TEQLO

パスキーって何？ パスワードをやめる仕組みと、iPhone・Android・PCでの設定方法

公開
シェア
パスキーって何？ パスワードをやめる仕組みと、iPhone・Android・PCでの設定方法

覚えなくていい、盗まれにくい、偽サイトでは使えない。各社が標準にし始めた「パスキー」の仕組みと、今日から使うための手順を整理する。

GoogleやApple、Microsoftにログインしようとしたとき、「パスキーを作成しますか」と聞かれたことはないでしょうか。何のことかよくわからず、とりあえず「あとで」を押している人は多いと思います。

パスキーは、パスワードの代わりに指紋や顔、画面ロックの暗証番号でログインする仕組みです。すでに主要なサービスの多くが対応していて、FIDO Allianceが2024年に行った調査では、回答者の53％が少なくとも1つのアカウントでパスキーを使い始めていました。

この記事では、パスキーが何をしているのか、なぜ安全と言えるのか、そしてiPhone・Android・パソコンでどう設定するのかを、各社の公式情報をもとに順番に見ていきます。

パスキーとは何か。パスワードと何が違う？

パスワードは、「自分だけが知っている文字列」をログインのたびにサービスへ送る仕組みです。サービス側にも同じ文字列が保存されていて、送られてきたものと一致すれば本人だと判定されます。言い換えると、同じ秘密を自分とサービスの両方が持っている状態です。

パスキーは、この「秘密を共有する」というやり方そのものをやめます。パスキーを作ると、端末の中で対になる2つの鍵（鍵といってもデータです）が生成されます。片方の「秘密鍵」は端末の外に出ません。もう片方の「公開鍵」だけがサービスに登録されます。ログインのときは、サービスから届いた確認用のデータに端末が秘密鍵で「署名」をして送り返します。署名は秘密鍵の持ち主にしか作れないので、サービス側は公開鍵でそれを検証するだけで本人だとわかります。パスキーの標準を作っているFIDO Allianceは、この仕組みを「共有する秘密がない」と表現しています。

難しそうに聞こえますが、使う側がやることは端末のロック解除と変わりません。Face IDやTouch ID、指紋、PINで本人確認をすれば、それでログインは終わりです。指紋や顔のデータは端末の中だけで照合され、サービスには「本人確認に成功した」という結果しか伝わりません。

なぜ安全なのか。3つの理由

1. 偽サイトでは使えない。 パスキーは、それを作ったサイトやアプリと結びついています。本物そっくりの偽サイトに誘導されたとしても、そのサイト用のパスキーは端末にないので、ログインが成立しません。Appleは「フィッシングによる攻撃を受けにくいため、パスワードよりも安全」と説明していますし、Googleも、共有もコピーも書き留めもできない点をフィッシング対策として挙げています。

2. サービスから流出しても悪用できない。 サービス側にあるのは公開鍵だけです。仮にそれが漏れても、秘密鍵がなければログインには使えません。パスワードのように、流出したリストが別のサービスで片っ端から試される、という事故も起きません。

3. 使い回しという弱点がなくなる。 パスキーはアカウントごとに別々に作られ、覚える必要もありません。「同じパスワードをいくつものサービスで使っている」という、いちばんありがちな弱点が、仕組みの上で消えます。

パスキーはどこに保存される？

パスキーの保存場所は「パスキープロバイダ」と呼ばれます。どこに保存するかによって、他の端末から使えるかどうかと、端末をなくしたときにどうなるかが変わります。

保存先他の端末との同期端末をなくしたら
iCloudキーチェーン（iPhone・iPad・Mac）同じApple Accountの端末で同期。256ビットAESで暗号化され、Appleも読めない新しい端末でログインすれば復元。全端末を失った場合は復旧用連絡先やiCloudキーチェーンエスクローで復旧
Googleパスワードマネージャー（Android・Chrome）Googleアカウントにバックアップされ同期同じアカウントでログインした端末で使える
Windows Hello（Windowsに保存）同期・バックアップなしそのPCを失うかOSを再インストールすると復元できない
ハードウェアセキュリティキー同期なしキーを紛失・初期化すると復元できない

FIDO Allianceは、クラウド経由で同期されるものを「同期型パスキー」、1つの端末から出ないものを「端末固定型パスキー」と呼び分けています。端末固定型のほうが安全性の水準は高いのですが、なくしたときに備えて予備のキーを登録しておく、という運用が前提です。ふつうに使うなら、まず同期型から始めるのが現実的でしょう。

iPhoneで使う

前提：iCloudキーチェーンと、2ファクタ認証（パスワードに加えてもう1つの確認を求める設定）をオンにしておく必要があります。iCloudキーチェーンは「設定」→自分の名前→「iCloud」→「パスワードとキーチェーン」→「このiPhoneと同期」で有効にできます。

