EPPとEPP-Key（AuthCode）を使ったドメイン操作の仕組みと注意点

EPP-Key（AuthCode、認証鍵とも呼ばれます）は、ドメインを別のレジストラへ移管するときに「正当な登録者の依頼であること」を示すパスワードの役割を持つ文字列です。その裏側では、レジストラとレジストリがEPPというプロトコルでドメインの登録・更新・移管をやり取りしています。この記事では、EPPの仕組みと、管理画面やRDAPで見える「EPPステータス」の読み方、EPP-Keyを扱うときの注意点、移管で失敗しやすいポイントを説明します。移管手続きそのものの画面操作はレジストラごとに異なるため、各社の案内とあわせて読んでください。

EPPとは何か

EPP（Extensible Provisioning Protocol）は、レジストラ（お名前.comなどのドメイン販売事業者）がレジストリ（.comならVerisign、.jpならJPRSなど、TLDを管理する組織）に対して、ドメインの登録・更新・情報変更・移管・削除を指示するためのプロトコルです。RFC 5730〜5734などで定められており、多くのgTLDやccTLDで使われています。

登録者がEPPを直接操作することはありません。レジストラの管理画面でボタンを押すと、レジストラがEPPのコマンドをレジストリに送ります。ただ、EPPの仕組みを知っておくと、「なぜ移管できないのか」「このステータスは何を意味するのか」を自分で判断できるようになります。

EPPでは、ドメインごとに認証情報（authInfo）が設定されています。これが一般にEPP-KeyやAuthCodeと呼ばれるもので、移管先のレジストラはこの値を添えて移管を申請し、レジストリは値が一致した場合にのみ移管の処理を進めます。

EPPステータスを確認する

ドメインの現在の状態は、EPPステータスとして表されます。gTLDではWHOISに代わってRDAPという仕組みが正式な照会手段になっており（2026年10月現在）、コマンドラインからも確認できます。

# .com の例（レジストリのRDAPサーバーに問い合わせる）
curl -s https://rdap.verisign.com/com/v1/domain/example.com | jq '.status'

# 従来の whois でも確認できる場合がある
whois example.com | grep -i status

RDAPでは client transfer prohibited のような語句で、WHOISでは clientTransferProhibited のような表記で表示されます。主なステータスの意味は次のとおりです。

• ok（RDAPでは active）：特に制限がない通常の状態です。
• clientTransferProhibited：レジストラ側で移管を禁止している状態です。いわゆる「移管ロック（レジストラロック）」で、乗っ取り防止のため通常は有効にしておきます。移管するときだけ管理画面で解除します。
• clientUpdateProhibited・clientDeleteProhibited：情報変更や削除を禁止している状態です。
• serverTransferProhibited など server で始まるもの：レジストリ側の制限です。登録直後や移管直後の一定期間、紛争中、レジストリの方針による制限などが該当し、登録者がレジストラの管理画面で外すことはできません。
• clientHold・serverHold：DNSの情報が公開されず、サイトやメールが使えない状態です。料金未払いや登録者情報の確認未完了などが原因になります。
• pendingTransfer：移管処理の途中です。
• redemptionPeriod・pendingDelete：期限切れ後の削除手続きに入っている状態です。この段階では通常の移管はできず、まず復旧手続きが必要になります。

ステータスごとの意味はICANNが公開している説明ページで確認できます。

EPP-Keyの取得と取り扱い

EPP-Keyは、現在ドメインを管理しているレジストラの管理画面で表示するか、メールで送ってもらう形が一般的です。取得するときと扱うときは、次の点に注意してください。

• EPP-Keyはドメインのパスワードと同じです。チャットツールやチケットに貼り付けたまま残さず、共有が必要な場合は最小限の相手にだけ伝えます。
• 制作会社などに移管作業を頼む場合でも、レジストラのアカウントそのもののパスワードは渡さず、EPP-Keyの共有にとどめるほうが安全です。
• 移管が終わったら、移管先でEPP-Keyを再発行（変更）できる場合は変更しておきます。古い値を知っている人が残らないようにするためです。
• コピー時に前後の空白や似た文字（0とO、lと1など）が混ざると、移管申請が「認証鍵が違う」として失敗します。

TLDによっては、EPP-Keyに有効期限がある、登録者が自分で値を決められる、移管のたびに使い捨てになる、といった違いがあります。.jpドメインの指定事業者変更も含め、細かな扱いはレジストリとレジストラの案内を確認してください。

移管で失敗しやすいポイント

EPP-Keyが正しくても、次の条件で移管が止まることがあります。申請前に確認しておくと、やり直しを減らせます。

移管ロックが解除されていない：clientTransferProhibited が残っていると、移管申請は拒否されます。管理画面で解除し、RDAPやWHOISで反映を確認してから申請します。

移管制限期間中：gTLDでは、新規登録や前回の移管から60日間は移管できないのが一般的です。登録者情報を変更した直後に移管が制限されるルールもありました。ICANNの移管ポリシーは見直しが進んでいるため、現在のルールはレジストラの案内で確認してください。

期限切れが近い・期限切れ後：期限が数日以内に迫っていると、移管を受け付けないレジストラがあります。余裕を持って申請するか、先に更新してから移管します。gTLDの移管では、多くの場合、移管と同時に1年分の更新が加算されます。

承認メールへの対応漏れ：移管元や移管先のレジストラから承認確認のメールが届く場合があります。登録者のメールアドレスが古いままだと受け取れないため、移管前に連絡先を最新にしておきます。

移管の前に用意しておくこと

ドメインの移管は「ドメインの管理者が変わる」手続きであり、DNSの設定が自動で引き継がれるとは限りません。特に、レジストラが提供するDNSサービスを使っている場合、移管とともにゾーン情報が使えなくなることがあります。移管前に、すべてのDNSレコード（A・AAAA・CNAME・MX・TXTなど）を書き出して控えておき、移管先のDNSか外部のDNSサービスに同じ内容を登録してからネームサーバーを切り替えると、サイトやメールの停止を避けやすくなります。

DNSSECを有効にしている場合は、さらに注意が必要です。移管でネームサーバーや署名の鍵が変わるのに、古いDSレコードが残っていると、DNSSEC検証をするリゾルバで名前解決が失敗します。移管先の対応状況を確認し、必要に応じて移管前にDNSSECを無効化してDSレコードを削除し、移管後に改めて設定します。

WordPressサイトの側では、ドメイン名が変わらない限り設定変更は不要です。作業前にサイトのバックアップを取り、移管後に表示・メール送受信・SSL証明書の更新が正常かを確認しておきます。

まとめ

• EPPはレジストラとレジストリがドメインを操作するためのプロトコルで、EPP-Key（AuthCode）は移管時に正当な依頼であることを示す認証情報です。
• ドメインの状態はEPPステータスで表され、RDAPやWHOISで確認できます。client はレジストラ側、server はレジストリ側の制限です。
• EPP-Keyはパスワードとして扱い、共有を最小限にし、移管後に変更できるなら変更します。
• 移管ロック、60日の制限期間、期限切れの近さ、承認メールが失敗の主な原因です。
• 移管前にDNSレコードを控え、DNSSECのDSレコードの扱いを決めてから進めます。

• ドメインの移管ロックの仕組みと解除方法
• DNSSECを有効にする手順と注意点