PINの目的
サポート案件は、たいてい相手が本当にアカウント所有者と話しているのかを確認する必要がある場面に達します。GitLabサポートPINは、その瞬間のために存在します。アカウント所有者がオンデマンドで発行するコードで、サポートがリクエストをアカウントと照合するためのものであり、意図的にパスワードより狭い範囲しか持ちません。
その狭さこそが要点です。パスワードはアカウント全体を開きます。リカバリーコードはアクセスをリセットできます。公開ユーザーIDやプロフィールのハンドルは誰にでも見えます。PINは「これは所有者か？」という一つの問いに答えるためだけのもので、それ以上ではありません。
生成する前に：チャネルを確認する
コードを求められたメッセージから始めないでください。自分で独立して確認できるサポートチャネルから始め、そこから案件を開きます。
- 実際に開いているサポート案件があり、それがどう開かれたかを把握していることを確認します。自分が開いていない場合は、別の方法で確認できるまで、そのリクエストは未検証として扱います。
- 予期しないメッセージ内で提供されたリンクやアドレスではなく、自分が管理する経路——普段使っているサポートの入口——からサポートに連絡します。
- 誰が尋ねているかを確認します。求めていないのに届いたPINのリクエストや、すぐに返信するよう急かすものは、従う理由ではなく、立ち止まる理由です。
- 会話は確認済みのチャネル内に保ちます。相手の求めに応じて新しいアドレスやスレッドに移ると、たった今行った確認が台無しになります。
公式に見えるという理由だけで、自動的に信頼できるメッセージはありません。確認の手順はあなた自身が行うものであり、それこそがPINを安全に使えるようにする部分です。
PINを生成する
案件が本物だと納得できたら、所有者としてログインした状態で自分でPINを生成します。
所有者は「Edit profile」の「Account」から「Generate New PIN」を開けます。Source
PINはあなた自身が、自分のアカウント設定で作成します。サポートから受け取るものではなく、サポートがあなたのために生成することもできません。誰かがあなたの代わりにPINを生成すると申し出たら、それは気づく価値のある矛盾です。
有効期間を理解する
サポートPINは作成から7日後に失効し、同じアカウント設定で確認できます。Source
失効は提案ではなく、組み込まれた制限です。サポート会話が実際に必要とするときにPINを生成し、何日も前には生成しないでください。以前のPINがまだ有効か不明な場合は、同じ設定画面で確認します。
サポートが求める可能性があるもの
GitLabサポートは、アカウント所有者の身元を検証するためにサポートPINを求めることがあります。Source
そのリクエストの向きに注目してください。サポートが求め、あなたが提供し、目的はあなたがアカウントを保持していることを検証することです。これは身元の確認であり、制御の移転ではありません。
PINを他のすべてから分離する
| 項目 | できること | サポート案件での扱い方 |
|---|---|---|
| パスワード | アカウントにサインインする | どのチャネルでもサポートに送らない |
| リカバリーコード | アカウントへのアクセスを復元できる | 非公開に保つ。サポート検証用トークンではない |
| 公開ユーザーIDまたはハンドル | 誰にでもプロフィールを識別させる | 言及してよいが、それ自体では何も証明しない |
| サポートPIN | サポートがアカウント所有者を検証できる | 確認済みのサポート会話の中だけで、有効な間だけ共有する |
誤った相手と共有したPINは、パスワードより弱いとしても、やはり漏えいです。有効な間は機密情報として扱ってください。
想定しておくべき失敗経路
- PINが失効した。 同じアカウント設定で新しいPINを生成し、確認済みのスレッドで続行します。古い値を使い回したり、別の会話に貼り付けたりしないでください。
- 予期しないメッセージからリクエストが来た。 止まってください。自分が選んだチャネルで案件を確認し、元のメッセージは未確認として扱います。
- 誰かがパスワード、リカバリーコード、または相手が生成したPINを求めてくる。 断ってください。これらはいずれも正当な身元確認に属しません。
- 案件が本物か確信が持てない。 不確かなままPINを送らないでください。まずチャネルの疑問を解決しましょう。PINは待てます。
- 確認済みの会話以外でPINをすでに共有してしまった。 アカウント設定に戻ってPINを確認し、漏えいが無害だったと決めつけずに失効させてください。
短いチェックリスト
- サポート案件が存在すること、そしてそれがどう始まったかを確認した。
- 予期しないメッセージで提供された経路ではなく、自分が選んだ経路からサポートに連絡した。
- アカウント所有者としてログインし、自分でPINを生成した。
- PINがいつ作成されたか、まだ有効期間内かを確認した。
- PINは確認済みの会話の中だけで共有しており、パスワードやリカバリーコードは送っていない。
- 案件の途中でPINが失効したらどうするかを把握している。
連絡そのものに疑いがある場合の次のステップ
PINは、会話を信頼できて初めて役に立ちます。SNSやダイレクトメッセージ経由で接触があり、相手が本物かどうかまだ判断している段階なら、まずチャネルの疑問に取り組みましょう。偽のカスタマーサポートSNSアカウントを確認するためのガイドを参照してください。サポートチャネルが確認できたら、PINの話に戻ります。
ユーザー名検索は、似たハンドルを使う公開プロフィールを浮かび上がらせることで、こうしたチャネル確認を支えられます。ただし一致は手がかりであり、アカウントの背後に誰がいるかの証明ではありません。判断は依然として、確認済みのサポート経路に基づくものであり、それらしいプロフィールに基づくものではありません。