二要素認証（2FA）のコストはどれくらい？2026年版 料金ガイド
2FA の価格は一律ではありません。SMS OTP、WhatsApp OTP、TOTP、パスキーはそれぞれコスト構造が大きく異なります。各方式が実際にどれくらいかかるのか、規模ごとに解説します。
二要素認証の本当のコスト
二要素認証（2FA）は、現代のアプリにとって欠かせない前提条件です。しかし「2FA」は、単一の価格を持つ単一の製品ではありません。コスト構造が大きく異なるさまざまな方式を含むカテゴリーです。SMS OTP、WhatsApp OTP、認証アプリ（TOTP）、ハードウェアキー、パスキーはいずれも第二の要素を提供しますが、総保有コストは大きく変わります。
このガイドでは、各方式が実際にどれくらいかかるのか——メッセージ単価、プラットフォームのライセンス料、エンジニアリングの手間まで——を分解して解説します。自社の規模やユーザー層に合った判断ができるようになるはずです。
主要な 4 つの 2FA 方式とそのコスト構造
1. SMS OTP — メッセージ課金
もっとも一般的な 2FA 方式です。ユーザーがログインする（または重要な操作を行う）たびに、アプリがワンタイムパスワード（OTP）を SMS でユーザーの電話番号に送信します。送信したメッセージごとに SMS ゲートウェイ事業者へ料金を支払います。
コスト構造： 変動制・メッセージ単位・継続課金。月間アクティブユーザー数と認証頻度に比例して増えます。
SMS の料金は国によって大きく異なります。以下は Twilio 経由の代表的なメッセージ単価です（2026年初頭時点）。
| 国 | OTP あたりの SMS 単価（Twilio） |
|---|---|
| アメリカ | $0.0083 |
| イギリス | $0.0524 |
| ドイツ | $0.1120 |
| インド | $0.0170 |
| ブラジル | $0.0599 |
| ナイジェリア | $0.0920 |
| エジプト | $0.3959 |
| 世界平均 | ~$0.0875 |
見落としがちな隠れコスト：
- SMS 不正利用（ポンピング攻撃で予期せぬ高額請求が発生することがあります——詳しくはSMS ポンピング攻撃の解説をご覧ください）
- 構成によっては、配信に失敗しても課金されるケース
- 一部の市場（アメリカ、インドなど）での A2P（Application-to-Person）登録手数料
- レート制限、不正検知、フォールバック処理を構築するためのエンジニアリング工数
2. WhatsApp OTP — メッセージ単価が安く、モデルは同様
WhatsApp の認証メッセージは Meta Business Platform を利用し、「認証カンバセーション」として課金されます。依然としてメッセージ単位の課金ですが、ほとんどの市場で SMS よりも大幅に低い料金です。
コスト構造： 変動制・メッセージ単位（初期設定の手間はやや大きいものの、継続的なコストは低い）。
| 国 | OTP あたりの WhatsApp 単価 | SMS 比 |
|---|---|---|
| アメリカ | $0.0034 | –59% |
| イギリス | $0.0220 | –58% |
| ドイツ | $0.0550 | –51% |
| インド | $0.0014 | –92% |
| ブラジル | $0.0068 | –89% |
| ナイジェリア | $0.0067 | –93% |
| エジプト | $0.0036 | –99% |
| 世界平均 | ~$0.0113 | –87% |
制約：ユーザーが WhatsApp をインストールしている必要があります。WhatsApp が普及している市場でも、通常 5〜10% のユーザーは利用していません。WhatsApp を優先し、SMS をフォールバックとする方式なら、到達性を維持しつつコスト削減の大部分を取り込めます。
3. TOTP（認証アプリ）— 限界コストはほぼゼロ
時刻ベースのワンタイムパスワード（TOTP）——Google Authenticator、Authy、1Password などで使われます——は、共有シークレットを使ってユーザーの端末上でコードを生成します。メッセージは送信されず、利用ごとのコストもかかりません。
コスト構造： 実装のためのエンジニアリング工数（通常、Node.js 用の speakeasy や Python 用の pyotp などのライブラリを使えば数時間程度）。継続的なコストはほぼゼロです。バックアップコードの保存でデータベースにわずかな負荷が加わります。
