/安全性について/セッションについて

メールアドレスとパスワードによりログインした後のページ移動の際は、
セッションIDを利用して認証します。
セッションIDは自動発行されクッキーにて通信しますので、入力等の必要はありません。

セッションIDと関連付けられたIPアドレスが一致した場合のみ認証されますので、
流出した場合でも基本的には別端末では利用できません。

ただし、昨今ではIPv4アドレスの枯渇により、
グローバルIPアドレスが配布されないプロバイダが存在します。
主に、携帯電話の回線です。
そのような場合、通常のセッション認証ができないので、
ログイン後にページ移動をすると次のページでログイン状態が維持できません。
そのような場合でもサービスが利用できるように、
SSLログインページにワンタイム認証機能を用意しています。
この機能を利用すると、最大1時間IPアドレスが違う場合でもセッションが有効になります。
クッキーのみで認証できるようになるため、
この機能を利用しないで認証できる場合は、機能を利用しないほうが安全です。