二段階認証は、パスワードに加えて認証アプリが生成する使い捨てのコードを求める仕組みです。Xserverアカウントには契約情報・支払い情報・ドメイン管理が集約されているため、設定しておく価値があります。ただしスマートフォンを機種変更・紛失したときの備えを先に考えておかないと、自分がログインできなくなります。ここでは設定手順と、その備えを解説します。管理画面全体の使い方は使い方ピラーをご覧ください。
設定する前に、機種変更したときの手順を決めてください。二段階認証でいちばん多いトラブルは、乗っ取りではなく自分が締め出されることです。①バックアップ機能のある認証アプリを使う、②バックアップコードが発行されたら保管する。この2つを済ませてから有効化してください。
なぜ設定するのか
Xserverアカウントが乗っ取られると、次のことが起こり得ます。
| 被害 | 影響 |
|---|---|
| ドメインの移管・削除 | サイトのURLを失う |
| サーバーの解約 | サイト・メールが停止する |
| 支払い情報の閲覧・変更 | 金銭的被害 |
| サーバーパネルへの侵入 | サイトの改ざん、データの持ち出し |
特に深刻なのはドメインです。サーバーは契約し直せますが、ドメインを失うとそれまでの検索評価も被リンクもすべて失われます。
パスワードは流出する可能性があります。他サービスで使い回していれば、そちらから漏れることもあります。二段階認証はパスワードが漏れても侵入を防ぐための仕組みです。
設定する前の準備
ここを飛ばすと、あとで自分が困ります。
1. バックアップ機能のある認証アプリを選ぶ
認証アプリには、クラウドバックアップや複数端末同期に対応しているものがあります。機種変更や端末故障のときに復旧できるため、こうしたアプリを選んでください。
方式は認証アプリ（TOTP）とSMS認証の2つです。認証アプリは、Google AuthenticatorなどTOTP方式に対応した一般的なアプリが使えます。
2. 復旧手段を確認する
設定時にバックアップコードが発行される場合があります。これは認証アプリが使えなくなったときの予備の鍵です。
発行されたら、印刷するかパスワード管理ツールに保存してください。スマートフォンの中だけに保存すると、そのスマートフォンを失ったときに意味がありません。
3. 機種変更のときの手順を決めておく
もっとも多いトラブルがこれです。認証アプリの引き継ぎをしないまま機種変更すると、コードが生成できずログインできなくなります。
対策は2つです。
- バックアップ機能を有効にしておく（推奨）
- 機種変更の前に二段階認証を一度解除し、変更後に再設定する
スマートフォンを紛失・故障した場合、ログインできなくなります。バックアップコードもない場合は、公式サポートのメールフォーム（ログイン情報が不明の方向け）から問い合わせることになり、その間はサーバーの契約管理や支払いができません。備えを用意してから有効化してください。
設定の手順
- 1 認証アプリを準備するスマートフォンにインストールする。バックアップ機能のあるアプリを選ぶ
- 2 Xserverアカウントにログインする登録メールアドレスとパスワードでログインする。ログイン方法はログインの記事を参照
- 3 二段階認証の設定画面を開く画面右上のアカウント名のメニューから「ログインセキュリティ」を開き、「認証アプリ（TOTP）」の「設定する」を押す（SMS認証を使う場合は「SMS認証」から）
- 4 QRコードを認証アプリで読み取る画面に表示されるQRコードをアプリでスキャンし、アカウントを登録する
- 5 生成された6桁のコードを入力するアプリに表示されたコードを入力して確定する。コードは一定時間で切り替わるので、表示されているものを素早く入力する
- 6 復旧手段を保管するバックアップコードが発行されたら、印刷するか安全な場所に保存する
設定後のログイン
有効化すると、ログインの流れが1段階増えます。
- 登録メールアドレスとパスワードを入力する
- 認証アプリに表示された6桁のコードを入力する
コードは一定時間ごとに切り替わります。表示が切り替わる直前だと入力中に無効になることがあるので、切り替わったばかりのコードを使うと確実です。
サーバーパネルへは、Xserverアカウントにログインした状態から移動できます。二段階認証を通過すればサーバーパネルの操作も可能になるため、日常の作業が大きく増えるわけではありません。2つの画面の関係はXserverアカウントの記事にまとめています。
機種変更するとき
