1Passwordのマスターパスワードを忘れた——復旧できるかはアカウントの種類で決まる
1Passwordのマスターパスワードを忘れた時の復旧手順。スタンドアロン版とアカウント型で結末が違う理由、リカバリーコード・家族/チーム回復の使い方、SSH Agent・Git署名・op CLIが止まる仕組みを公式ドキュメントで整理した。
※ 本記事にはプロモーションが含まれています。記事内リンクから申し込みがあった場合、筆者に紹介報酬が発生します。内容は独自調査に基づいており、報酬によって評価が変わることはありません。 #PR
エンジニアのゆとです。
1Passwordのマスターパスワード（正確には「アカウントパスワード」）を忘れた瞬間、頭をよぎるのは「全部消えた」だ。実際には、復旧できるかどうかはその1点だけでは決まらない。買い切りのスタンドアロン版か、1Password.comと契約したアカウント型かで、結末がまったく違う。
さらにエンジニアの場合、ロックされている数十分〜数日の間に止まるものが一般ユーザーより多い。SSH接続、Gitのコミット署名、op CLIを使ったシークレット取得——普段は意識していない依存関係が、1Passwordが1つロックされるだけで一気に表面化する。
この記事では、1Password公式サポートドキュメントをベースに「今すぐ確認すべきこと」「復旧できる場合の手順」「復旧できない場合に何が起きるか」を整理した上で、エンジニアが先に困る箇所と、その予防策までまとめた。
まず確認すること — 本当に「忘れた」のか
パニックになる前に、公式サポートが最初に案内している基本チェックがある。地味だが、これで解決するケースは実際に多い。
- 大文字・小文字を間違えていないか
- 一度テキストエディタに入力してから、目視で確認してコピペしているか
- 過去に使っていた別のパスワードを試していないか（特に複数の1Passwordアカウントを持っている場合）
- スペースやアクセント記号の有無を変えて試したか
- キーボードレイアウトが変わっていないか（US配列とJIS配列で記号の位置が違う）
Mac・Windows・iOS・Androidでは、Touch ID／Face ID／Windows Helloなどの生体認証でアプリのロックを解除できていた場合、そこにも猶予がある。ただし公式ドキュメントは「生体認証でのロック解除はいずれ期限切れになる」とはっきり書いている。生体認証で開けている間に、後述のリカバリーコード発行やデータのエクスポートを済ませておくのが実務的な最優先タスクだ。
復旧できるかは「スタンドアロン版」か「アカウント型」かで全部変わる
ここが一番誤解されやすいポイントで、検索してヒットする記事の多くもこの2つを曖昧にしたまま書いている。
スタンドアロン版（買い切り・旧バージョン）
1Password 7以前の買い切り版や、Vaultをローカルのファイルだけで運用する「スタンドアロン」構成の場合、マスターパスワードを本当に忘れたら基本的に詰む。1Passwordはゼロ知識設計（zero-knowledge）を採用しているため、運営会社側もマスターパスワードやデータの複号鍵を持っていない。サポートに問い合わせても「テキストエディタに書き出していないか」「他のデバイスにログインしたままになっていないか」を確認される程度で、パスワードそのものをリセットしてもらうことはできない。
アカウント型（1Password.comと契約）
一方、1Password.comのアカウントと紐づけて使っている場合（Individual／Family／Business／Teams）は話が違う。アカウントパスワードに加えて「Secret Key」という別の鍵が組み合わさって暗号化されている構成で、この仕組みの上に複数の回復手段が用意されている。次の章で扱う「リカバリーコード」と「家族/チーム管理者による回復」がそれだ。
つまり「1Passwordはマスターパスワードを忘れたら絶対詰む」という理解も、「1Passwordなら何とかなる」という理解も、どちらも半分しか合っていない。まず自分がどちらの構成で使っているかを確認する必要がある。
自分がどちらのタイプか確認する
パニック状態だと判断を誤りやすいので、確認手順を先に書いておく。
- アプリ左下や設定画面のアカウント一覧に、メールアドレス付きのアカウントが表示されている → アカウント型。1Password.comにブラウザでサインインできるかどうかでも確認できる
- アカウント一覧が空、あるいはローカルのVaultファイル（
.opvaultなど）を直接開く形で使っている → スタンドアロン版 - ソースネクスト版を購入した場合は、契約時期によってどちらの形態かが変わる。近年の販売分はアカウント型に寄っているが、古いライセンスをそのまま使い続けている場合はスタンドアロンの可能性がある
| 観点 | スタンドアロン版 | アカウント型（1Password.com契約） |
|---|---|---|
| 復旧手段 | 実質なし | リカバリーコード／管理者回復 |
| Secret Key | 使わない構成もある | 必須（アカウントパスワードと組み合わせて暗号化） |
| 家族・チームでの助け合い | 不可 | Family organizer／Business adminが回復可能 |
| サポートに問い合わせた場合 | エクスポート方法の案内程度 | 同上（鍵は持っていないため） |
アカウント型なら使える3つの回復ルート
公式ドキュメントが案内している回復手段は、実質的に3つに整理できる。
1. リカバリーコードを使う
事前にリカバリーコードを発行済みなら、1Password.com上で本人確認（登録メールアドレスへの確認が必要）を経て、新しいアカウントパスワードとSecret Keyを発行してもらえる。公式の説明はこうだ。
You can regain access to your 1Password account by using a recovery code on 1Password.com. After verifying your identity, you’ll be able to choose a new password. You’ll also get a new Secret Key.
