Salesforceのレポートをエクスポートするたびに認証を求められる理由 ─ 2026年6〜9月の変更を時系列で整理

「9月にMFAが必須になったから、エクスポートのたびに認証を求められるようになった」

私も最初そう思ってました。違いました。エクスポートで認証を求められるのは7月に入った別の変更で、9月のMFA必須化とは関係ありません。

ややこしいのは、6月から9月にかけて似たような変更が5つも重なったことです。どれがどれだか分からないまま「とにかく認証が増えた」という話になってます。時系列で分けます。

6月から9月にかけて、立て続けに変わりました

日付は本番組織のものです。Sandboxはこれより早く始まってます。

時期	変更	対象
6月15日提供、7月13日から強制	画面から1万件超をエクスポートすると既定のトランザクションセキュリティポリシーが発動し、認証を求める[2]	Event Monitoring・Shield契約組織
7月1日から約30日かけて順に	エクスポート時にステップアップ認証(追加のMFA)を求める[3]	有償の本番・Sandboxの全ユーザー
7月27日から	普段と大きく違うレポート操作を検知すると認証を求める[4]	同上(今は主に画面からのダウンロード)
9月1日(日本と韓国)	全従業員ユーザーの画面ログインにMFAを強制[1]	有償の本番・Sandbox組織
7月1日から順に	管理者・特権ユーザーはパスキーなどフィッシング耐性MFAが必須[5]	システム管理者プロファイルなど
2027年2月20日	OAuthのユーザー名パスワードフローが廃止[6]	この方式で接続している連携

ステップアップ認証は、ログインとは別に、大事な操作の直前でもう一度本人確認をする仕組みです。つまりエクスポートのたびに聞かれるのは7月の方。9月からはログイン時のMFAも乗ったので、同じ日に2回認証することが増えた、という順番です。

手でエクスポートしていると、一日に何回も聞かれます

レポートを開くだけなら何も聞かれません。「エクスポート」を押した瞬間に、前回の認証から設定時間が過ぎていればMFAを求められます。

引っかかりやすいのはこのあたり[3]。

• 再認証の間隔は管理者が1〜120分で設定。最長でも120分なので、一日中エクスポートする仕事だと何回も聞かれます
• ログイン時にMFAを通っていても、タイマーはリセットされません
• SSOでログインしていても、外部のIDプロバイダーには任せられません。Salesforceに登録した認証方法か、メール・SMSのコードで通します
• 認証方法が未登録の人には、ユーザー詳細のメールアドレスか電話番号にコードが飛びます。連絡先が古いままだと詰みます
• プロファイルにログインIP制限があってIPが変わってなければ、認証は求められません。隣の人には出ないのに自分には出る、の正体はだいたいこれです

見落としがちなのが、MFAの免除に使われてきた「除外ユーザーの多要素認証を放棄」権限。MFA強制の後は自動で免除してくれません。自動テストなどで免除が要るなら、サポートの承認が要ります[1]。

自動連携は、つなぎ方で止まるものと止まらないものがあります

今回いちばん差が出たのは、ここでした。

使っている方法	2026年9月時点の扱い
レポート購読・スケジュール実行	対象外。人の操作なしで動く自動ジョブは外す、と公式ブログにも記載
Data Loader(コマンドライン版)	対象外。API経由のため
Data Loader(画面版)	ログインはOAuthでブラウザを開いてMFAを通す。v64.0.2以降は外部クライアントアプリケーション経由に変更
JWT・クライアントクレデンシャルフローのツール	影響なしと公式に記載。画面ログインがないため
OAuth Webサーバーフローのツール	接続(認可)時の画面ログインでMFAを求められる。取得自体はAPI
ユーザー名・パスワードで繋ぐ自作スクリプト	要移行。「画面ログインを完了する方式」に分類され、MFA強制後に落ちることがある。2027年2月20日に廃止

出典は005321561、005321565、MFA強制後のログイン問題。

ここで気をつけたいのが、OAuthで繋いでるツールでも安心はできないこと。認証の方式ではなく、データを取る経路の問題です。画面のエクスポートと同じ経路で取ってるツールは普通に止まります。