必ず変更前に対応してください。方法1：認証アプリのバックアップ機能を使う（推奨）
アプリのクラウドバックアップや引き継ぎ機能を使えば、新しい端末に登録情報を移せます。移行が完了したことを確認してから、古い端末を初期化してください。
方法2：一度解除してから再設定する
機種変更の前にXserverアカウントで二段階認証を解除し、新しい端末で再設定します。確実ですが、解除している間は保護がない状態になります。
解除のしかた：Xserverアカウントにログインし、画面右上のアカウント名のメニューから「ログインセキュリティ」を開きます。二段階認証の設定を「設定しない」に変更すれば解除です。公式マニュアルも、認証アプリからコードを削除する前や機種変更の前に、この操作をしておくよう案内しています。サーバーパネルの二段階認証は別設定なので、サーバーパネル側も設定している場合はそれぞれ解除してください。
古い端末を初期化してから「あ、認証アプリが」と気づくパターンがもっとも多い失敗です。機種変更の予定が決まったら、認証アプリに登録しているサービスを一覧にして、それぞれの引き継ぎ方法を確認してください。エックスサーバー以外にも同じ問題を抱えているサービスがあるはずです。
ログインできなくなったとき
| 状況 | 対処 |
|---|---|
| コードが合わない | 端末の時刻がずれていないか確認（自動設定に） |
| コードの入力が間に合わない | 切り替わったばかりのコードを使う |
| アプリを削除してしまった | アプリのバックアップから復元、なければバックアップコードでログイン |
| 端末を紛失・故障した | 入力画面下の「バックアップコードで認証する」からログイン。SMS認証も設定していればSMSのコードでも入れる |
| バックアップコードも紛失 | 公式サポートのメールフォーム（ログイン情報が不明の方向け）から問い合わせる |
コードが合わない場合、端末の時刻ズレが原因のことがあります。認証アプリは時刻をもとにコードを生成するため、端末の時刻が数分ずれるとコードが一致しません。時刻を自動設定にしてください。
バックアップコードでログインした後の扱いは、画面によって違います。Xserverアカウントは、バックアップコードでログインしても二段階認証は解除されません。新しい端末で設定し直し、必要ならバックアップコードを再発行してください（再発行すると新しい10本に切り替わります）。一方サーバーパネルは、バックアップコードでログインすると二段階認証の設定が削除されるため、ログイン後に設定し直す必要があります。
出典：エックスサーバー公式マニュアル「二段階認証」（2026年10月10日確認）。
サポートへの問い合わせが必要になった場合、確認の手続きに時間がかかる可能性があります。その間はサーバーの契約管理や支払いができないため、契約期限が近い時期は特に注意してください。
二段階認証以外のセキュリティ対策
二段階認証だけでは守れない範囲があります。
1. パスワードを使い回さない
Xserverアカウント、サーバーパネル、各メールアドレス、WordPressと、それぞれ別のパスワードを設定してください。
-
WordPressのログイン情報を強固にする
WordPressは攻撃対象になりやすく、こちらは二段階認証の対象外です。十分に長いパスワードを設定してください。設定は初期設定チェックリストにまとめています。 -
不要なFTP・SSHアカウントを削除する
制作会社などに一時的に渡したアカウントは、作業終了後に削除してください。 -
登録メールアドレスを守る
パスワード再発行の案内はメールに届きます。メールアカウントが乗っ取られると、二段階認証があっても迂回される可能性があります。
まとめ
二段階認証は、パスワードが漏れても侵入を防ぐ仕組みです。Xserverアカウントには契約・支払い・ドメイン管理が集約されているため、設定しておく価値があります。特にドメインを失うと取り返しがつきません。
ただしいちばん多いトラブルは乗っ取りではなく、自分が締め出されることです。設定する前に、①バックアップ機能のある認証アプリを選ぶ、②バックアップコードを保管する、③機種変更時の手順を決めておく、の3つを済ませてください。
機種変更するときは必ず変更前に引き継ぎまたは一時解除を行ってください。古い端末を初期化してから気づくと、復旧にサポートへの問い合わせと本人確認が必要になります。
管理画面の役割分担はXserverアカウントの記事、ログイン方法はログインの記事、契約直後の設定は初期設定チェックリストをご覧ください。