MFAのTOTP（QRコード）は有料？無料？認証アプリとMicrosoft Entra IDのライセンス・ハードウェアトークン費用を解説

多要素認証（MFA）の設定で表示されるQRコードを認証アプリで読み取ると、TOTPの6桁コードが生成されます。この“QRコード読み取り”に追加料金がかかるのか、どこで費用が発生するのかを、Microsoft Entra IDの例も交えて実務目線で整理します。

MFAのTOTP（QRコード読み取り）は有料なのか：結論

QRコードを読み取って認証アプリでTOTP（Time-Based One-Time Password）を使う方式は、仕組みそのものに「QRコード利用料」や「TOTP利用料」のような直接課金は基本的にありません。

多くのサービスで表示されるQRコードは、認証アプリに“秘密情報（seed）を登録するための受け渡し手段”です。QRコードを読み取る行為が課金対象になる、というよりも、「MFA機能を提供する側のプラン」「運用方式」「周辺のセキュリティ機能」で費用が変わる、と理解すると判断を誤りにくくなります。

まず押さえたい：TOTPとQRコードの正体

TOTPは「時間」と「秘密鍵（seed）」でコードを作る仕組み

TOTPは、スマホアプリやハードウェアトークンが、一定間隔（一般的に30秒）で使い捨ての数字コードを生成する方式です。本人だけが持つ“秘密鍵（seed）”と現在時刻を材料に計算しているため、サーバー側とユーザー側でseedが一致していれば、同じタイミングで同じコードが出ます。

ここで重要なのは、「QRコード＝ログイン用の画像」ではなく、seedなどの登録情報を詰めた“設定用データ”だという点です。QRコードを読み取るのは、手入力の手間とミスを減らすためのUIに過ぎません。

QRコード（seed）を扱うときの注意：スクショ共有は“合鍵配布”と同じ

TOTPのQRコードには、seed（秘密鍵）が含まれます。つまり、QRコードが第三者に渡ると、その第三者も同じワンタイムコードを生成できてしまいます（＝MFAの効果が大きく下がります）。

• 社内チャットやメールにQRコード画像を貼って送らない（転送・誤送信が起きやすい）
• 遠隔で案内するときは、画面共有で一時的に表示し、表示後はすぐ更新・無効化する
• 紙に印刷する運用にする場合は、パスワード同等の機密情報として保管・廃棄ルールを決める

Microsoft Entra IDの用語では「ソフトウェアOATHトークン」

Microsoft Entra ID（旧Azure AD）では、TOTPはOATH（Open Authentication）ベースのソフトウェア／ハードウェアトークンとして整理されています。特に、認証アプリ（Microsoft Authenticatorなど）にQRコードで登録して使う方式は、「Software OATH tokens」として説明され、Entra IDがseed（secret key）を生成してアプリ側に登録する流れです。

また、Entra IDはOATHのうちTOTPをサポートし、HOTP（カウンタ方式）はサポートしない点も、公式ドキュメント上で明確にされています。

「無料」と「費用が出る」を分ける：コストの考え方

TOTPの費用感がややこしく感じる最大の理由は、“TOTPそのもの”と“それを取り巻く仕組み”が一緒に語られがちだからです。実務では、次の3つに分解して考えるとスッキリします。

• 直接費用（TOTP生成自体）：認証アプリがコードを生成する行為。ここは基本無料。
• サービス利用料（MFAを提供するSaaS/ID基盤のプラン）：MFAの有効化が有料プラン条件になっているか、追加機能が必要か。
• 運用コスト（人・物・手間）：端末配布、紛失時対応、ヘルプデスク、監査ログ、ポリシー設計など。

費用が出るポイント早見表（実務で詰まりやすい所）

費用が発生するポイント	よくある発生タイミング	「TOTPが有料」と誤解されやすい理由	対処のコツ
ハードウェアトークン購入費	スマホを使えない/使わせない方針、現場作業者向け配布	“OTP＝トークン”のイメージが強い	スマホアプリ運用が可能かを先に検討し、必要な人だけに限定する
ID基盤の上位ライセンス（例：条件付きアクセス）	「全員にMFA必須」「特定アプリだけ強制」などルールを細かくしたい	MFA設定の画面に同居しているため	“強制の仕方（ルール）”が有料で、TOTP自体は無料と切り分ける
トークン管理（在庫/割当/回収）	紛失・退職・異動が起きたとき	購入費より運用費が見えにくい	台帳・棚卸・交換ルールを最初から設計する
ユーザーサポート（端末変更、時刻ずれ、機種変更）	スマホ買い替え、初期化、海外出張など	“無料”でも問い合わせが増える	移行手順・バックアップコード・複数登録の方針を整える

Microsoft Entra IDでの整理：ソフトウェアTOTPは基本無料、ただし周辺機能に注意

基本：認証アプリでのTOTP（QR登録）は直接費用なし

MicrosoftのQ&Aでも、認証アプリでQRコードをスキャンして登録するSoftware OATH Tokens（TOTP）は無料で、QRコードのスキャンやコード生成に直接費用はないという整理が示されています。

