マジックリンクのログインが失敗するのはなぜですか？

ユーザーの操作ミスに見える失敗

症状はいつも同じで、いつも紛らわしいものです。誰かがログインリンクを要求し、リンクが届き、クリックすると、アプリが「無効」または「使用済み」と返します。ログを見ても壊れている箇所はありません。メールは受理され、トークンは作られ、トークンは検証されています。検証はされた — ただし送った相手によってではありません。送信からクリックまでの間には、そのメッセージを読む機械の行列があります。受信側のメールセキュリティ製品がリンクを書き換えて追跡し、メールクライアントがプレビューを即座に表示するために先読みし、企業のゲートウェイが隔離環境でURLを実行し、入口のフィルターが同じことをすることもあります。

私たち自身の本番のサインアップでも2026年8月にこれが起きました。何も起きていないように見えるので、その形を書き残しておく価値があります。ある登録者が一度の作業中に3本のリンクを要求しました。3本とも送信から16〜23秒でサーバー側で検証されており — 受信トレイを読んでいる人間には速すぎます — その後の人間のクリックはすべて使用済みとして拒否されました。その人はソーシャルログインでやり直して、ようやく中に入れました。ありふれた習慣が二つ、事態を悪化させ、しかもまったく同じログ行を生みます。スマートフォンでリンクを要求してノートパソコンで開くこと、そしてログインメールを同僚や自分の別アドレスに転送することです。トークンへの最初のリクエストが本人のブラウザだと前提を置く設計では、この三つはすべて攻撃に見えます。実際にはどれも普通の使い方です。

自分のケースがどれかを突き止める

何かを変える前に、実際にトークンを使い切ったのが何かを突き止めてください。手がかりはタイムスタンプです。スキャナーやプリフェッチは送信から数秒で到達し、人間は数十秒から数分かかります。すべての検証について時刻・ユーザーエージェント・IPを記録し、送信時刻と並べて読んでください。

直す順番が結果を分ける

順番が要です。このうち二つは単独なら安全ですが、順序を誤ると危険になります。

1. 消費より先に有効期限を確認する 他に何を変えても、期限切れのトークンがセッションを開けてはいけません。有効期限の確認を先に置くことが、次の手順を安全にします。これがないと、再度の開封を許すことがリンクの寿命を延ばすことになり、余分な訪問に耐えるだけでは済まなくなります。
2. 期限内のリンクは複数回開けるようにする すでに検証済みでも有効期限内のトークンは受け入れ、エラーではなく「再利用である」ことを示すフラグを返してください。リンクは期限が切れたときに死ぬべきで、最初の機械が触れたときではありません。
3. 最初の検証時刻を残す 再度の開封を受け入れるときも、最初の消費時刻を上書きしないでください。どのアクセスが実際に先着したかを示す唯一の記録であり、次に誰かがこの症状を報告したとき最初に見たくなる情報です。
4. 開ける回数ではなく有効時間を絞る 何度か開けても構わない短命のリンクは、最初の接触で死ぬ長命のリンクより実務上は安全です。セキュリティの仕事をしているのは短い寿命のほうで、一回限りという制約はもともとその代用にすぎませんでした。
5. 必ず二つ目の入口を残す パスワード、パスキー、ソーシャルログインのいずれかをもう一つの入口として用意し、3クリック先ではなく失敗画面そのものに出してください。私たちが失いかけた登録者はソーシャルログインで復帰しました。その入口がなければ、入口の手前で消えていたはずです。
6. 失敗したときに役立つことを言う 「無効なリンクです」は、相手が何か間違えたと伝えるだけです。「このリンクは期限切れです — 新しいものはこちら」と同じ画面でワンタップ再送を出せば、サポート宛のメールに追いやらずに流れの中に留められます。

バグとして報告されない被害

ログインの失敗は目に見えます。計測の被害は見えず、しかもバグより長く残ります。サインアップのコンバージョンイベントを検証エンドポイントに最初に届いたリクエストで発火させていると、スキャナーが先に着くたびに、そのコンバージョンはどのブラウザも実行しないリダイレクトに乗ることになります。私たちに起きたのはまさにこれでした。新規登録を示すフラグがスキャナーのリクエストとともに運ばれ、その人の広告プラットフォーム側のサインアップコンバージョンは記録されないまま終わりました。そのデータで入札している人は、最も苦労して得たコンバージョンの一部が静かに欠けた数字に対して入札しています。

これを捕まえる習慣は地味ですが確実です。リンクのクリックではなく完了したセッションを数え、「リンク要求」と「セッション作成」の差をファネルの独立した一段として扱ってください。要求のうち無視できない割合がセッションにならないなら、ランディングページをいくら磨いても直りません。説得の失敗ではなく仕組みの失敗だからです。この一段手前はサイト訪問者をサインアップに変える方法、一段あとはアクティベーション率を参照してください。そもそもメールが届いていないなら、迷惑メール判定を避けるコールドメールの書き方にあるドメイン認証の手順はトランザクションメールにもそのまま当てはまります。どこから送るかをこれから決めるなら、Notifuseが自前運用の選択肢の一つです。