パスキーとは

パスキーはパスワードの代わりに使うログインです。文字列を覚えて打ち込むのではなく、いつも使っているスマホやパソコンで、顔認証・指紋・画面ロックを使い、「本人です」と認めます。認める操作は端末の中で終わり、パスワードそのものをサービスへ送ることはありません。

パスワードが危なく、パスキーがよい理由

パスワードは自分で覚えて打つ「同じ文字列」です。便利な反面、その文字列を知っている人は、あなたとしてログインできてしまいます。パスキーはこの弱点をまとめて避けられます。まず表で違いを見て、そのあと一つずつ説明します。

毎日の操作

パスワードはサービスごとに覚えて、ログインのたびに手で打ち込みます。忘れると再設定が必要になり、覚えやすくすると、ほかの人にも推測されやすくなります。いくつものサービスで使い分けるほど、負担は増えます。

パスキーなら、その文字列を思い出す必要がありません。スマホの顔認証や指紋、画面ロックなど、端末のロックを解除するときと同じ操作でログインを承認します。打つ文字がないので、打ち間違いや、メモした紙を見られる心配も減ります。顔や指紋の情報そのものがサービスへ送られることはありません。端末の中で「この端末の持ち主か」を確かめるためだけに使われます。

漏れたとき

パスワードはどこか一つのサービスから漏れると、その文字列を知っている人があなたとして入れます。同じパスワードをほかのサービスでも使っていると、被害はそこにも広がります。漏えいはサービスの側で起きることもあれば、偽の画面に自分で打ち込んで起きることもあります。

パスキーはサービスごとに別々です。一つのサービスで問題が起きても、そのパスキーをほかのサービスのログインに使うことはできません。使い回しで被害が連鎖する、というパスワード特有の広がり方がありません。仕組みとしては、サービス側に保存されるのは「錠前」にあたる情報だけで、開ける「鍵」そのものはあなたの端末の中にあり、外に出ません。サービス側の情報が漏れても、それだけではログインできません。

偽のログイン画面

本物そっくりの画面にパスワードを打ち込むと、その文字列は相手に渡ります。相手はそれを、本物のサービスでのログインに使えます。アドレスが少し違うだけでも、打ち込んだ本人には見分けがつきにくいことがあります。

パスキーは登録した本物のサービスでしか動きません。偽の画面を開いてもパスキーは反応せず、パスワードのように文字列を相手へ渡すことがありません。自分で「これは本物か」と判断してから文字を打つ、という手順自体がなくなります。

切り替えるとこう変わります

パスワードだけのログインでは、思い出す負担、使い回しによる被害の広がり、偽の画面への入力が、同時に残ります。パスキーに切り替えると、この三つが一度に減ります。

• パスワードを思い出す負担がなくなり、顔・指紋・画面ロックで承認できる
• 一つのサービスで問題が起きても、ほかのサービスには使えない
• 偽のログイン画面にパスワードの文字列を渡さなくなる

パスキーの弱点と向かない場面

パスキーにも弱点はあります。切り替える前に知っておくと、あとで困りません。

• 端末に依存します。同期していないパスキーは、その端末をなくすと使えなくなります。同期の仕組みと復旧方法の確認が前提です
• 同期先に信頼が集まります。同期を使う場合、Apple や Google のアカウントが実質的な鍵束になります。そのアカウント自体の守りが重要になります
• 人と共有しづらい方法です。パスワードのように家族へ口頭で渡すことはできません。共有が必要なアカウントでは不便なことがあります
• 古い端末や一部の環境では使えません。OS やブラウザが古いと、登録自体ができない場合があります
• 復旧の方法はサービスごとに違います。入れなくなったときの手続きは統一されていません。対処法は困ったときにまとめています

セキュリティキーという選択肢

パスキーは USB や NFC で接続する物理的な「セキュリティキー」に保存することもできます。端末やクラウド同期に依存しない反面、キーをなくすと使えなくなるため、予備のキーを用意するか、他のログイン方法と組み合わせるのが一般的です。

全部を一度にやめなくてよい

今日パスワードを使っているサービスを、同じ日にすべてやめる必要はありません。パスキーに対応しているものから、ひとつずつ切り替えれば十分です。よく使うメール、銀行、ショッピングのように、乗っ取られると困るものから始めると、効果を感じやすくなります。

サービスによって、切り替え方は次の二つがあります。

• パスワードをやめて、パスキーだけで入れる
• いまのパスワードは残し、パスキーを追加する

どちらもパスワードだけのままより安全です。ただし、パスワードログインが残るサービスでは、漏れたパスワードだけでログインできてしまう余地も残ります。パスキーを第2の確認として必須にできる、またはパスワードログインを無効にできるサービスでは、その余地を消せます。パスワードを消せるかどうかはサービスごとに違うので、設定画面か公式の説明で確認してください。

なお、サービスによってはパスキーの登録自体が必須で、登録しないとログインできなくなる場合もあります（証券会社など）。一覧の「パスキー（任意／必須）」の内訳で確認できます。このサイトの一覧で「パスキー」と出ているサービスから始められます。ボタンの名前や画面の進み方はサービスごとに違うため、共通の流れだけをパスキーの一般的な設定手順にまとめています。切り替える前に、スマホをなくしたときや買い替えたときにどう戻るかを、そのサービスの公式の説明で読んでおくと安心です。

公的機関の解説

仕組みをもう少し知りたいときは、公的機関の解説が参考になります。JPNIC「インターネット用語1分解説 〜パスキーとは〜」、IPA NEWS Vol.68 のパスキー特集 (PDF)などがあります。

関連: 対応一覧、どれから設定するか