さらにMicrosoft Learnのドキュメントでも、ソフトウェアOATHトークンは認証アプリ（Microsoft Authenticatorなど）であり、Entra IDがseedを生成してアプリに登録する流れが説明されています。

MFAの適用方法の違いで、必要ライセンスと運用負荷が変わる

適用方法	追加費用	制御の細かさ	現場での使われ方
Security defaults	不要（基本機能として提供）	低い（Microsoftが“必要時”に要求）	まず最低限のMFAを有効化したい、小規模・初期導入
Per-user MFA（ユーザー単位の有効化）	条件により（基本機能として扱われることが多い）	中（ユーザー単位でON/OFF）	例外的なユーザーだけ先行導入、暫定対応
Conditional Access（条件付きアクセス）	P1以上が必要	高い（アプリ/場所/端末状態などで制御）	全社MFA必須、重要アプリだけ強制、ゼロトラスト設計

Security defaultsは「追加費用なしで全組織に基本セキュリティを提供する」趣旨で説明され、MFA登録の要求やレガシー認証のブロックなどが含まれます。

Conditional Accessは、公式ドキュメント上でMicrosoft Entra ID P1ライセンスが必要と明記されています。

「MFAは無料でも、強制方法が有料」になりやすい理由

Microsoft Learnの「MFAの機能とライセンス」ページでは、基本的なMFA機能は追加コストなしで利用できる一方、Conditional Accessを使って柔軟に適用したい場合などは上位ライセンスで機能拡張できる、という位置づけが整理されています。

このため、見積もりや社内説明では「TOTPが有料／無料」ではなく、“どのレベルの制御をしたいか”を先に言語化すると、必要なライセンス・工数・手戻りが一気に減ります。

参考：P1/P2はどのプランに含まれる？

Microsoftの価格ページ（英語）では、Entra ID P1は単体購入のほかMicrosoft 365 E3やMicrosoft 365 Business Premiumに含まれる、P2はMicrosoft 365 E5に含まれると記載があります。契約形態や地域で条件が変わるため、最終判断は自社の契約情報で確認してください。

ハードウェアトークンはなぜ“無料になりにくい”のか

「スマホにアプリを入れられない」「現場端末がガラケー/共有端末」「持ち込み端末（BYOD）を許可しない」などの理由で、物理トークン（ハードウェアトークン）を採用するケースは珍しくありません。ただし、ハードウェア運用は費用が発生しやすい要素が多く、判断材料を揃えずに進めるとコストが膨らみがちです。

Entra IDのHardware OATH tokensは“購入＋管理”が前提

Microsoft Learnでは、Hardware OATH tokens（プレビュー）として、30秒または60秒ごとに更新されるOATH-TOTP（SHA-1 / SHA-256）トークンの利用が説明され、トークンはベンダーから購入する前提で書かれています。

また、同ドキュメントには、Microsoft Entra ID P1またはP2のライセンスがあるテナントは、従来プレビュー同様にハードウェアOATHトークンをアップロードできる旨が記載されています。

さらに、プレビューの刷新では、ハードウェアOATHトークンの管理にMicrosoft Graph APIが関係し、管理センターだけで完結しない運用になる点も説明されています。

時刻ずれ（Time drift）で詰まらないための知識

TOTPは時間を使うため、トークン側の時刻ずれが大きいと認証に失敗します。Entra IDはハードウェアOATHトークンの有効化時やサインイン時に時刻ずれを補正する仕組みを持ち、ドキュメント上で補正レンジが例示されています。

トークンの更新間隔	有効化時の補正レンジ	認証時の補正レンジ
30秒	±1日	±1分
60秒	±2日	±2分

ただし「補正がある＝放置でOK」ではありません。現場では、電池切れ・端末の時刻設定・海外出張時の手動設定などが原因でズレることがあるため、トラブル時の切り分け手順（時刻同期→再入力→別手段）を用意しておくと問い合わせ工数が減ります。

購入費より効いてくる“運用コスト”の例

• 配布と本人確認：誰にどのトークンを渡したか、なりすまし配布を防ぐ手順が必要
• 紛失・破損対応：緊急回復ルート（一次解除、代替認証、再発行）を整備しないと業務停止につながる
• 棚卸と回収：退職・異動時に回収できないと、不正利用リスクと追加購入が増える
• 在庫管理：故障率や追加採用を見込み、予備在庫を持つ必要がある

補足：QRコードで“書き込み可能な”ハードウェアトークンという選択肢

話を複雑にするポイントとして、seedが未設定の「プログラム可能なハードウェアトークン」が存在します。Microsoft LearnのOATHトークン説明でも、一部のTOTPハードウェアトークンはプログラマブルであり、ソフトウェアトークンのセットアップフローで得たseedを使って設定できる旨が触れられています。

