拡張権限を預かる利用者に対する二要素認証の必須化
インターネットの他のプラットフォームと比べると、ウィキメディアではセキュリティやプライバシーに配慮した対応ができる利用者の数は極めて多くなります。これらの人々はおおむね有能で信頼されるコミュニティの構成員ではあるものの、フィッシングの被害者になったり、パスワードを盗まれる可能性は誰にでもつきものです。そのような権限を付与されたアカウントが乗っ取られた場合は、悪用され他の利用者に害を及ぼす恐れがあります。
機密性の高い権限を預かるアカウントにログインするについて、これはウィキメディア財団が二要素認証（2FA）を義務化し、より安全なシステムへ移行しようとする理由です。
お役に立つように一連の新機能を作成してあります。最も重要なのは、利用者ごとにパスキーを含め、望むだけの数の二要素認証を設定できるようになった点です。利用者がパスキーを登録すると、パスワードを全く使用しなくてもログインができます。 一部の利用者はパスキーを使う場合、ログインは二要素認証を有効にする前よりも迅速になります。
機密性の高い権限とは？
どの利用者グループを対象に含めるか考える場合、ウィキメディア財団Wikimedia Foundation 最新の安全と整合性チーム Safety and Integrity team では次の権限を行使できるところを考慮しました。
- 個人情報または機密情報を閲覧（IPアドレス、監視中のコンテンツほか）
- 他の利用者（またはすべての人）のためにJS/CSSを編集すること
- 権限の拡大／利用者を推薦（自分自身を含む誰かをグループに追加）
- 公式の役務を示唆するグループ
2FA の技術的な施行と権限の自動除去
機密権限を保持していても 2FA を有効にしていない利用者には、直接、施行日前にご連絡し、2FA を有効にする方法に関して指示をお伝えします。必ず特別ページにアクセスし、認証アプリまたはセキュリティキーの設定を済ませていただきます。その後には、ログインと再認証を大幅に簡素化するパスキーの追加も推奨されます（案内をご参照ください）。
施行の開始には2週間の猶予期間を設けます。同期間中は、2FA がまだ有効になっていない利用者には機密権限の付与はできません。それに加えて、機密性の高い権限を預かる利用者が 2FA を無効にしようとしても、このソフトウェアは許可しません。この期間中に、2FA を一時的に無効にしたい場合、利用者はまず先に機密権限の除去を依頼するか、可能であればご自身で除去願います。必ずスチュワードとご自身とで調整の上、いったん2FA を無効化してから再び有効にする手順を整えてください。
同期間が過ぎると、2FA が無効の利用者から機密性の高い権限を自動的に除去します。該当する利用者にはコミュニティの定型のプロセスを介して、権限の再申請が認められます。
二要素認証が必須の権限
ローカルグループ
| ローカルグループ | 説明 | 施行日 |
|---|---|---|
| 中央管理通知管理者 | 他の利用者の JS/CSS を編集する | 2026年3月 |
| チェックユーザー | 個人情報または機密情報へのアクセス | 2026年3月 |
| インターフェース管理者 | 他の利用者の JS/CSS を編集する | 2026年3月 |
| 秘匿者 | 個人情報または機密情報へのアクセス | 2026年3月 |
| ウィキデータスタッフ | 公式な役務 | 2026年3月 |
| ウィキファンクションのスタッフ | 他の利用者の JS/CSS を編集する | 2026年3月 |
| WMFのITサービス | 他の利用者の JS/CSS を編集する | 2026年3月 |
| WMF信頼と安全 | 他の利用者の JS/CSS を編集する | 2026年3月 |
| 財団ウィキ foundationwiki の編集者 | 他の利用者の JS/CSS を編集する | 2026年4月 |
| OAuth 管理者 | 個人情報または機密情報へのアクセス | 2026年4月 |
| スチュワード[1] | 個人情報または機密情報へのアクセス | 2026年4月 |
| 財団ウィキ foundationwiki の翻訳管理者 | 他の利用者の JS/CSS を編集する | 2026年4月 |
| 裁定委員会委員 | 個人情報または機密情報へのアクセス | 2026年5月 |
| ビューロクラット | 権限の拡大 | 2026年5月/2026年6月 |
グローバル・グループ
| グローバル・グループ | 説明 | 施行日 |
