コミュニティのセキュリティ設定では、サインアップ時とサインイン時に本人であることを確認する方法を決めます。メール認証、二要素認証（2FA）、スパム登録を防ぐ CAPTCHA、メンバーが使えるログインプロバイダーです。メンバーのサインアウトと、セキュリティ関連の変更の追跡についても説明します。
対象者：コミュニティのオーナーと管理者。モデレーターと請求管理者は設定を開けません。 · 場所：ウェブ（管理画面）。設定はウェブと Mateflow アプリに適用されます。 · プラン：セキュリティページは、すべてのプラットフォームプランで利用できます。シングルサインオン（SSO）、独自のソーシャルログイン認証情報、監査ログは、プラットフォームプランによって異なります。
コミュニティのセキュリティ設定を開く
管理画面 → 設定 → セキュリティに移動します。セキュリティとスパム対策ページには、2 つのセクションがあります。
- 認証：メール認証を必須にすると二要素認証を有効にする。
- スパム対策：Turnstile CAPTCHAを有効にする。
設定を変更したら、ページ下部の Save Changes をクリックします。
あなた自身の Mateflow アカウントのセキュリティは別に設定します。クリエイターダッシュボード (app.mateflow.com) → 設定 → セキュリティを使ってください。
新規メンバーにメール認証を求める
メール認証を必須にする（「ユーザーはメールアドレスを確認する必要があります」）は、サインアップする人に、送信したコードでメールアドレスの所有を証明してもらうかどうかを決めます。
- オン：新規メンバーは、アカウントが作成される前にメールアドレスを認証します。
- オフ：メールアドレスでサインアップする人や、メールアドレスを提供しないソーシャルログインのあとにメールアドレスを追加する人には、コードが求められません。Turnstile CAPTCHAを有効にするがオンの場合、コードなしのサインアップでは Turnstile のチェックに合格する必要があります。
どちらの場合も、有料のサインアップでは必ず確認コードが必要です。また、メールで送った招待は認証済みとして扱われます。メールアドレスを提供するソーシャルログインと SSO では、プロバイダーのメールアドレスが使われます。
メールアドレスを認証せずに参加したメンバーは、メールアドレスを認証するまで認証バッジを申請できません。あとから認証するには、設定 → セキュリティ（メールアドレスの変更）でメールアドレスを変更し、新しいアドレスを確認します。メンバーの認証申請を審査するを参照してください。
メンバーが二要素認証（2FA）を有効にできるようにする
二要素認証を有効にする（「ユーザーがアカウントに2FAを設定できるようにします」）をオンにすると、あなたとチームを含む全員が、自分のアカウントに二要素認証（2 段階認証）を追加できます。オンの場合、各自がウェブまたは Mateflow アプリの設定 → セキュリティで設定します。二要素認証を有効にするを参照してください。
- このスイッチは、2FA を使えるようにするものです。2FA を必須にするものではなく、有効にするかどうかは各自が決めます。
- 2FA を有効にした人には、パスワード、メールリンク、ソーシャルログイン、SSO のどのサインイン方法でもコードが求められます。
- スイッチをオフにすると、新たに 2FA を設定することはできなくなります。すでに使っているメンバーには、自分でオフにするまで引き続きコードが求められます。
- 管理者はメンバーの 2FA をリセットできません。認証アプリとリカバリーコードの両方を失ったメンバーは、Mateflow のサポートに連絡する必要があります。
Turnstile CAPTCHA でスパム登録をブロックする
Turnstile CAPTCHAを有効にするは、ボットを防ぐために Cloudflare Turnstile のチェック（CAPTCHA）を追加します。オンにすると、ウェブと Mateflow アプリで、サインアップ、サインイン、メールでのサインインリンクのリクエスト、パスワードのリセットのときにチェックを通過する必要があります。自分の Cloudflare アカウントが必要です。
- Cloudflare で Turnstile ウィジェットを作成し、コミュニティのドメインを追加します。カスタムドメインを使っている場合は、それも追加します。
- 管理画面 → 設定 → セキュリティで、Turnstile CAPTCHAを有効にするをオンにします。
- Turnstile設定で、ウィジェットの Turnstileサイトキーと Turnstileシークレットキーを貼り付けます。
- Save Changes をクリックし、サインアップページを一度開いて、ウィジェットが読み込まれることを確認します。
保存時に確認されるのは、シークレットキーだけです。Cloudflare がキーを拒否した場合は、「Cloudflare がこのシークレットキーを拒否しました。サイトキーと同じウィジェットからコピーしたか確認してください。」と表示されます。
Turnstile がオンかどうかにかかわらず、失敗が続くとサインインは一時停止され、「試行回数が多すぎます。」とカウントダウンが表示されます。
メンバーのサインイン方法を選ぶ：ソーシャルログインと SSO
ログインプロバイダーは、管理画面 → 設定にある別の 2 つのページで設定します。
- ソーシャルログイン：メンバーが Google、Apple、Facebook、X でサインインできるようにし、ログインモードを任意、優先、ソーシャルのみから選びます。ソーシャルログインを設定するを参照してください。
- SSO：SAML 2.0 または OIDC のシングルサインオンで組織の ID プロバイダーを接続し、SSOのみなどのログインポリシーを選びます。SSOのみを選ぶ前に、リカバリー管理者を追加してください。シングルサインオン（SSO）を設定するを参照してください。
メンバーをセッションからサインアウトさせる
管理画面 → メンバー → セッション（ユーザーセッション）に移動すると、ユーザーがサインインしている場所が、デバイス、場所、最終アクティビティ、ステータスとともに表示されます。セッションのメニューからセッションを終了を選ぶとそのデバイスから、すべてのユーザーセッションを終了を選ぶとすべての場所からサインアウトさせます。複数のセッションをまとめて終了するには、セッションを選択して選択したものを終了をクリックします。
メンバーのページでは、アクティブなセッションにすべてログアウトがあります。サインアウトさせてもアカウントは変わらず、その人は再びサインインできます。サインインさせないようにするには、メンバーをBAN・停止・制限するを参照してください。
監査ログでセキュリティの変更を追跡する
監査ログには、ログインプロバイダーの変更やなりすまし（メンバーとしてコミュニティを表示すること）など、セキュリティ関連の操作が記録されます。管理画面 → モデレーション → 監査ログで、セキュリティまたは設定のカテゴリーで絞り込みます。監査ログを使うを参照してください。
関連記事
このガイドは役に立ちましたか？