トレードオフ：
- ユーザーは認証アプリをインストールして管理する必要があります（摩擦が大きく、コンシューマー向けアプリでは導入率が下がります）
- ユーザーが端末を紛失した際のアカウント復旧は、慎重な設計が必要です
- フィッシング耐性はありません——攻撃者はリアルタイムのフィッシング攻撃でコードを窃取できます
- ベストプラクティスはよくある TOTP の 5 つの間違いの解説をご覧ください
適したケース： B2B SaaS、開発者ツール、管理画面など、ユーザーが技術に精通し、認証アプリを使う意欲がある場面。セキュリティの深さより利便性が重視されるコンシューマー向けアプリにはあまり向きません。
4. パスキー — 送信は無料、実装は投資
パスキーは、公開鍵暗号を使ってパスワードと OTP を完全に置き換えます。ユーザーは Face ID、Touch ID、または端末の PIN で認証します。メッセージは送信されず、コードを入力する必要もありません。設計上フィッシングに耐性があります。
コスト構造： 利用ごとのコストはありません。WebAuthn/FIDO2 を実装するためのエンジニアリング投資が必要です（中程度の複雑さで、フル実装は通常 1〜3 週間）。この工数を減らすために、認証プラットフォームを併用することもできます。
長期的には、パスキーは規模が大きくなるほど最も低コストな 2FA 方式です。認証 1 回あたりの限界コストは実質ゼロだからです。リピートユーザーが多いほど、SMS OTP と比べた節約幅は大きくなります。詳しい実装手順はパスキーガイドをご覧ください。
規模別の月間総コスト
グローバルなユーザー構成（219 か国の平均、2026年2月時点のデータ）における、月間 OTP 送信量別のコストの積み上がり方は次のとおりです。
| 月間 OTP 数 | SMS のみ | WhatsApp + SMS フォールバック | TOTP（認証アプリ） | パスキー |
|---|---|---|---|---|
| 10,000 | $875 | ~$113 | ~$0 | ~$0 |
| 100,000 | $8,750 | ~$1,130 | ~$0 | ~$0 |
| 1,000,000 | $87,500 | ~$11,300 | ~$0 | ~$0 |
注：WhatsApp + SMS フォールバックは、WhatsApp での配信 ~90%、SMS フォールバック ~10% を想定しています。TOTP とパスキーのコストはメッセージ単価のみを示しており、実装コストは別途かかりますが一度きりです。
認証プラットフォームのライセンス料：実際いくらかかるのか？
メッセージ単価に加えて、2FA インフラ（ユーザー管理、セッション処理、MFA 登録フロー、パスキー対応など）を提供する認証プラットフォームに料金を支払う場合があります。主な選択肢は次のとおりです。
自社構築
エンジニアリングコストは大きく変動します。基本的な SMS OTP の実装なら数日です。TOTP、パスキー、セッション管理、不正対策、アカウント復旧まで備えた本番品質の認証システムとなると数か月かかります。継続的な保守も無期限のコミットメントになります。
Duo Security（Cisco）
Duo はこのカテゴリーでもっとも検索されているプラットフォームの一つです。無料枠は最大 10 ユーザーまで。Essentials プランは 1 ユーザーあたり月額 $3 から、Business プランは 1 ユーザーあたり月額 $6、Enterprise はカスタム価格です。500 ユーザーのチームなら、SMS コストを含める前の MFA プラットフォームだけで月額 $1,500〜$3,000 になります。Duo は従業員向けの 2FA には強い一方、大規模なコンシューマー向け認証にはあまり向きません。
Auth0 / Okta
人気のエンタープライズ向け認証プラットフォームです。Auth0 の無料枠は最大 25,000 MAU まで。有料プランは月額 $23 前後から始まり、MAU 数に応じて増えていきます。Enterprise プランは月額数千ドルに達することもあります。Okta の料金は Duo と同様にユーザーシート単位です。どちらも MFA 機能を備え、幅広いエンタープライズ機能——そしてそれに見合った価格——で知られています。
Firebase Authentication