|---|---|---|
| 不正利用フィルター閲覧者 | 個人情報または機密情報へのアクセス | 2026年6月 |
| 不正利用フィルター保守員 | 個人情報または機密情報へのアクセス | 2026年6月 |
| 創設者 | 他の利用者の JS/CSS を編集する | 2026年6月 |
| グローバルインターフェース編集者 | 他の利用者の JS/CSS を編集する | 2026年6月 |
| グローバル管理者 | 他の利用者の JS/CSS を編集する | 2026年6月 |
| 新規ウィキインポート担当者 | 個人情報または機密情報へのアクセス | 2026年6月 |
| オンブズ委員 | 個人情報または機密情報へのアクセス | 2026年6月 |
| スタッフ | 他の利用者の JS/CSS を編集する | 2026年6月 |
| システム管理者 | 個人情報または機密情報へのアクセス | 2026年6月 |
| U4Cメンバー | 個人情報または機密情報へのアクセス | 2026年6月 |
| wmf-email-block-override | 他の利用者の JS/CSS を編集する | 2026年6月 |
| WMF調査員 | 他の利用者の JS/CSS を編集する | 2026年6月 |
背景
2025年4月、ウィキメディア財団はコミュニティ役務者と共同で、最大およそ3万6000件にも及ぶアカウントへの大規模な不正アクセスについて調査しました。あらゆるセキュリティ事案の適切な対応において、将来、そのような事案の発生可能性と影響を低減するよう体系的な改善を行うことこそ重要な要素です。
その作業の一環として実施したステップの一つはプロジェクト群のインターフェース管理者の皆さんを対象として、二要素認証（2FA）を必須として技術的に強制を始めました。また編集者に関する非公開情報への特権的なアクセスが認められたチェックユーザーやオーバーサイトの皆さんにも、2FAの技術的適用範囲を広げてあります。
ウィキメディア財団は 2026年3月付で、従来から方針上は要件であった利用者を対象に、二要素認証（2FA）を技術的に義務化しました。しかしながら機密性の高い権限であるのに、このようなセキュリティ対策を講じていないものが多数あります。プロジェクトと利用者の安全確保のため、これら権限を行使する利用者グループ全件に対して、2FA の技術的適用範囲を拡大することに決まりました。
お問い合わせ
私たちは上記の変更に先立つ事前告知として本投稿を公開し、コミュニティの皆さんから意見を集める機会を設けようとしています。どの人にとっても、この体験がより円滑に実現できるよう、現在および将来にわたって、このような二要素認証の必須化措置をどうすれば最適に実施できるか、また二要素認証ならびに関連機能にどのような技術的改善を追求すべきか、ご意見をお待ちしています。
ぜひ議論ページにあなたの意見を投稿するか、フィードバックの内容を非公開にされたい場合は、security-help
wikimedia.orgにメールしてください。特に、次のテーマについてご意見を求めています。
- ウィキメディアのプロジェクト群の二要素認証について、あなたを悩ませるのはどのような問題ですか？ あるいはまた、ほかの利用者がどんな問題に直面しているところを見かけましたか？ ソフトウェアのバグ、安全上の懸念、説明文書がない、デバイスの互換性による問題など、どんな点でも構いません。
- プロジェクトにおける特権アクセスの保護に寄与し得る要件として、二要素認証以外に私たちがセキュリティに関して検討すべき技術要件はありますか？
- セキュリティ方針の強化を図るにあたり、ほかにどの利用者グループや権限に焦点を当てるべきですか？
- 本措置を実施するにあたり、私たちはどんな点に最も配慮するべきですか?
- 上記以外のテーマに関するコメントやご質問も気兼ねなくお聞かせください。
よくある質問
- この協議を主催しているのは誰ですか?
- コミュニケーション部門の支援のもと、ウィキメディア財団の製品安全性と整合性チームが担当します。
- 二要素認証用のデバイスを紛失した場合、何が起こりますか?
- ヘルプ:二要素認証-にある指示をご覧ください。
脚注
- ↑ 技術的には、グローバルおよびローカルのスチュワード・グループは両方とも存在し、前者の成員でなければ後者に就任できません。2FA の施行はまずローカルのレベルで先行します。管理者は全員、その時点で 2FA を義務化済みのため、（後日に実施予定の）グローバルな施行には実践上の影響は及ばないのです。