チームが管理する番号でSignalの登録コードを受け取る方法

チームが、誰のものでもないSignal用の電話番号を必要とするのはなぜですか?

きっかけは、たいてい社内の事情です。セキュリティチームやインシデント対応チームが、連携用に共有のSignalアカウントを持ちたい場合や、報道機関、サポートデスク、プライバシーを重視する創業者が、スタッフ個人のSIMに結びつかない業務用のIDを持ちたい場合があります。Signalはすべてのアカウントを電話番号に紐づけて登録するため、最初のコードを受け取る番号が必ず必要です。もう1つのグループは、オンボーディング手順を文書化したりテストしたりするプロダクトやIT担当のチームです。たとえば、会社支給の携帯にSignalをインストールするプロビジョニングの手順書では、テスト用のSignal SMS認証が必要になります。

Signalが電話番号の認証を求めるのは、登録時、アプリを再インストールしたとき、新しいメイン端末に移したとき、そして一度失効したアカウントを再登録するときです。任意の登録ロック(Registration Lock)を使うと、SMSの手順に加えてPINの確認も求められます。ユーザー名を使えば番号を明かさずにチャットできますが、アカウントがコードを受け取れる番号に依存していることに変わりはありません。この事実が、OTP Routeのどのプロダクトを選ぶべきかを左右します。

ワンタイムコードか、保持する番号か。Signalアカウントにはどちらが向いていますか?

OTP Gatewayは、20分のウィンドウ内で認証コードを1回だけ受け取れるSignal用のバーチャル番号を提供します。登録手順を1回だけ試すリハーサルには向いています。しかし、再インストール後や機種変更後にサインインし直す必要のあるSignalアカウントは、同じ番号で新たなコードを受け取る必要があり、ワンタイムのアクティベーションではそれができません。

長期間使うアカウントには、専用番号(Dedicated Number)のほうが適しています。この回線は米国とカナダで即時に利用でき、月額$1.95から。ウォレットから更新され、受信SMSはダッシュボードに表示されてnumber.sms_receivedWebhook経由で転送され、いつでも解約できます。両者の違いは一時番号と専用番号の比較とバーチャル番号のページで確認できます。それ以外の国では、少なくともセルフサービスのダッシュボードからは、ワンタイムのアクティベーションに限られます。

Signal認証コードAPIのフローはどう動きますか?

呼び出しは、Developer consoleで作成したBearerキー(プレフィックスor_live_)を付けてhttps://otproute.com/api/v1に送ります。SignalのサービスIDはsignalです。

1. アカウントの市場に合う国を決め、GET /api/v1/countriesでそのIDを調べます。
2. GET /api/v1/prices?country=<id>&service=signalで、最新の料金と空き状況を確認します。
3. {"service": "signal", "country": "<id>"}を指定してPOST /api/v1/activationsで注文し、返されたアクティベーションIDを保存します。
4. Signalの登録画面に番号を入力し、SMSでコードを要求します。
5. activation.sms_receivedイベントがWebhookに届くのを待つか、コードが表示されるまでGET /api/v1/activations/{id}を控えめな間隔でポーリングします。
6. 試行を取りやめる場合は、POST /api/v1/activations/{id}/cancelを呼び出して、金額をウォレットに戻します。

1アカウントにつきキーは10個、Webhookエンドポイントは5個まで、リクエストは1分あたり300件まで送れます。エンドポイントのリファレンスはドキュメントにあります。

Webhookハンドラーは、届いたSignalのコードをどう扱うべきですか?

すべてのWebhookリクエストにはX-OTPRoute-Signature: t=<unix>,v1=<hex>が含まれます。<t>.<raw body>という文字列を組み立て、そのエンドポイントのシークレットでHMAC-SHA256を計算し、タイミング攻撃に強い比較でv1と照合します。古いタイムスタンプのリクエストは拒否し、検証の前にボディをパースして再エンコードしてはいけません。

配信は再送されることがあるため、処理したアクティベーションIDを一度記録して、ハンドラーを冪等にします。activation.expiredとactivation.cancelledは終了状態として扱い、手順書の該当ステップを閉じてください。Signalのコードは非公開のメッセージングアカウントを開くものなので、必要な場所にだけ書き込み、平文のログには残さないでください。公開エンドポイントを持てない環境、たとえば社内ファイアウォールの内側にあるノートPCでは、ポーリングも有効なフォールバックです。さらに詳しくはHMACによるWebhookセキュリティのガイドをご覧ください。

Signal OTPコードを受信できるのはどの国ですか?