ほとんどの機能が無料で、電話認証（SMS OTP）にも無料枠があります（一部の地域では月間 1 万回の検証まで）。それ以降は従量課金です。Google のエコシステムに限定され、カスタマイズの自由度は低めです。
Authgear
WhatsApp OTP、SMS OTP、TOTP、パスキー、シングルサインオン（SSO）を標準搭載した認証プラットフォームです。OTP コストを「管理する」だけでなく「削減する」ことを目的に設計されています。SMS ポンピング対策、生体認証、アプリ横断の SSO を備えています。料金は従量制で、無料枠も充実しています。プラットフォームのライセンス料 + より安いメッセージ単価（SMS ではなく WhatsApp）の組み合わせにより、Auth0 や Okta + 別途 SMS ゲートウェイよりも総コストが低くなることがよくあります。個別の試算は SMS コスト削減シミュレーターをご覧ください。
コストカーブ：2FA が時間とともに安くなる理由（正しく設計すれば）
多くの 2FA コスト議論が見落としている重要な点はこれです。コスト構造は、ユーザーベースが成熟するにつれて改善するべきなのです。
ユーザーが初めて認証するとき（サインアップ時）は、電話番号を確認する他に方法がないため、ほぼ必ず OTP の送信が必要です。しかし、パスキーや生体認証ログインを用意していれば、リピートユーザーはセッションごとに新しい OTP を必要としません。
成熟した認証構成は次のようになります。
- 新規ユーザーのサインアップ： WhatsApp OTP（または SMS フォールバック）で電話番号を確認——一度きりのコスト
- サインアップ後の初回ログイン： パスキーまたは生体認証ログインの設定をユーザーに促す
- リピートユーザーのログイン（2 か月目以降）： パスキーまたは生体認証——OTP コストはゼロ
- アカウント復旧・新しい端末： フォールバックとして WhatsApp OTP——時々発生するコスト
このアプローチなら、OTP の送信量はユーザーベースよりもはるかにゆるやかに増えます。100 万 MAU の企業でも、毎回のログインで 100 万件の OTP を送るのではなく、月に 5 万〜10 万件（新規サインアップ、新しい端末、復旧フロー分）だけで済むかもしれません。これはメッセージ量——ひいてはコスト——の 90% 以上の削減です。
2FA にどれくらいの予算を組むべきか？
月間 OTP 送信量と市場に基づく、おおまかなフレームワークです。
| 段階 | 月間 OTP 数 | 推奨アプローチ | 月額コストの目安 |
|---|---|---|---|
| 初期 / MVP | <10K | SMS OTP（任意のゲートウェイ） | 市場により $50〜$500 |
| 成長期 | 10K〜100K | WhatsApp + SMS フォールバック | $150〜$1,200（SMS のみなら $1K〜$9K） |
| 拡大期 | 100K〜1M | WhatsApp + SMS フォールバック + リピートユーザー向けパスキー | $1K〜$12K（SMS のみなら $9K〜$88K） |
| エンタープライズ | 1M+ | パスキー主体 + 新規ユーザーのみ WhatsApp OTP | プラットフォーム料 + わずかな OTP コスト |
要点
- SMS OTP は規模が大きくなると最も高コストな 2FA 方式です——ログインのたびにコストが積み上がります
- WhatsApp OTP は、ほぼすべての市場でメッセージ単価を 50〜99% 削減します
- TOTP（認証アプリ）とパスキーは限界コストがほぼゼロですが、実装の手間は大きくなります
- 長期的に最も賢いアプローチは、新規ユーザーには WhatsApp OTP、リピートユーザーにはパスキー——これでコストカーブはゼロへ向かっていきます
- 認証プラットフォームのライセンス料（Auth0、Authgear、Firebase）は月額費用が増える一方、エンジニアリングの負担を減らします——両面を考慮しましょう
自社のユーザー数と市場構成に応じた具体的な試算がほしい場合は、Authgear の SMS コスト削減シミュレーターで市場別の節約可能額を確認できます。
実際の動作を見てみたいですか？ Authgear の WhatsApp 優先 OTP（SMS フォールバック付き）とパスキー対応のデモを予約しましょう。
関連記事： SMS OTP と WhatsApp OTP の比較、SMS OTP の脆弱性と代替手段、SMS ポンピング攻撃。