パスキーとは？【パスワードに変わるログイン方法】

パスキーを設定すると、対応するサイトやアプリで長いパスワードを入力する代わりに、スマホの顔認証や指紋認証などでログインできます。 パスキーを覚える必要はなく、パスワードの使い回しや偽サイトによる被害も防ぎやすくなります。まずは、いつものログインがどう変わるのかを知り、設定方法とスマホをなくした場合の備えを確認しましょう。

パスキーは、自分で考えて覚える必要がないログイン用の鍵

従来のパスワードは、登録した文字列を入力して本人確認を行います。
パスキーとは、スマホやパソコンに保管した「ログイン用の鍵」を使って本人であることを証明します。

パスキーは端末などが自動で作るため、自分で新しい文字列を考えたり、覚えたりする必要はありません。
顔認証や指紋認証などで鍵の使用を承認すれば、端末がログインに必要な処理を行ってくれます。

ここでいう「認証」は、ログインしようとしている人が本人かどうかを確かめることです。
顔や指紋そのものがパスキーになるわけではありません。
端末に保管した鍵がパスキーで、顔認証や指紋認証は、その鍵を使ってよい人かを確認する方法です。

Googleでは、顔や指紋の認証に使うデータは端末に保存され、Googleには共有されません。

参考:developer.apple.com

最初に登録すれば、次回からスマホの顔認証などでログインできる

普段使っているスマホでパスキーを登録し、そのスマホでログインするところから始められます。
パソコンを用意する必要はありません。

登録は、利用するサービスごとに行います。スマホの顔認証を設定しただけで、すべてのサイトがパスキーに切り替わるわけではありません。基本的な流れは次のとおりです。

1. 公式サイトやアプリにログインし、アカウントのセキュリティ設定を開く。
2. 「パスキーを作成」「パスキーを登録」などを選ぶ。
3. 保存先を確認し、顔認証・指紋認証・PINなどで登録を承認する。

パスキー登録時には、現在のパスワードや追加の本人確認を求められる場合があります。Googleアカウントではパスキーの設定ページから作成でき、ニンテンドーアカウントにも登録機能があります。

登録後は、対応するログイン画面でパスキーを選び、スマホに表示される案内に従って本人確認を行います。メールアドレスなどの入力が必要な場合はありますが、パスワードを入力する手間を減らせます。

使えるかどうかは、サービスだけでなく、スマホのOSやブラウザの対応状況によっても変わります。登録やログインの選択肢が見当たらないときは、そのサービスの公式ヘルプで利用条件を確認してください。

参考:support.google.com

パスワードの使い回しと、偽サイトへの入力による被害を防ぎやすい

パスキーは、サービスごとに異なる鍵を使い、登録先のサイトやアプリと結び付く仕組みです。
パスワードの使い回しや、偽サイトに入力した情報を盗まれる被害への対策になります。

同じパスワードを複数のサービスで使っていると、一か所から漏れた情報で、別のサービスにも不正ログインされる恐れがあります。パスキーは、利用者が同じ文字列を使い回すことがありません。

悪意ある偽サイトにログインするのを防ぎやすい

本物そっくりの偽のサイトを表示されても、登録先が異なるので、その偽のサイトではパスキーは使えません。

見た目では判断しにくいフィッシング詐欺に対して、仕組みで守れる点が特徴です。

鍵の仕組みを少し詳しく見てみると、端末側には本人であることを証明するための「秘密鍵」、サービス側にはその証明を確認するための「公開鍵」を保管します。この二つは対（セット）になっています。

ログイン時は、秘密鍵を使って作った証明をサービス側が確認します。秘密鍵そのものを渡す必要はありません。
サービス側から公開鍵が漏れても、それだけで本人になりすますことはできません。

PINを求められても、パスキーを覚えて入力するわけではない

パスキーは、パスワードの代わりにサービスへログインするための自動の鍵です。
スマートフォンやパソコンに保存されていて、使うときは顔認証や指紋認証、PIN、パスコードなどで本人確認します。

このときいっしょに入力するPINやパスコードは、パスキーそのものではありません。
保存されているパスキーを使ってよい本人なのかを本人確認する手段です。

iPhoneでは、画面ロックの解除に使う番号を「パスコード」と呼びますよね。
Windowsでは、起動時のパソコンへのサインインに使うWindows Helloの「PIN」が身近な例です。Windows HelloのPINは、そのパソコンで本人確認するための番号で、Microsoftアカウントとパスワードとは別です。

整理すると、

パスキー＝サービスへログインするための自動の鍵
PIN・パスコード＝その鍵を使う人の本人確認のパスワードみたいなもの

というわけです。

PINはWindows用とGoogle用など別々のものがある場合も

PINは、どの機能で使うかによって別のものが用意される場合があります。

たとえばChromeに「Google パスワード マネージャーのPIN」と表示された場合は、
Google パスワード マネージャー用に設定したPINです。
Windows HelloのPINやiPhoneのパスコードとは役割も設定先も異なります。

