分かる解説）

TOTP は Time-based One-Time Password（時間ベースのワンタイムパスワード）の略で、RFC 6238 で定義された標準です。仕組みは次のとおりです。

• ウェブサイトで 2FA を有効にすると、サイトは共有シークレット——JBSW Y3DP EHPK 3PXP のような文字列——を生成し、QR コードとテキストキーとして表示します。
• サイトと認証アプリがそれぞれこのシークレットを保存します。
• 30 秒ごとに、認証アプリはシークレットと現在時刻を組み合わせて 6 桁のコードを計算します。サイト側もまったく同じ計算を行い、一致するか比較します。

以上です。SMS も携帯回線もインターネット接続も不要——必要なのはシークレットと時計だけ。これが TOTP が SMS より安全である理由でもあります。攻撃者が盗み見できるネットワーク上のデータは存在せず、SIM スワップで乗っ取れる電話番号もありません。重要なのはただ一つ、シークレットを誰が保持しているかだけです。

Windows で TOTP コードを得る選択肢

Windows PC での作業中に 2FA コードを取得する現実的な方法は4つあり、それぞれトレードオフがあります。

1. 専用デスクトップアプリ

オープンソース・商用を問わず、TOTP を Windows デスクトップに持ち込むアプリがいくつかあります。オフラインで動き、データはローカルに保たれます。欠点は、インストールして信頼するソフトがまた1つ増えること、更新管理が別に発生すること、そしてアプリが入っていないマシンでは基本的に使えないことです。

2. TOTP 対応のパスワード管理ツール

Bitwarden や 1Password などは TOTP シークレットを保存してコードを自動入力できます。便利で、シークレットはボルトと一緒に旅します。ただし落とし穴があります。2 要素目がパスワードと同じ場所に住むことになるのです。ボルトが解錠されれば、両方の要素が一度に手に渡ります——2FA が防ごうとしているまさにその事態です。2 要素目は別の場所に置くよう勧めるセキュリティガイドも多くあります。

3. スマホアプリ＋手入力

多くの人にとってのデフォルト。安全性は高く、スマホは確かに身につけています——別の部屋で充電中のとき、通話中のとき、あるいはアプリを入れられないマシンにリモートデスクトップで接続しているときでなければ。スマホ自体が問題なのではなく、絶えないデバイスの行き来が問題です。この日々の摩擦については、スマホなしで Chrome で2段階認証を使う方法のガイドで詳しく扱いました。

4. ブラウザ拡張（中間の解）

ブラウザ認証アプリは、2FA の入力を求められた瞬間にあなたがすでにいる場所——ブラウザの中で動きます。VKT LocalBox2FA は Manifest V3 ベースの Chrome/Edge 用 TOTP 拡張です。権限は最小限、保存はすべてローカル、クラウド・アカウントなし。任意のスマホアプリと同じ RFC 6238 のコードを生成し、ライブダッシュボードとワンクリックコピーを備えます。定番との詳細な比較は Google Authenticator vs LocalBox2FA の記事をどうぞ。

Chrome / Edge での LocalBox2FA セットアップ

セットアップは2分ほどで、カメラは一切使いません。

ステップ 1：拡張機能をインストール

Chrome ウェブストアまたは Edge アドオンから VKT LocalBox2FA をインストールします。軽量な Manifest V3 拡張で、権限は保存用の storage、clipboardWrite、ライセンスサーバー向け host 権限の3つのみ（ライセンス操作時にのみアクセス）です。ページの内容を読むことも、他のタブを監視することもできません。

ステップ 2：セットアップキーでアカウントを追加

サイトが 2FA の QR コードを表示したら、「セットアップキーを入力」や「スキャンできない場合」のようなリンクを探してください。サイトが base32 のシークレット——英数字の文字列——を表示します。Windows ではスキャンは不要です。

1. サイトからセットアップキーをコピー；
2. ツールバーの LocalBox2FA アイコンをクリック；
3. 入力欄にキーを貼り付け；
4. 分かりやすい名前を付ける（例：「GitHub — 仕事」）；
5. 保存。

6 桁のコードが即座に表示され、30 秒ごとにカウントダウン付きで更新されます。

ステップ 3：ログイン時にコードを使う

次に確認コードを求められたら、拡張機能のアイコンをクリックし、ダッシュボードでアカウントを見つけ、コードをクリックしてワンクリックでコピー。あとは入力欄に貼り付けるだけ。数秒で完了します——スマホも、ロック解除も、アプリの切り替えも不要です。

ステップ 4：整頓を保つ

ダッシュボードにはすべてのアカウントのライブコードが一覧表示され、ダークモードに対応します。重複するシークレットは確認ダイアログでブロックされ、エントリの削除も必ず二重確認です。無料のコア機能でここまですべてカバーし、全レコードのテキストファイルへのエクスポートと再インポートも無料で使えます——バックアップや新しい PC への引っ越しに便利です。

ブラウザ認証アプリは安全なのか？

もっともな疑問です。ブラウザはスマホのセキュアエンクレーブのような評判はありません。正直なところをお伝えします。

LocalBox2FA の動作：シークレットは chrome.storage.local（拡張機能のストレージ）に保存され、コードは Web Crypto によりシステム時計をもとにローカルで計算され、ネットワーク接続が必要なのは既定では任意のライセンス認証時のみです（任意の暗号化同期を有効にすると、封緘された記録がブラウザアカウント経由で同期されます）。権限は保存用の storage、clipboardWrite、ライセンスサーバー向け host 権限の3つのみで、閲覧データの読み取りはできません。クラウドアカウントも不要で、同期は既定でオフ。任意の暗号化同期を有効にしない限り、シークレットがマシンの外に出ることはありません。

本当のトレードオフ：クラウド同期型の認証アプリは復旧の利便性を提供しますが、その利便性の代償は、シークレットが他人のサーバー上に存在することです。LocalBox2FA は逆の立場を取ります。シークレットはあなたが目で見える場所にしか存在しない。その帰結として、コードの安全性は Windows ユーザーアカウントの安全性と等しくなります。

つまり、仕事用 PC で普段からやるべきことをやればいいのです。

• ディスク暗号化を有効にする（Windows Pro の BitLocker、Home ならデバイス暗号化）。ノート PC を盗まれてもファイル——ブラウザのストレージを含む——が露出しません；
• 強力な Windows パスワードまたは PIN を設定し、離席するときは画面をロック；
• 他人と共用するブラウザプロファイルに 2FA シークレットを保存しない；
• すべてのシークレットのコピーを別の場所にも1部保管する（後述）。

この基本が整っていれば、ローカルのブラウザ認証アプリは「シークレットをクラウドに同期するスマホアプリ」と同等以上に安全です。しかも第三者がキーを一切保持しない分、プライバシーは上です。

ブラウザ TOTP が向いている人・向いていない人

こんな人に最適

• 1 日中 PC で仕事をする人：2FA の入力画面は、いつも認証アプリがある場所に出ます。デバイスの行き来は二度とありません。
• リモートデスクトップ / RDP ユーザー：コードはブラウザセッションの中にあるので、アプリをインストールできないマシンでも使えます。リモートワーカーと管理者の定番の悩みを解消します。
• 開発者：GitHub、AWS、Cloudflare、npm、社内ツールの数十のアカウントが 1 つのダッシュボードに集約され、ライブコードとワンクリックコピー。
• プライバシーを重視する人：アカウント登録なし、テレメトリなし、同期は既定でオフ——任意の暗号化同期を有効にしない限り、シークレットはデバイスの外に出ません。

考え直したほうがいいケース

• それを唯一のコード置き場にするつもりの場合。はっきり言います。ブラウザをすべてのシークレットの単一コピーにしないでください。ブラウザの再インストール、プロファイルの破損、ノート PC の紛失がロックアウトにつながります。スマホアプリと併用するか、各サービスが発行する印刷バックアップコードを保管してください——理想は両方です。ブラウザ拡張はコードにとって最も便利な第二の居場所であって、他のすべての代わりにはなりません。
• 共用の PC：あなたの Windows アカウントにログインした人はコードを読めます。スマホと同じルール——ロック解除されたデバイスは共用しない。
• ログインがほぼスマホの人：生活の大半がスマホ上なら、ブラウザ拡張は必要な場所にいません。

よくある質問

VKT 拡張機能カタログで他のツールもご覧いただけます。お問い合わせは [email protected] まで。