パスキーとは？初心者向け完全ガイド｜仕組み・安全性・使い方を解説

この記事は、「パスキーとは何か」を知りたい人のための初心者向け完全ガイドです。「パスワードの代わりに顔や指紋を使うらしい」と聞いても、パスキーの正体や、スマホを失くしたときのことが分からないと不安ではないでしょうか。

結論から言うと、パスキーは、パスワードを覚えて入力する代わりに、端末に保護された暗号鍵を使って本人であることを証明する認証情報です。サイトごとに別の鍵が作られ、フィッシングやパスワードの使い回しによる被害を減らせます。FIDO Allianceの公式解説は、パスキーを暗号鍵のペアでパスワードを置き換えるフィッシング耐性のある技術と説明しています。

ただし、パスキーは「端末を失くしても何も確認しなくてよい魔法の鍵」ではありません。保存先と復旧方法を理解してこそ、安全さと便利さを生かせます。この記事では、仕組みから作り方、別端末での使い方、機種変更や紛失時の備えまでを順に解説します。

パスキーとは？パスワードとの違い

パスワードは、利用者とサービス側が同じ文字列を前提にした「知っている情報」です。忘れたり、使い回したり、偽の入力画面へ入れてしまったりする弱点があります。

パスキーでは、サイトやアプリのアカウントごとに「公開鍵」と「秘密鍵」のペアを作ります。公開鍵はサービス側に登録されますが、秘密鍵は端末やパスキーの保存サービスで保護され、サービス側へそのまま送られません。

W3CのWeb Authentication Level 3仕様では、登録時に認証器が非対称鍵のペアを作り、サービスが公開鍵を保存する仕組みが定められています。ログイン時は、サービスから届いた一度限りの問いかけに端末が署名し、サービスが公開鍵で正しさを確認します。利用者はその前に、端末の顔認証、指紋認証、PIN、パターンなどで使用を承認します。

顔や指紋はサイトに送られる？

送られません。顔や指紋は、端末内で「このパスキーの使用を承認してよいか」を確かめるために使われます。W3C仕様も、生体データはサービスへ開示されず、公開鍵認証の使用を許可する本人確認にのみローカルで使われると明記しています。

そのため、「パスキーは生体認証そのもの」という説明は正確ではありません。顔や指紋は、保管された暗号鍵を使うための「端末の解除方法」の一つです。指紋センサーや顔認証がなくても、対応する環境ならPINなどで使えます。MicrosoftのWindows向け資料でも、Windows 11で生体認証が設定されていない場合はWindows Hello PINを使うと説明されています。

パスキーがフィッシングに強い理由

パスキーは、作成したサイトやアプリの識別情報と結び付いています。見た目が似た偽サイトでも、ドメインが異なれば本物用のパスキーを使えません。利用者が文字列を見て本物か判断するだけでなく、ブラウザーやOSが対象のサイトを確認します。

また、サイトごとに別の鍵が作られるため、一つのサービスの情報が漏れても、同じ秘密を別サービスへ使い回す構造にはなりません。サービス側にある公開鍵だけから、ログインに必要な秘密鍵を導き出すこともできません。Googleのパスキー公式解説も、パスキーがサイトの識別情報に結び付くこと、サービスには公開鍵のみが保存されることを安全性の根拠として示しています。

ただし、パスキーがあればアカウントが無条件に安全になるわけではありません。解除済みの端末を他人に渡す、端末のPINを教える、クラウドアカウントの復旧情報を奪われるといったリスクは残ります。端末の画面ロックと、パスキーを同期するアカウントも保護しましょう。

パスキーのメリットとデメリット

最大のメリットは、安全性と使いやすさを両立しやすいことです。

• 複雑なパスワードを覚えたり入力したりする負担が減る
• サイトごとに別の鍵が作られ、使い回しを避けられる
• 偽サイトで本物用のパスキーを使いにくい
• 同期対応の保存先なら、許可した複数の端末で使える

一方、初心者が迷いやすい点もあります。

• すべてのサイトやアプリが対応しているわけではない
• 作成時に、端末本体、OS標準の管理機能、ブラウザーのパスワードマネージャーなど、保存先を選ぶ場合がある
• 端末固定型は、端末の紛失や初期化で使えなくなる可能性がある
• 異なる保存サービス間では、同期の範囲や機種変更時の手順が異なる
• パスキーを削除する場所が、利用サービスと保存先の両方に分かれる場合がある

パスキーの便利さは、どこに保存したかを把握できているかで大きく変わります。作成画面で表示される保存先の名前を読まずに進めないことが、後の混乱を減らすポイントです。

パスキーの作り方と使い方

パスキーは、対応するサイトやアプリのアカウント設定から作成します。ボタンの名前は「パスキーを作成」「パスキーを追加」「パスワードなしでログイン」など、サービスによって異なります。

1. サイトやアプリの公式画面を開き、従来の方法でログインします。
2. セキュリティまたはログイン方法の設定で、パスキーの作成を選びます。
3. 表示されたアカウント名、対象サイト、保存先を確認します。
4. 顔、指紋、端末のPINなどで作成を承認します。
5. 作成後にアカウント設定を開き、パスキーが登録されたことを確認します。

次回のログインでは、アカウント候補や「パスキーでログイン」を選び、端末で承認します。Google Chromeの公式ヘルプは、Google Password Managerに保存したパスキーの作成、ログイン、管理の流れを案内しています。