Microsoft Q&Aのコメントでも、同じQRコード（seed）を使ってトークンに書き込み、認証アプリと同じOTPを生成できる、という補足がされています。

この方式のメリット

• スマホアプリを使えないユーザーに、TOTP運用の代替手段を用意できる
• 運用の見立てとしては「ソフトウェアトークン相当」として扱えるケースがある

この方式の注意点（コストが出やすい所）

• seedの取り扱いが高リスク：プロビジョニング環境が不適切だとseed漏えい＝複製トークンが作れてしまう
• 書き込みツールと手順が必要：専用アプリ・USB書き込み機・NFC等、ベンダー要件で手間が変わる
• 監査と責任分界：誰がいつ書き込んだか、二重チェックするか、ログを残すかが重要

結局のところ、「無料に近い」よりも「安全に回る」を優先して設計する方が、長期的なコストは下がりやすいです。

方式別の比較：TOTP（アプリ）／TOTP（ハード）／パスキー（FIDO2）

方式	初期費用	ランニング費用	ユーザー体験	セキュリティ上の特徴	向いているケース
認証アプリのTOTP（QR登録）	ほぼ不要（スマホは既存資産）	直接費用は基本なし	オフラインでも使える。端末変更時の移行が課題	SMSより強いが、フィッシング耐性は限定的	一般的な社内MFA、コストを抑えたい
ハードウェアTOTP（OATHトークン）	トークン購入費が必須	紛失・故障で追加購入。管理工数が継続	持ち歩きが必要。電池切れ・配布が課題	端末に依存しないが、盗難・貸与の運用に注意	スマホ禁止、現場作業、共有端末が多い
パスキー／FIDO2（セキュリティキー等）	キー購入費（必要に応じて）	管理は必要だが、フィッシング対策として費用対効果が高いことが多い	うまく設計できると最も快適（生体認証など）	フィッシング耐性が高い。推奨されやすい	ゼロトラスト、特権ID、重要システム

Microsoftのドキュメントでも、Authenticatorはパスキー（passkey）を含む認証を提供し、「追加コストなし」で利用できるという趣旨の記載があります。

導入前に決めておくと“余計なコスト”を減らせるチェックリスト

• 対象範囲：全ユーザーか、まず管理者だけか、重要アプリだけか
• 許可する認証手段：TOTP、プッシュ通知、SMS、FIDO2など（代替手段も含める）
• 端末ポリシー：BYOD許可の有無、MDM必須か、海外利用の想定
• 回復手段：バックアップコード、ヘルプデスクの本人確認、緊急解除の手順
• 棚卸：トークンを配る場合は台帳・回収・廃棄のルールまで
• 監査：誰がどの方法を登録しているか、ログをどこで見るか

よくある質問（FAQ）

Q：QRコードを読み取るだけで課金されることはありますか？

A：一般的にはありません。QRコードはseed等の登録情報をアプリに渡すための仕組みで、読み取り自体が料金の対象になるケースは通常想定されません。MicrosoftのQ&Aでも、QRスキャンとTOTP生成は標準的なMFAセットアップの一部で、直接コストは発生しないという整理が示されています。

Q：無料の認証アプリを使っても、企業側にライセンス費用がかかることは？

A：あります。ただしそれは「TOTPが有料」というより、MFAを提供するID基盤や、適用ルール（例：条件付きアクセス）など周辺機能が有料という構図です。Entra IDではConditional AccessにP1が必要と明記されています。

Q：スマホが使えない従業員がいます。どうすれば？

A：代表的には（1）ハードウェアトークン配布、（2）共有端末での代替手段、（3）一部ユーザーだけ別の認証方式（例：セキュリティキー）を許可、の3パターンです。ハードウェア化は購入費と運用コストが増えやすいので、「対象者を限定する」「回復手順を先に整える」ことが重要です。

Q：プログラム可能なトークンにQRコード（seed）を書き込めば、ライセンス費用を回避できますか？

A：理屈としては“ソフトウェアトークン相当”の運用が可能な場合がありますが、公式のライセンス要件や運用上の責任分界は環境によって変わります。少なくとも、トークン購入費とプロビジョニング手順（seedの取り扱い）というコストとリスクは残るため、「ライセンス回避」を主目的にせず、要件（スマホ不可など）から逆算して設計するのが安全です。

Q：TOTPは最適解ですか？

A：コストと導入容易性のバランスが良く、現実的な選択肢である一方、フィッシングに対しては万能ではありません。重要システムや特権アカウントは、パスキー／FIDO2などより強い方式も含めて“使い分け”を検討すると、事故リスクと運用コストの両方を抑えやすくなります。

まとめ：TOTPの費用は「QRコード」ではなく「運用方式」と「周辺機能」で決まる

• 認証アプリでQRコード登録して使うTOTPは、仕組み自体に直接課金は基本ない
• 費用が出やすいのは、ハードウェアトークンの購入・管理、そして条件付きアクセス等の周辺機能
• 導入前に、対象範囲・代替手段・回復手順を決めると“見えないコスト”を抑えられる

「TOTPが有料か無料か」を一言で判断するより、自社の運用要件（スマホ可否、ポリシーの細かさ、監査の厳しさ）を先に固め、最小コストで回る構成を選ぶのが成功の近道です。