当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
パスキーは、パスワードを入力せずにWebサイトやサービスへログインするための認証方式である。
フィッシングやパスワードの漏洩、使い回しによる不正ログインに強いため、2026年時点では、対応する重要なサービスから積極的に導入し、パスワードによる認証を順次置き換えていくことが強く推奨されている。
パスキーを利用するメリット
パスキーではサービスごとに異なる認証情報が作られ、登録したWebサイトと結び付けて認証する仕組みとなっている。パスワードのように利用者とサービスが同じ秘密情報を共有する仕組みではない。
| 利用者のメリット | その理由 |
|---|---|
| フィッシングに強い | 登録したWebサイトと結び付けて認証するため、見た目を似せた別のWebサイトでは同じパスキーによる認証が成立しない |
| 登録サイトなどからの漏洩に強い | サービス側には公開鍵が保存され、認証に使用する秘密鍵そのものは渡さない |
| 認証情報の使い回しができない | サービスごとに固有のパスキーが作られ、同じ認証情報を複数のサービスで使い回さない |
| パスワードの推測・総当たりに強い | 文字列のパスワードを入力して認証する仕組みではないため、パスワードを推測する攻撃の対象にならない |
| パスワードを狙った認証情報窃取に強い | ログイン時にパスワードを入力・送信しないため、入力したパスワードを盗み取る攻撃を受けない |
これらの特性は、サービスごとに公開鍵と秘密鍵の組み合わせを作り、秘密鍵をサービスへ渡さずに本人であることを確認する公開鍵暗号によって実現されている。
対応するサービスではパスキーを優先する
パスキーに対応しているサービスでは、従来のパスワードだけを使い続けるのではなく、パスキーへの移行を優先する。
特に銀行、証券、決済などの金融関係、メール、クラウドサービスなど、アカウントを不正利用された場合の影響が大きいサービスでは優先度が高い。
すべてのサービスがパスキーに対応しているわけではないが、利用中のサービスが対応していれば積極的にパスキーに移行する。
パスキーの保管先を決める
パスキーは、OSなどに組み込まれた認証情報管理機能、パスワードマネージャー、セキュリティキーなどに保管できる。
保管方法によって利用できる端末や同期方法、管理のしやすさが異なるため、利用環境に合わせて選択する。
| 保管方法 | 向いている利用 | メリット | デメリット |
|---|---|---|---|
| OS・プラットフォームの標準機能 | 一人でまずパスキーを利用する | 追加のサービスを導入せず始めやすく、設定や日常の操作も簡単 | 異なるOSやプラットフォームを併用する場合は管理が複雑になりやすい |
| パスワードマネージャー | 複数OSの併用、家族・従業員での利用 | 対応するOSやブラウザをまたいで管理しやすく、パスワードとパスキーを同じ仕組みに集約できる | パスワードマネージャー自体の導入と管理が必要 |
| セキュリティキー | 認証情報を物理デバイスで管理したい場合 | クラウド同期に依存せず、物理デバイスに結び付けて管理できる | 紛失への備えや予備キーを含めた運用が必要 |
一人で利用し、特定のOSやプラットフォームを中心に使っている場合は、まずOS標準の機能から始める方法が分かりやすい。
Windows、macOS、Android、iOSなど異なる環境を併用する場合や、家族・従業員を含めて管理する場合は、対応するパスワードマネージャーを利用する方法が適している。
セキュリティキーは物理デバイスとして分離して管理できる一方、紛失時の対応や予備キーなどを自ら設計する必要がある。仕組みと復旧方法を理解して管理できる利用者向けの選択肢となる。
パスキーを登録する
利用するサービスがパスキーに対応している場合は、アカウントのセキュリティ設定などからパスキーを追加する。
登録時には利用する端末やパスワードマネージャー、セキュリティキーなどを保管先として選択し、端末の生体認証やPINなどで本人確認を行う。
具体的な登録方法や利用できる保管先はサービスによって異なるため、各サービスの案内に従う。
必要な端末からログインできることを確認する
登録後は一度ログアウトし、パスキーを利用して正常にログインできることを確認する。
PCとスマートフォンなど複数の端末を日常的に使用している場合は、必要な環境からそれぞれ認証できるかも確認しておく。
利用できない環境があれば、別のパスキーを追加するか、保管先や同期方法を見直す。
アカウントの復旧方法を確認する
パスキーを保管している端末の故障や紛失、パスワードマネージャーへアクセスできなくなる事態にも備える。
別の端末へ同期されたパスキー、追加登録したパスキー、予備のセキュリティキー、サービスが用意するアカウント復旧手段など、利用できる方法を確認しておく。
パスキーを導入する際は登録だけで終わらせず、保管先を失った場合にもアカウントへ戻れる状態まで確認する。
残っている認証方式を確認する
パスキーを登録しても、従来のパスワードやSMS認証などが引き続き利用できるサービスもある。
その場合、パスキーによるログインがフィッシングに強くても、残されたパスワードなどを狙った不正アクセスの経路は残る。
パスワードを無効化できるか、ほかにどの認証方法やアカウント復旧手段が残るのかを確認する。サービスが対応していれば、パスワードに依存しない構成へ移行する。
対応するサービスを順次パスキーへ移行する
利用しているサービスがパスキーに対応したら、金融、メール、クラウドなど重要なアカウントから導入し、パスワードを利用するアカウントを順次減らしていく。
パスキーに対応していないサービスでは、引き続きサービスごとに異なる高強度なパスワードを設定し、利用できる場合はMFAも併用する。