確認メールを送らずにメールアドレスを検証する — Google が試験中の Email Verification Protocol を追いかける

会員登録やお問い合わせのフォームを作っていると、必ずついて回るのが「メールアドレスの確認」です。確認コードを送る、リンクを踏んでもらう、届かないと言われる、迷惑メールフォルダを案内する……。作る側としても使う側としても、正直あまり好きな工程ではありません。

その工程自体をなくそうとしているのが、Google が開発中の Email Verification Protocol（EVP） です。Chrome のオリジントライアルとして試験提供が始まっているので、現時点でわかっていることを整理しておきます。

何をするものか

一言でいうと「確認メールを送らずに、そのメールアドレスの所有をブラウザ経由で証明する」仕組みです。

ポイントは、ユーザーがブラウザ上でメールプロバイダ（Gmail なら Google アカウント）にログイン済みである、という状態を利用するところです。サイトがメールを送って所有を確認する代わりに、ブラウザがメールプロバイダから「このユーザーはこのアドレスの持ち主です」という署名付きトークンをもらってきて、フォームと一緒にサイトへ渡します。

ユーザー体験としては、フォームのオートフィルでメールアドレスを選んだら、それだけで検証が済んでいる。確認メールの往復が丸ごと消えます。

トークンの流れ

流れを追うとこうなります。

1. ユーザーがフォームのオートフィルからメールアドレスを選ぶ
2. ブラウザがメールドメインの DNS（_email-verification TXT レコード）を見て、発行者（issuer）を特定する
3. 発行者がアクティブなログインセッションを確認し、署名付きの Email Verification Token（EVT） を発行する
4. ブラウザが EVT にサイトのオリジンと nonce を結び付けたトークン（SD-JWT + Key Binding 形式）に仕立てる
5. フォーム送信時に hidden フィールドとしてサイトに渡り、サイト側が署名と各クレームを検証する

nonce と audience（サイトのオリジン）がトークンに焼き込まれるので、他サイト向けのトークンを使い回すリプレイはできない設計です。また、発行者からは「どのサイトで検証に使われたか」が見えないようになっており、プライバシー面も考慮されています。

フォーム側の実装はシンプル

検証する側（verifier）のマークアップは、現時点ではこれだけです。

<input name="email" type="email" autocomplete="email">
<input type="hidden" name="token" nonce="ランダム値"
       autocomplete="email-verification-token">

autocomplete="email-verification-token" の hidden フィールドを置いておくと、対応ブラウザがトークンを詰めてくれます。サーバー側では受け取ったトークンをパースして、署名・nonce・aud・発行時刻・DNS レコードを検証する、という OIDC あたりを触ったことがあれば見覚えのある手順になります。

対応していないブラウザではトークンが空のまま送られてくるだけなので、従来の確認メールにフォールバックする形で共存できます。この「壊さずに足せる」設計は導入のハードルを下げてくれそうです。

気になっているポイント

追いかけていて、いくつか気になる点もあります。

• 前提が「ブラウザのプロファイルでメールプロバイダにログイン済み」なので、恩恵を受けられるのは当面 Gmail ユーザー中心です。発行者側の実装が広がるかが普及の鍵になりそうです
• オートフィルで選んだアドレスだけが対象で、手入力のアドレスは現時点では対象外です
• まだオリジントライアル段階で、トークン形式含め後方互換のない変更が予告されています。本番のフローに組み込むのは時期尚早で、いまは「フォールバック前提の実験」が正しい距離感だと思います

逆に言うと、確認メールの離脱率に悩んでいるサービスほど、試す価値は早くからありそうです。登録フォームの離脱要因として「確認メール」は定番中の定番なので。

フォームを作る側として

弊社はコーポレートサイトや業務システムのフォームを日常的に作っていますが、メール確認まわりは毎回「送達率」「迷惑メール」「リンクの有効期限」といった本質と関係ない苦労がついてきます。ブラウザとメールプロバイダがそこを肩代わりしてくれるなら、それに越したことはありません。

標準化の行方は WICG のリポジトリで議論されているので、動きがあればまたこのブログで追いかけます。フォームの UX 改善や、こうした新しい仕様の検証にご興味があれば、お気軽にご相談ください。