メール所有確認・招待認証 調査ノート
メールアドレスを使った招待・外部共有で、「秘密の URL を持っている」ことと「招待先メールアドレスをコントロールしている」ことをどう分離するかについてのノート群。
EVP
- Email Verification Protocol (EVP) は何を証明するのか — EVP が何を証明し、Browser / Issuer / RP がどう役割分担するか
- EVPで招待URLを招待先メールアドレスに束縛する — 秘密の招待 URL を EVP で招待先メールアドレスに束縛する具体的な構成
問題の分解
- 秘密の招待URLは「本人」を証明しない — 秘密 URL は本人性ではなくトークン所持を証明する、という出発点
- メールアドレス所有確認のフォールバック設計 — EVP 非対応時の OTP、federation、既存 verified email、passkey など
- 招待リンクとメール所有確認を分離している実例 — Microsoft Entra B2B、Google Drive visitor sharing、GitHub Organization invitation の実例
現時点の結論
招待 URL を単なる invitation handle とし、redemption 時に招待先メールアドレスのコントロールを独立に確認する設計は、すでに複数の実サービスで使われている。
EVP はその verification step をメール OTP より低摩擦にする有力な方向だが、2026年8月時点では Origin Trial 段階であり、対応ブラウザ・Issuer が限られる。そのため現在の実装では EVP を progressive enhancement として使い、email OTP や federation をフォールバックにするのが現実的である。