198か国のルートでSignalのOTPコードを受信できます。たとえば、アメリカ、カナダ、イギリス、ドイツ、オランダ、スイス、スウェーデン、ウクライナ、インド、日本、ブラジル、メキシコ、ケニア、ナイジェリア、フィリピンがあります。

国は、価格だけでなく目的で選んでください。ベルリンのオフィスを表すアカウントにはドイツの番号を使い、北米以外の番号形式まで確認したい手順書のテストには、北米のプラン以外のルートが必要です。在庫はルートや時間帯によって変わるため、注文のたびに最新の空き状況を確認してください。

ダッシュボードでの手順は簡単です。OTP Gatewayを開き、Signalを選び、国を選んで、価格を確認して注文します。コードを受信すると、Signalの電話番号の横にすぐ表示されます。

Signalのコードが届かないのはなぜですか?

原因として、いくつかのことが繰り返し見られます。Signalがバーチャル番号と判断した番号を拒否することがあるため、どのルートでも拒否される可能性があります。また、登録画面には音声通話の選択肢もありますが、アクティベーションで受け取れるのはテキストメッセージなので、SMSを選んでください。ルートの在庫や送信元の挙動も、時間帯によって変わります。

次にやることは次のとおりです。

• コードが失われたと判断する前に、20分のウィンドウを開いたままにします。
• 時間をおいて再試行するか、別の国のルートで試します。
• 続けて注文し直さないでください。登録の試行を繰り返すと、Signal側のレート制限にかかることがあります。
• 返金を当てにしてください。ウィンドウ内にSMSが届かなかった場合やキャンセルした場合は、全額がウォレットに戻ります。

Signalの番号を責任をもって利用するとは、どういうことですか?

Signalの利用規約に従ってください。アカウントは、実際に使う個人、チーム、または事業者ごとに1つ登録し、組織の管理下に置きます。OTP Routeは、自社のテストと、自社の正当なアカウントやプロダクトの運用のためのものであり、大量登録、なりすまし、停止措置の回避には使えません。すべての注文にOTP Routeの利用規定(Acceptable Use Policy)が適用されます。Signalはその権利者の商標であり、OTP Routeとは提携関係にありません。

課金は前払いのUSDウォレット1つから行われ、カードまたはUSDT/USDCでチャージできます。月額料金はなく、チャージごとにPDFの請求書がメールで届きます。申請すればサンドボックスモードも利用でき、連携テストを疑似的な番号とコードで実行できます。

よくある質問

バーチャル番号でSignalのOTPを受信できますか?

多くの場合は可能ですが、毎回とは限りません。Signalがバーチャル番号と判断した番号を拒否することがあります。20分以内にコードが届かなければ、全額がウォレットに戻ります。

APIでのSignalのサービスIDは何ですか?

signalです。料金とアクティベーションのエンドポイントを呼び出すときに、GET /api/v1/countriesで取得した国IDと組み合わせて使います。

チームの恒久的なSignalアカウントにワンタイム番号を使ってもよいですか?

いいえ。Signalは、別の端末でアカウントを登録するたびに新しいコードを送ってくるため、長く使うアカウントには、米国またはカナダの専用番号(月額$1.95から)を使うべきです。

ユーザー名を使う場合でも、Signalに電話番号は必要ですか?

はい。ユーザー名は連絡先から番号を見えなくしますが、登録にはコードを受け取れる電話番号が引き続き必要です。

OTP Routeの番号のアカウントで登録ロックを有効にできますか?

はい。選んだPINで保護されるSignalの設定です。ロックされたアカウントの再登録には番号とあわせてそのPINが必要になるため、PINはチームのパスワードマネージャーで保管してください。

Signalの認証コードの料金はいくらですか?

1コード$0.20〜です。正確な金額は国によって異なり、GET /api/v1/pricesで取得でき、注文前にダッシュボードにも表示されます。

ウォレットの残高を使わずに、連携をテストできますか?

はい。開発アカウントのサンドボックスモードを申請すると、エンドツーエンドのテスト用に疑似的な番号とコードが返されます。

サービス名はそれぞれの所有者の商標です。OTP Route はこれらの企業と提携していません。番号は合法的にご利用いただき、各サービスの利用規約および当社の利用規定に従ってください。