実際、Google純正のSalesforce Connectorで2,000行超のレポートの取り込みが7月から失敗するようになった、という報告がGoogleのコミュニティに出ています[12]。「ツールが壊れた」ように見えますが、壊れてません。

認証が通らないときは、ここを順番に見ます

症状	確かめること
認証を求められすぎて作業が進まない	管理者に「ステップアップ認証期間(分)」を確認。上限は120分
認証のコードが届かない	ユーザー詳細のメールアドレスと携帯電話番号。認証アプリかパスキーを登録すると確実
1万件超のときだけ止まる	Event Monitoring・Shieldの既定ポリシー。管理者が確認
連携ツールでレポートが途中までしか入らない	本人確認の履歴に、理由「Export and Print Reports」の認証が保留で残っていないか。接続方式と取得経路をベンダーに確認
9月以降、自作スクリプトがログインに失敗	ログイン履歴の「ログインサブタイプ」が OAuth Username-Password・User-Agent・Web-Server、SOAP APIになっていないか
埋め込みダッシュボードがエラーになる	導入当初の不具合。公式ブログで修正済みと説明されている

そもそも毎回エクスポートしない、という手もあります

ここまで書いておいてなんですが、毎回手で出して毎回認証を通す運用を続ける限り、この話は終わりません。認証の間隔は最長120分なので、回数を減らす方向では解決しないんですよね。

人の操作を挟まない経路に移せば、対象から外れます。無料で済むのはこのあたり。

• レポート購読のファイル添付(1万5千行・30列・3MBまで。ベータ扱い)
• データエクスポートサービス(オブジェクト単位で週1回か29日ごと)
• Data Loaderのコマンドライン版、Salesforce CLI(SOQLを書いて定期実行)
• REST APIやBulk API 2.0を呼ぶ自作スクリプト

連携ツールを選ぶなら、接続方式と取得経路をベンダーに確認してからです。上で書いたとおり、OAuthかどうかだけでは判断できません。

方法ごとの上限や費用の比較は別の記事に、エクスポートが通らないときの切り分けはこちらにまとめました。

ここまで書いておいて言うのもなんですが、上の「連携ツール」の一つは私が作ったものです。ReportZen という Google Workspace Marketplace のアドオンで、SalesforceのレポートをSOQLなしでGoogleスプレッドシートに全件取り込んで、毎朝自動で更新します。取得はAPI経由で、人がエクスポートボタンを押す経路ではありません。

出典(2026-09-18 確認)

• [1] Salesforce Help 005321561: 全従業員ユーザーに対するMFA(多要素認証)の適用準備
• [2] Salesforce Help 005321565: レポートエクスポートの既定トランザクションセキュリティポリシー
• [3] Salesforce Help 005321566: レポートアクションにおけるステップアップ認証への適用準備
• [4] Salesforce Help 005321567: レポート操作の異常検知によるステップアップ認証
• [5] Salesforce Help 005321563: システム管理者・特権ユーザーへのフィッシング耐性MFAの適用
• [6] Salesforce リリースノート: OAuthユーザー名パスワードフローの廃止
• [7] Salesforce Blog: Balancing Security and Agility: Updates to Step-Up Authentication for Reports and Dashboards(2026-07-07)
• [8] Data Loader Guide: OAuthと2要素認証でのログイン
• [9] Data Loader Guide: 外部クライアントアプリケーションとPKCEでのOAuth設定
• [10] Salesforce Help: APIアクセスの多要素認証
• [11] Salesforce Help: Troubleshoot Integration or API User Account Login Issues After MFA Enforcement
• [12] Google ドキュメント エディタ コミュニティ(2026-07-10投稿): Salesforce Connector: Report imports over 2K rows fail due to step-up authentication (MFA) challenge
• [13] Salesforce Help: レポートとダッシュボードの制限
• [14] Salesforce Help: データエクスポートサービス