共用パソコンや他人のスマホにパスキーを保存すると、その端末の利用者が承認画面へ到達できる可能性があります。原則として、自分が管理する端末とパスキーマネージャーを選びましょう。

別の端末でログインする方法

同期型のパスキーは、同じパスキープロバイダーのアカウントで許可済みの端末に利用できるよう同期されます。例えば、AppleのiCloudキーチェーンの公式ガイドは、パスキーを承認済みのiPhone、iPad、Macで最新状態に保つ仕組みを案内しています。Google Password Managerにも、同じGoogleアカウントで利用する対応端末間の同期機能があります。

ログインしたいパソコンにパスキーが同期されていない場合でも、対応環境ではスマホのパスキーを使えます。ログイン画面で「別の端末を使う」などを選び、表示されたQRコードをスマホで読み取り、スマホ側で承認します。FIDO Allianceはこれをクロスデバイス認証と説明し、近接性の確認にBluetooth Low Energyを利用するとしています。

この方法は、パソコンの画面に表示されたログイン先を確認し、自分で操作を開始したときだけ使いましょう。送られてきたQRコードや、第三者に指示された承認操作は、パスキーとは別の詐欺につながる可能性があるため進めないでください。

機種変更や端末紛失にどう備える？

最初に確認すべきは、パスキーが「同期型」か「端末固定型」かです。

同期型は、パスキープロバイダーのアカウントと回復手順を使い、新しい端末で再び利用できる場合があります。Appleは、iCloudキーチェーンについて、すべての端末を失った場合でも、事前に設定した復旧用連絡先やエスクローを使う復旧方法を案内しています。一方、端末固定型やセキュリティキー内のパスキーは、バックアップされないことがあります。Google Chromeの公式ヘルプも、Windows Hello、Chromeプロファイル、セキュリティキーなどに保存した一部のパスキーは、紛失や初期化後に復旧できないと注意を促しています。

作成後は、次の4点を確認しておくと安心です。

1. パスキーがどの端末またはパスキープロバイダーに保存されたか。
2. パスキーの保存先に、新しい端末での復旧方法があるか。
3. 対象サービスに、予備のパスキー、復旧用メール、電話番号、バックアップコードなどが登録されているか。
4. 古い端末を初期化する前に、新しい端末で実際にログインできるか。

特に重要なアカウントでは、別の自分所有端末に2つ目のパスキーを登録できるかをサービスの公式設定で確認すると、1台の紛失に備えられます。対応可否はサービスごとに異なるため、画面に表示される公式のログイン設定に従ってください。

パスキーを削除するときの注意点

パスキーを使わなくなったときは、「サービス側の登録」と「端末やパスキーマネージャー側の保存データ」を分けて考えます。サービス側で無効化しても、保存先の表示がすぐに消えない場合があり、反対に保存先から消すだけでは、サービス側の登録状態を確認できない場合があります。

紛失や誤って共用端末に作成した場合は、まず対象サービスのセキュリティ設定からそのパスキーを削除または無効化し、次に保存先の管理画面を確認します。例えば、Googleアカウントの公式ヘルプは、紛失した端末や共用端末に作ったパスキーをGoogleアカウント側から削除し、必要に応じてサードパーティの認証情報マネージャーも確認するよう案内しています。

削除前には、別のパスキーや復旧方法でログインできることを確認しましょう。最後のログイン手段を先に消すと、アカウント復旧が必要になります。

初心者が安全に始める5つの手順

いきなりすべてのパスワードをパスキーに置き換える必要はありません。まず、日常的に使い、復旧設定を確認しやすい1つのアカウントから試すと、仕組みを理解しやすくなります。

1. 端末の画面ロックとOS更新を有効にする。
2. パスキーの保存先と、複数端末へ同期されるかを確認する。
3. 復旧用メール、電話番号、復旧用連絡先、バックアップコードなど、利用できる復旧手段を最新にする。
4. 公式のアカウント設定からパスキーを1つ作り、いったんログアウトして再ログインを確認する。
5. 紛失時にどの画面から無効化できるかを確認し、対応していれば予備のパスキーも用意する。

パスキー作成後も、サービスによってはパスワードや復旧手段が残ります。画面の案内に従い、自分がまだ使う必要のある手段を勝手に削除しないでください。「パスキーを作ったから即日でパスワードを消す」のではなく、そのサービスがどのログインと復旧方法を支持しているかを確認することが大切です。

まとめ

パスキーは、パスワードの代わりに、サイトごとに作られる公開鍵と秘密鍵の仕組みで本人を確認する認証情報です。秘密鍵や生体情報をサイトへ渡さず、サイトの識別情報に結び付いて動作するため、フィッシングや認証情報の使い回しに強いのが特徴です。

安心して使うための要点は、次の3つです。

• 作成画面で、パスキーの保存先を確認する
• 同期と復旧の方法を、古い端末を手放す前に確認する
• 端末の画面ロック、クラウドアカウント、復旧情報も保護する

今すぐできる行動は、よく使う1つのアカウントのセキュリティ設定を開き、パスキー対応と復旧手段の両方を確認することです。

パスキーは「覚える鍵」を増やす技術ではなく、鍵の保管と復敺を端末とサービスに任せる技術だからこそ、最初の1本で「どこに保存されるか」を見届けることが安心への近道です。