重要なのは、この方法が使えるのは「事前にリカバリーコードを生成していた場合」に限られること。アクセスを失ってから慌てて生成することはできない。個人・ファミリーアカウントが対象で、Business/Teamsアカウントはこの方式ではなく次の管理者回復が基本ルートになる。
2. 家族organizer／チームadminに回復してもらう
Familyプランのorganizerや、Business/Teamsのadmin・ownerがいる場合、その人に「Begin Recovery」を実行してもらう方法がある。手順は次の通り。
- 管理者側が1Password.comにサインインし、Peopleから対象メンバーを選んで「Begin Recovery」
- 対象者がメールに届いたリンクから「Recover my account」を選択
- 管理者が回復完了の通知を受け取り、「Complete account recovery」で確定
回復が完了すると新しいSecret Keyと新しいアカウントパスワードが発行され、既存のデータはそのまま保持される。ただし二要素認証はリセットされ、全デバイスで再サインインが必要になる。
3. 生体認証の猶予期間中に動く
前述の通り、Touch ID／Windows Helloなどでロック解除できている状態には期限がある。この間に確実にやるべきなのは、アカウントパスワードを保存している「1Password Account」というログイン項目を確認すること、あるいはデータをエクスポートしておくことだ。生体認証の猶予が切れると、この手段自体が使えなくなる。
それでも回復できない場合
上記のいずれも使えない場合、公式ドキュメントの案内は素っ気ない。
If you tried all the steps above and still can’t unlock 1Password, you’ll need to start over. Contact 1Password Support.
「start over」、つまり新規アカウントを作り直す前提の文言になっている。1Password側が暗号化の鍵を持っていない設計上、サポートに連絡しても魔法のようにパスワードをリセットしてもらえるわけではない。この設計自体はセキュリティ上正しい（サポート側が復号できるなら、その経路が攻撃対象になる）が、備えていなかった側にとっては厳しい現実だ。
エンジニアはここで先に詰む — ロック中に止まる3つの経路
一般的な「サイトにログインできない」だけなら、パスワードを再発行してブラウザ拡張を入れ直せば済む。エンジニアの場合、1Passwordを起点にした自動化がいくつも積み重なっているケースが多く、ロック中に連鎖的に止まるものがある。
1. SSH Agent
1Password SSH Agentを使っている場合、秘密鍵はディスクではなく1Passwordの暗号化ストレージ側に置かれている。公式ドキュメントの説明はこうだ。
The SSH agent doesn’t keep your private keys in memory when 1Password is locked, only your authorization, so the app needs to be unlocked for the agent to access your private keys.