画面にPINの入力欄が出たときは、「Windows HelloのPIN」「Google パスワード マネージャーのPIN」など、画面に表示されている名前を見ると、どの番号を入力する場面なのか分かります。

---

参考：Nintendo サポート
https://support.nintendo.com/jp/nintendo_account/login/passkey/index.html
参考：Microsoft Windows Hello
https://www.microsoft.com/ja-jp/windows/tips/windows-hello
参考：Google Chrome ヘルプ
https://support.google.com/chrome/answer/13168025

パソコンでも使いたい場合は、スマホでQRコードを読み取る方法がある

パソコンにパスキーを保存していなくても、スマホに保存したパスキーでログインできる場合があります。

パソコンに表示されたQRコードをスマホで読み取り、スマホ側で本人確認する方法です。

Googleアカウントでは、パソコンのログイン画面でパスキーを使う方法を選び、表示されたQRコードをスマホで読み取ります。スマホ側で顔認証・指紋認証・PINなどによる確認を済ませると、パソコン側のログインが進みます。この方法ではBluetoothをオンにしておく必要があります。

iCloud.comにも、メールアドレスまたは電話番号を入力し、「パスキーでサインイン」を選んでQRコードを読み取る方法があります。利用条件は、iCloudキーチェーンが有効で、iPhoneがiOS 17以降、またはiPadがiPadOS 17以降であること。読み取り後は、端末の案内に従ってFace IDなどで承認します。

似た操作として、LINEにもスマホの生体認証を使ってパソコンやiPadへログインする機能があります。事前設定を済ませ、「スマートフォンを使ってログイン」を選び、スマホ側で承認する流れです。

LINEの公式ヘルプでは、これを「生体情報でのログイン」と案内しています。顔認証を使うログインが、すべてパスキーとは限りません。 操作が似ていても、設定は各サービスの案内に従いましょう。

参考:help.line.me

スマホのロックを守ることが、パスキーの保護につながる

パスキーを保管するスマホには、顔認証や指紋認証と、推測されにくいPIN・パスコードを設定します。
ロックを解除できる人に端末が渡ると、パスキーを不正利用される恐れがあるためです。

見知らぬ他人がスマホを拾っただけですぐログインできてしまうわけではありません。

ですが誕生日や連続した数字など、推測されやすい暗証番号は避けましょう。
顔認証や指紋認証を使っていても、代わりに入力する番号を知られれば、保護が弱くなる場合があります。

パスキーの保存先には、自分が管理する端末を選びます。家族と共用するパソコンなどに保存すると、
その端末を解除できる人が、自分のアカウントへアクセスできる可能性があります。

Googleは、パスキーを作成した端末では、Googleアカウントからログアウトしても、端末のロックを解除できる人がアクセスできる点を注意事項として示しています。ログアウトだけに頼らず、端末のロックと保存先を管理することが大切です。

機種変更や紛失に備え、保存先と使えなくなったときの予備の方法を確認する

パスキーを使い始めたら、保存先とアカウントの復旧方法も確認しておきましょう。
機種変更では、新しいスマホでログインできることを確かめてから、古いスマホを初期化します。

先に確認することは、次の三つです。

• パスキーをどこに保存したか。
• 新しい端末でも使えるように同期されているか。
• スマホが使えなくなった場合に、別のログイン方法や復旧方法があるか。

複数の端末に同期できるものと、一台の端末だけに保存するものがある

AppleのiCloudキーチェーンに保存したパスキーは、同じApple Accountで使う承認済みのApple製デバイス間で同期できます。Google パスワード マネージャーに保存したものも、対応する端末で同じGoogleアカウントを使うことで利用できます。

端末だけに保存する方式では、その端末を失うとパスキーを復元できない場合があります。「スマホに保存されているから、買い替えれば必ず引き継がれる」とは考えず、保存先を確認しておきましょう。

Googleは、アカウントに戻れるよう、再設定用のメールアドレスや電話番号の登録を勧めています。スマホを紛失した場合は、サービスの設定から、その端末に登録したパスキーを削除する対応も必要です。

パスキーを登録しても、パスワードを引き続き使えるサービスがあります。Googleも併用に対応しているため、登録した直後にパスワードを削除する必要はありません。

残して使うパスワードは、サービスごとに異なるものを設定します。定期的な変更を一律に行う必要はありませんが、漏えいや不正利用が疑われる場合は速やかに変更。定期変更を強制すると、覚えやすい単純なものに変えてしまい、かえって安全性が下がる懸念も指摘されています。

まずは、よく使う対応サービスで一つ登録し、次回のログインを試してみましょう。保存先と復旧方法まで確認しておけば、日々の入力を減らしながら、機種変更や紛失にも備えられます。

---