パスキーとは？｜パスワードの次のログイン方式

2026年6月8日 2026年6月8日

code-house-plus

はじめに

最近、Google や Apple の設定画面で 「パスキー」 という言葉を見かけた、という方もいると思います。

「パスワードの代わり？顔認証？結局なに？」——少しよく分からない、という声も多いです。設定項目は増えているのに、何をすればいいのか分からないまま、見送っている方も少なくないでしょう。

私は、パスキーを パスワードを今日から全部捨てろ という話ではなく、安全なパスワードや二要素認証を整えたうえでの「次の段階」 として理解すると、無理なく試せる、と考えています。

この記事では、パスキーが何か、パスワードと何が違うか、今日からどう試すかについて、専門用語は最小限にして詳しく説明していきます。

パスキー導入前に：パスワードはまだ必要
パスワードの限界 — なぜ「次」が必要か
パスキーとは何か
パスキーの仕組み（やさしく）
パスキーの強み①：フィッシングに強い
パスキーの強み②とよくある誤解
二要素認証（2FA）との関係
パスキーの設定の始め方
今日からできること
まとめ

📹 動画版もあります
同じ内容を動画で解説した版も用意しています。文章より音声の方が好みという方は、そちらもご覧ください。

1. パスキー導入前に：パスワードはまだ必要

先にひとつだけ、誤解を解いておきます。

パスキーは、パスワードを今日から全部捨てろ という話ではありません。多くのサービスは、まだパスワードログインが残っています。対応していないサイトも、今後しばらくは存在するでしょう。

安全なパスワード — 長い、ランダム、サイトごとに別 — や、二要素認証（2FA） は、今も有効 です。別の記事でお話しした内容も、引き続き大切です。

パスキーは、その 先にある選択肢、次の段階 だと考えてください。

「パスワードを直したうえで、大事なアカウントからパスキーも足す」——そんなイメージで読み進めてもらえると分かりやすいです。

2. パスワードの限界 — なぜ「次」が必要か

なぜ「次」のログイン方式が必要なのか。パスワードの限界を、短くおさらいします。

限界1：人間が入力する

長く複雑にすれば強くなりますが、結局 同じ文字列を打ち込む 行為です。漏れると、同じ文字列が攻撃者の手に入ります。

パスワードは、毎回同じ合言葉を口にするようなもの。盗み聞きやなりすましのリスクが、構造上つきまといます。

限界2：使い回し・漏洩

あるサイトからパスワードのリストが漏れると、攻撃者は 他のサイトでも同じ組み合わせを試します。これをクレデンシャルスタッフィングといいます。

長いパスワードを作っても、使い回していれば、別のサイトの漏洩で突破される可能性があります。

限界3：フィッシング

本物そっくりの 偽のログイン画面 に、本物のパスワードを入力してしまう。パスワードが強くても、騙して入力させられる と意味がありません。

泥棒に例えるなら、偽の受付に本物の合言葉を言ってしまうようなものです。

パスワードだけでは、ここまでが限界です。パスキーは、主に 3番のフィッシング を大きく弱められる仕組みとして注目されています。

3. パスキーとは何か

では、パスキー とは何か。

一言でいうと、あなたの端末が持っている鍵 を使って、本人確認をする方式です。

ログインのたびに、長いパスワードを 覚えて打ち込む のではなく、スマホやPCが 「この人だ」と証明する 仕組みです。

パスワード文字列を送らない

重要なのは、パスワードという文字列そのものを、サイトに送っていない 点です。

サイト側が覚えているのは、あなたの端末の鍵と対になる情報 です。顔や指紋 そのもの をインターネット越しに送っているわけではありません。

まずは 「端末の鍵」 と覚えてください。技術的な名前は Passkeys（パスキーズ）と呼ばれることもあります。

パスワードは消えるのか

「パスキーが普及すると、パスワードは消えるの？」——よく聞かれる質問です。

全部が明日から消えるわけではありません。併存期間 がある、と考えてください。対応サービスではパスキーを足し、未対応のサービスでは今までどおり安全なパスワードを使う、という現実的な進め方が自然です。