つまりロック中はエージェントプロセス自体は動き続けるが、肝心の秘密鍵にはアクセスできない。git pushや本番サーバーへのSSH接続がその場で止まる。SSH Agentの設定やGitHub Verifiedにする手順は別記事にまとめてある。
2. Gitコミット署名
SSH Agent経由でコミット署名を運用している場合、上と同じ理由で署名そのものが止まる。GitHubに「Unverified」のままpushされることになるので、緊急でどうしても直接pushしたい場面では、署名なしのコミットを一時的に許容するか、別の署名手段に切り替える判断が必要になる。
3. op CLI（デスクトップアプリ連携）
op CLIをデスクトップアプリ連携で使っている場合、CLI側の認証はアプリのロック状態に依存する。公式ドキュメントには「デスクトップアプリを開いてロック解除する」ことが連携の前提として書かれており、アプリがロックされたままではCLI経由のop readやop runも通らない。ローカルの.env.vault運用をしている場合、その日の開発作業そのものが止まることになる。
一方、CI/CDのService Accountは無事
ここは見落とされがちだが安心材料でもある。GitHub ActionsなどのCI/CDで使うService Accountのトークンは、個人アカウントのマスターパスワードとは独立した別物として発行されている。OP_SERVICE_ACCOUNT_TOKENをSecretsに登録してop runを実行する構成であれば、あなた個人が自分のアカウントパスワードを忘れてロックされていても、パイプライン側のシークレット取得は影響を受けない。
個人の開発端末とCI/CDのシークレット管理を、最初からService Account経由で分離しておく設計そのものが、こういう場面での被害範囲を小さくする。GitHub Actionsとの統合手順は別記事で扱っている。
今すぐやっておく予防策
ロックされてから対策しても遅い。備えは「忘れる前」にしか効かない。
- リカバリーコードを今すぐ発行する。個人・ファミリーアカウントなら数分で終わる作業で、発行しておかない限り前述のルート1は最初から使えない。ただし発行直後は最低1時間、直近のサインイン後は24時間、回復にロックがかかる点は覚えておく
- Emergency Kitを紙で保管する。PDFをデスクトップに置くだけでは、まさにそのPCがロックされたときに読めない。物理的に印刷して、デバイスとは別の場所に保管する
- Family／Businessプランに切り替えてadmin recoveryを有効にしておく。個人プランのままだと、自分以外に回復を頼める相手がいない。チームで使うなら、管理者による回復を前提にした設計にしておく価値がある
- CI/CDのシークレット取得をService Accountに寄せる。個人アカウントのロックが業務システムの障害に直結しない構成にしておく
3番目のFamily／Businessプランについては、AIエージェント時代のシークレット管理という切り口で以前レビューしている。
まだ1Passwordを使っていない、あるいはスタンドアロン版のまま何年も更新していないという場合は、アカウント型への移行を検討するタイミングかもしれない。1Passwordは14日間の無料トライアルから試せる。
FAQ
リカバリーコードを事前に用意していないと詰みですか
個人・ファミリーアカウントの場合、リカバリーコードを未発行のままロックされると、そのルートは使えなくなる。Family／Business／Teamsで管理者がいれば管理者回復のルートが残るが、個人プランを1人で使っていた場合は、Emergency Kitの物理保管や生体認証の猶予中の対応がなければ、選択肢がかなり狭まる。
スタンドアロン版からアカウント型に今から移行できますか
移行自体は可能で、公式にエクスポート／インポート手順が用意されている。ただし移行時点でスタンドアロン版のマスターパスワードを覚えている必要がある。「忘れてから」の移行では手遅れなので、覚えているうちに済ませておくべき作業になる。
サポートに連絡すれば復旧してもらえますか
ゼロ知識設計のため、1Password社側もマスターパスワードやSecret Keyを保持していない。サポートに連絡しても、リカバリーコードや管理者回復といった「事前に用意していた手段」の外側で復旧してもらうことはできない。
1PasswordのCLIでサインインしたままなら大丈夫ですか
一時的にはセッションが生きているので操作は続けられるが、セッションには有効期限がある（デフォルトで短め）。マスターパスワードを完全に忘れた場合、セッション切れ後は改めてロック解除が必要になり、結局同じ問題に行き着く。セッション中にリカバリーコードの発行や設定変更を済ませておくのが安全策になる。
まとめ
1Passwordのマスターパスワードを忘れたときにまず確認すべきは、パスワードの綴りより先に「自分がスタンドアロン版かアカウント型か」だ。スタンドアロン版は復旧手段がほぼなく、アカウント型ならリカバリーコードと管理者回復という2つのルートが用意されている。
エンジニアにとっての本当の問題は、ロックされている間にSSH接続・Gitコミット署名・ローカルのop CLI運用が連鎖的に止まることだ。一方でCI/CDのService Accountは個人アカウントと独立しているので、そこだけは被害が及ばない。この非対称性を理解した上で、リカバリーコードの発行とEmergency Kitの物理保管だけは、忘れる前に済ませておく価値がある。
なお、ロックされているわけではないのにフォームへの自動入力だけが効かない、という場合は今回とは別の原因（Androidの設定変更やブラウザ側の既知バグなど）が関わっている。症状別の切り分けは別記事にまとめた。
記事が見つかりません:
