> ## Documentation Index
> Fetch the complete documentation index at: https://waffo.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# Portal のログイン、メールリンク、アカウントステータス

> Merchant Portal からログアウトされる理由、各メールリンクの有効期間、再送が拒否される理由、パスワードの有効期限と再利用のルール、Continue with Google の動作、ログインできるアカウントステータスとできないものを説明します。

このページは Merchant Portal に**入る**ことについて扱います。セッション、メールリンク、パスワード、アカウントステータスです。ロールの権限、チームメンバーの招待、ログイン履歴、2 段階認証は[Merchant Portal の運用](/docs/ja/support/portal-operations-faq)で扱っています。初回のサインアップ、サンドボックス、アカウント認証の流れは[セルフサービスのサインアップ、サンドボックス、アカウント認証](/docs/ja/support/getting-started-self-serve-faq)で扱っています。API の資格情報と公開鍵は[Portal のセルフサービスセキュリティ設定](/docs/ja/support/portal-security-config-faq)にあります。

以下に引用するメッセージはすべて Portal が実際に表示するテキストそのものなので、画面で見たものと原因を突き合わせられます。

## Portal から繰り返しログアウトされるのはなぜですか？

Portal のセッションは**無操作を基準とし、絶対的な上限**を持ちます。

| ルール | 値 | 意味 |
| - | - | - |
| 無操作タイムアウト | 8 時間 | 操作のないセッションは期限切れになります。操作により更新されます。 |
| 更新のしきい値 | 4 時間 | セッションが延長されるのは、期間の残りが 4 時間未満になってからです。したがって、短時間の操作のたびに毎回時計がリセットされるわけではありません。 |
| 絶対的な最大 | 16 時間 | 継続的に操作していてもここで終了します。再度ログインが必要です。 |

セッションがなくなると、リクエストは `Session expired.` として返り、Portal はログイン画面に戻します。これらの期間を Portal から延ばす方法はありません。

タイマーを待たずに即座にセッションを終了させるものが 2 つあります。

* パスワードを繰り返し間違えてアカウントがロックされた場合（下記参照）
* 管理者によってロールが変更された場合 — [Merchant Portal の運用](/docs/ja/support/portal-operations-faq)を参照してください。

## 各メールリンクの有効期間はどのくらいですか？

4 種類のメールが 4 種類のリンクを運びますが、その有効期間は**同じではありません**。これが「リンクが期限切れと表示される」という問い合わせの最も多い原因です。

| メール | リンクの有効期間 | 再利用可能？ |
| - | - | - |
| チームへの招待（管理者が追加した） | **24 時間** | いいえ — 1 回限り |
| パスワードリセット（「Forgot password」） | **30 分** | いいえ — 1 回限り |
| セルフサービスのサインアップ有効化リンク（「Magic Link」） | **15 分** | いいえ — 1 回限り |
| サインアップのワンタイムコード（OTP）。リンクの代わりにコードを選んだ場合 | 短時間。Portal にカウントダウンが表示されます | いいえ |

期限切れまたは使用済みのリンクは静かに失敗するのではなく、固有のメッセージが表示されます。

| 表示 | 原因 |
| - | - |
| `Verify email is expired.` | 招待またはリセットのリンクが有効期間を過ぎています |
| `Invalid email verify token.` | リンクが改変された、すでに消費された、またはこのアカウントと一致しません |
| `Sign-up link is invalid or expired.` | 15 分のセルフサービス有効化リンクがもう使えません |

いずれの場合も対処は同じです。新しいものを要求してください。失われるものはありません。リンクは本人であることを証明するだけで、データを運んでいるわけではありません。

## 新しいリンクを要求しましたが何も届きません。なぜですか？

これらのメールには 1 分あたりの短い上限があり、それに達するとメールではなくメッセージが返るためです。

> `Reached the message send times limit, please try again later.`

上限はパスワードリセットと、招待 / サインアップ有効化メールとで別々にカウントされます。有効化リンクの再送は招待と同じ枠を使います。

したがって、*Resend* を続けて何度もクリックした場合、後のクリックは拒否され、送信中なのは最初の方のメールです。1 分待ってから 1 回だけ要求し、次を確認してください。

1. 迷惑メールフォルダ
2. アドレスが管理者が実際に招待したものであること
3. メールサーバーが外部送信者を隔離していないこと

それでも説明がつかない場合は、管理者にチームメンバー一覧から再送してもらってください。そこではアカウントがまだ `Pending` かどうかも確認できます。

## 複雑さ以外のパスワードのルールは何ですか？

複雑さの要件は[Merchant Portal の運用](/docs/ja/support/portal-operations-faq)で扱っています。さらに 3 つのルールが、パスワード変更がそもそも受け付けられるかを決めます。

| ルール | 挙動 |
| - | - |
| 形式 | 空白以外の 8 文字以上で、大文字 1 つ以上、小文字 1 つ以上、数字 1 つ以上を含むこと |
| 再利用 | 新しいパスワードは**直近 3 つのパスワードのいずれとも一致してはなりません** |
| 有効期限 | パスワードは設定から **90 日**後に期限切れになります |

メッセージは 1 対 1 に対応します。

| 表示 | 意味 |
| - | - |
| `The password format must be at least 8 non-blank characters, at least one uppercase letter, at least one lowercase letter, and at least one number.` | 複雑さの要件を満たしていません |
| `For security reasons, your new password cannot be the same as your last three passwords` | 再利用ルールに抵触しました — 本当に新しいものを選んでください |
| `Passwords do not match.` | 2 つのフィールドが一致していません |
| `Wrong password.` | 変更を承認するために入力した*現在の*パスワードが誤っています |

再利用のチェックは、ログイン中にパスワードを変更する場合にも、リセットリンクから設定する場合にも実行されるため、どちらの経路でも古いパスワードに戻すことはできません。

## Portal に「新しいパスワードを設定してください」という画面を強制されました。何が起きたのですか？

パスワードが 90 日の有効期限に達しました。ログインは成功しますが、次が返ります。

> `Your password has expired. Please set a new password for enhanced security.`

そして Portal は強制的なパスワード変更画面へ誘導します。これはスキップできません。新しいパスワードを設定するまで他の Portal のページは読み込まれません。新しいパスワードは形式のルールを満たし、直近 3 つを繰り返さないものである必要があるため、あらかじめ用意しておいてください。設定すると 90 日の時計も再開します。

これを引き起こすのはパスワードによるログインです。Google でログインした場合、有効期限のチェックが Portal への入場を妨げることはありません。ただし、パスワードは変更するまでパスワードログインについては期限切れのままです。

## アカウントがロックされました。どれくらいの期間で、何で解除されますか？

パスワードの誤入力は **1 時間**単位でカウントされます。その期間内の **5 回目**の失敗でアカウントがロックされます。

| 段階 | 何が起こるか |
| - | - |
| 失敗 1–4 回目 | `Username or password wrong.` でログインが拒否されます |
| 5 回目の失敗 | アカウントのステータスが `Locked` になり、解除時刻が **1 時間後**に設定され、貴方の有効なセッションはすべて失効します |
| ロック中 | `Your account is temporarily locked. Please try again later.` でログインが拒否されます |
| 1 時間後 | アカウントは自動的に通常に戻ります |

知っておく価値のある 2 つの帰結：

* カウンターが動くのは現在 `Active` のアカウントに対してのみなので、すでに `Pending` または `Locked` のアカウントに対する失敗はそれ以上のペナルティを積み上げません。
* ログインに成功するとカウンターはクリアされるため、4 回失敗した後に成功すれば、残り 1 回ではなくまっさらな状態に戻ります。

早期にロックを解除する Portal のボタンはありません。待てない場合は、貴社アカウントの管理者がパスワードリセットの経路で手助けできます。リセットリンクはロックのタイマーとは独立しています。

## どのアカウントステータスがあり、どれがログインできますか？

ログインできるステータスは 1 つだけです。残りはそれぞれ独自のメッセージを返します。

| ステータス | ログイン可否 | Portal の表示 / 動作 |
| - | - | - |
| `Pending` | 不可 | `The user needs to set the password first.` — 招待が完了していません。招待リンクを使うか、新しいものを依頼してください |
| `Active` | **可** | 通常のログイン |
| `Locked` | 不可 | `Your account is temporarily locked. Please try again later.` — 一時的なものです。上記参照 |
| その他のステータス | 不可 | `User disabled.` |

**Settings → Members** のチーム一覧では最初の 2 つ（`Pending` と `Active`）にラベルが付きます。招待フローが生み出すのがこの 2 状態だからです。それ以外が表示されている行は、もうログインできないアカウントであり、管理者のみが対処できます。

したがって `User disabled.` は不具合の報告ではありません。アカウントは存在するが、ログインを許可する状態ではなくなったということです。再試行するのではなく、貴社の加盟店アカウントの管理者に連絡してください。

## 「Continue with Google」は何をしますか？

ログイン画面とサインアップ画面の両方にあります。クリックすると Google 自身の同意画面が開きます。Waffo が Google のパスワードを見ることはありません。

その後どうなるかは、すでに何が存在するかによります。

| 状況 | 結果 |
| - | - |
| そのメールアドレスの Portal ユーザーがすでに存在する | ログインされ、今後のログインのために Google アカウントが連携されます |
| Portal ユーザーは存在するがまだ `Pending`（招待済みで未有効化） | そのアドレスの所有を Google が証明することでアカウントが有効化され、その後ログインされます |
| そのアドレスの Portal ユーザーが存在しない | この方法でアカウントを作成できるのは、セルフサービスのサインアップが開放されている場合のみです。[セルフサービスのサインアップ](/docs/ja/support/getting-started-self-serve-faq)を参照してください。開放されていない場合、ログインは拒否されます |

常に適用される 2 つのルール：

* Google がそのアドレスを**検証済み**として報告する必要があります。未検証の Google アドレスは拒否されます。
* 上記のステータスチェックは引き続き実行されます。Google ログインでロック中や非アクティブのアカウントを**回避することはできません**。

連携はメールアドレスに対して行われるため、Google でのログインとパスワードでのログインは*同じ* Portal ユーザーに到達します。2 つ目のアカウントではありません。Google ログインが想定外に失敗した場合、Portal は理由をその場に表示します。1 回再試行し、それでも駄目ならメールとパスワードに切り替えてください。

## サインアップフォームで「セキュリティ確認」を求められるのはなぜですか？

セルフサービスのサインアップは入力されたアドレスに実際のメールを送るため、最初の送信は人間確認のチャレンジで保護されています。通過しない場合は次が表示されます。

> `Security check failed. Please refresh and try again.`

ページを更新して 1 回送信してください。チャレンジは短時間しか有効でないため、古いページが圧倒的に多い原因です。このチェックはサインアップを開始する送信時に実行され、その後のすべてのステップで実行されるわけではありません。

## サインアップフォームの招待コードのフィールドは何ですか？

**任意**です。空のままにしてもサインアップは通常どおり進みます。

コードを渡されていて、それが受け付けられない場合のメッセージは次のとおりです。

> `The invitation code is invalid.`

コードは厳密です。前後に空白を入れず、大文字小文字も正確に入力してください。それでも失敗する場合は、推測せずにコードを渡した人に確認してください。なお、コードを消せばいずれにせよ登録できます。

## サインアップしようとしたら、そのアドレスにはすでにアカウントがあると言われました。

`Email already exists.` が表示され、2 つ目のアカウントは作成されません。1 つのメールアドレスは 1 つの Portal ユーザーに対応するため：

* 以前にパスワードを設定していれば、それでログインしてください
* 招待を完了していなければ、招待リンクを使うか、管理者に再送を依頼してください
* パスワードが分からなければ、**Forgot password** を使ってください。作成方法に関わらず既存のアカウントで機能します

サインアップを繰り返しても新しいアカウントは作られず、1 分あたりのメール送信枠を消費します。

## サインアップ時にリンクとコードを選べますか？

はい。セルフサービスのサインアップは、アドレスの所有を証明する 2 つの方法に対応しています。

| 方法 | 仕組み | 有効期間 |
| - | - | - |
| 有効化リンク（デフォルト） | 1 回限りのリンクが記載されたメールを受け取り、開くとアカウントが有効化されます | 15 分 |
| ワンタイムコード（OTP） | 数字のコードを受け取り、フォームに入力します | 短時間。フォームにカウントダウンが表示されます |

どちらも同じことを証明するので、メール環境に合う方を選んでください。メールが同じ端末に届く場合はリンクの経路が、そうでない場合はコードの経路が簡単です。いずれの場合もアカウントは 1 回だけ作成され、1 分あたりの送信上限は両方に適用されます。

## ログインはできたのに、Portal がユーザーは加盟店に紐付いていないと言います。

メッセージは次のとおりです。

> `User not set relation merchants. Please contact your administrator to set the relation merchants.`

資格情報に問題はありません。アカウントがまだ加盟店アカウントに関連付けられていないため、開くべきデータがないのです。関連付けられるのは管理者だけです。これは通常の招待フロー以外でアカウントが作成された直後に最もよく現れます。

## Portal はログインのたびに確認コードを求めますか？

貴方のユーザーで 2 段階認証が有効になっている場合のみです。有効にした覚えがないのに表示される場合や、コードが届かない場合の対処を含め、[Merchant Portal の運用](/docs/ja/support/portal-operations-faq)と[Portal のセルフサービスセキュリティ設定](/docs/ja/support/portal-security-config-faq)で扱っています。

ここでの目安として：コードはメールで配信され、短時間しか有効ではなく、再送は上記のリンクメールと同じ考え方でレート制限されています。繰り返しクリックしても追加のメッセージではなく `OTP rate limit exceeded.` が返ります。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.