4. パスキーの仕組み（やさしく）

もう少しだけ、仕組みを やさしく 説明します。暗号の数式は割愛します。

鍵のペアができる

パスキーを登録するとき、鍵のペア が作られます。

秘密の鍵 — あなたの端末だけが持つ（鍵）
公開の情報 — サイト側が預かる（南京錠）

南京錠と鍵に例えると、鍵は端末、錠はサイト側 です。

ログインの流れ

ログインするとき、サイトは「この人、本当に登録した端末？」と問い合わせます。端末は 秘密の鍵 で署名して答えます。合言葉の文字列 は流れません。

パスワードなら毎回同じ合言葉を口にしますが、パスキーは端末が代わりに その場限りの証明 を出す、とイメージしてください。

WebAuthn / FIDO2 とは

技術的には WebAuthn や FIDO2 といった規格の上に乗っています。名前は覚えなくて大丈夫です。「標準化された、新しいログイン方式」だと思ってください。

Apple、Google、Microsoft などが Passkey の同期をサポートしており、2023年以降に急速に普及が進んでいます。

5. パスキーの強み①：フィッシングに強い

パスキーの いちばん大きな強み の1つが、フィッシングへの耐性 です。

偽サイトには本物の鍵は使えない

偽のサイトは、本物そっくりの見た目をしていても、本物のサイト用の鍵 ではログインできません。端末は「このサイト用の鍵は知らない」と判断して、署名を出しません。

パスワードなら、騙されて 同じ文字列を入力してしまう 可能性があります。パスキーは、入力させられない 構造に近い、と理解してください。

万能ではない

もちろん、端末自体を盗まれたり、マルウェアに感染したりすれば、別の問題は起き得ます。セキュリティに「絶対安全」はありません。

ですが、「偽サイトにパスワードを打ち込む」タイプの事故は、かなり減らせます。フィッシングメールが増えている現状では、特に意味のある強みです。

6. パスキーの強み②とよくある誤解

強み②：長いパスワードを毎回打たなくていい

2つ目の強み は、長いパスワードを毎回打たなくていい ことです。

パスワードの長さ競争 — 16文字、20文字、記号を足して…… — から、少し卒業できる、という側面もあります。顔や指紋のあと、あっという間にログインできる体験は、一度試すと分かりやすいです。

誤解：顔のデータがサーバーに送られる？

ここでよくある誤解があります。

「Face ID や指紋でログインする = 顔のデータがサーバーに送られる」——そうではありません。

顔や指紋は、端末をロック解除する ために使われます。そのあと、端末が 秘密の鍵 で署名する、という流れです。

金庫の ドアを開ける指紋 であって、中に入っているコインそのものを送っているわけではない、とイメージしてください。生体情報は端末内で認証に使われ、生体データそのものをサイトに送る わけではない、というのが一般的な説明です。

7. 二要素認証（2FA）との関係

二要素認証（2FA） との関係はどうか、という質問もよくあります。

パスキーは 2FAを置き換える 場合もありますが、併用もできます。サービスや設定によって異なります。

現実的には、「大事なアカウントは 安全なパスワード or パスキー ＋必要なら2FA」くらいの考え方で十分です。どちらか一方だけにこだわる必要はありません。

2FAの仕組みそのものは、また別の機会に詳しくお話しする予定です。

8. パスキーの設定の始め方

「分かった。で、何からする？」——実務の話です。

全部を今日から切り替える必要はありません。 おすすめは次の順番です。

ステップ1：いちばん大事なアカウントを1つ選ぶ

メール（Gmail、Outlook 等）が定番です。ここが乗っ取られると、他のアカウントも連鎖しやすいからです。

銀行やSNSなど、自分にとって最重要のアカウントから始めても構いません。

ステップ2：設定画面で「パスキーを追加」を探す

Google アカウント、Apple ID、対応しているWebサービスなら、セキュリティ設定に項目があります。画面の指示に従い、この端末 にパスキーを登録します。

「パスワードを追加」ではなく 「パスキーを追加」 と書いてあることが多いです。

ステップ3：普段使う端末で試す

登録後、一度ログアウトして、パスキーでログインできるか確認してみてください。顔や指紋のあと、あっという間に入れる はずです。

動かなかったら、エラー画面を見る——それも学習です。対応ブラウザや端末の条件を確認してみてください。

対応していないサービスはどうするか

対応していないサービスは、今までどおり 安全なパスワード で問題ありません。パスキーは 増やしていく もの、と考えてください。

9. 今日からできること

いきなり全部を切り替える必要はありません。次の1つから始めてみてください。

メールなど大事なアカウント1つで「パスキーを追加」

設定画面を開き、パスキーを追加 してみましょう。登録できたら、一度ログアウトしてログインを試す。

「パスキーって、こういう感じか」と体感できれば、今日の目標は達成です。

まだパスワードが危険な状態なら、先にそちらを

パスワードの使い回しや短さが気になる場合は、安全なパスワードの整備 を先にしても構いません。パスキーは、その 次の一歩 です。

10. まとめ