作成する：対応しているサイトやアプリで新しくアカウントを作るか、すでにあるアカウントでログインしてアカウント設定を開きます。「パスキーを保存しますか」と聞かれたら「続ける」をタップするだけです。Appleのガイドにもあるとおり、細かい手順はサイトやアプリごとに違います。作ったパスキーは「パスワード」アプリに保存され、同じアカウントにパスワードとパスキーの両方を残しておくこともできます。

ログインする：サインイン画面でアカウント名の欄をタップすると、候補が出てきます。それを選んでFace IDかTouch ID（設定していなければパスコード）で本人確認をすれば、そのままログインできます。

自分のものではないパソコンで使う：図書館や友人の家のパソコンでも、手元にiPhoneがあれば大丈夫です。パソコン側で「近くのデバイスからのパスキー」などを選んでQRコードを表示し、iPhoneのカメラで読み取ればログインできます。

削除する：「パスワード」アプリ→「パスキー」→対象のアカウント→「編集」→「削除」の順です。削除しても、あとからいつでも作り直せます。

Androidで使う

前提：画面ロック（指紋、顔、PIN、パターンのどれか）を設定しておきます。

保存先：何もしなければGoogleパスワードマネージャーに保存され、同じGoogleアカウントでログインした端末で使えます。Samsung Passや1Password、Keeperのようなパスワード管理アプリを保存先にすることもでき、「設定」の「パスワード、パスキー、アカウント」で切り替えられます。

作成・ログイン：アプリやサイトにログインしたあと、パスキーの作成を促されたとき、またはアカウント設定から作成を選び、画面ロックで本人確認します。次からは、アカウントを選んで画面ロックを解除するだけです。

パソコンで使う（Windows・Mac・Chrome）

パソコンは保存先の選択肢が多く、ここがいちばん迷いやすいところです。

Chromeを使う場合は、Windows 10以降とMacで、Googleパスワードマネージャーにパスキーを保存できます。Googleアカウントに同期されるので、スマートフォンのChromeやAndroidでも同じパスキーがそのまま使えます。管理はChromeのメニュー→「パスワードと自動入力」→「Googleパスワードマネージャー」から行います。

Windows Helloに保存する場合は、顔・指紋・PINでそのPCからログインできます。ただし、Googleのヘルプにはっきり書かれているとおり、同期もバックアップもされません。PCを買い替えたり初期化したりすると、そのパスキーは消えます。保存したパスキーの確認と削除は、Windowsの「設定」→「アカウント」→「パスキー」です。

Macの場合は、iCloudアカウントがあればAppleの「パスワード」アプリ（iCloudキーチェーン）に保存でき、iPhoneと共有されます。

スマートフォンのパスキーでパソコンにログインすることもできます。サイトのログイン画面で「別のデバイスのパスキーを使用」か「別の方法を試す」を選び、表示されたQRコードをスマートフォンで読み取ります。このとき、スマートフォンのBluetoothはオンにしておいてください。

実際にやってみる。Googleアカウントの場合

最初の1つとして勧めやすいのはGoogleアカウントです。手順が公式ヘルプにきちんとまとまっていて、スマートフォンからでもパソコンからでも作れます。

  1. myaccount.google.com/signinoptions/passkeys を開く
  2. 「パスキーを作成する」→「パスキーを作成」を選ぶ
  3. 端末のロック解除（指紋・顔・PIN）で確認する

対応環境は、パソコンがWindows 10、macOS Ventura、ChromeOS 109以降、スマートフォンがAndroid 9またはiOS 16以降。ブラウザはChrome 109、Safari 16、Edge 109、Firefox 122以降です。iPhoneやMacでは、iCloudキーチェーンを有効にしておきます。

Googleのヘルプには、知っておきたい注意が3つ書かれています。ひとつめは、共有している端末ではパスキーを作らないこと。ロックを解除できる人なら誰でもアカウントに入れてしまうからです。ふたつめは、パスキーを作るとログインが「パスキー優先」に切り替わること。これまでどおりパスワードを優先したければ、セキュリティ設定の「可能な場合はパスワードをスキップする」をオフにします。みっつめは、作ったばかりのパスキーがログインに使えるようになるまで、7日ほどかかる場合があることです。なお、職場や学校のGoogle Workspaceアカウントでは、管理者の設定によってはパスキーだけではログインできないことがあります。

Microsoftアカウントの場合

個人用のMicrosoftアカウントなら、account.live.com/proofs/manage を開いて「新しいサインイン方法の追加」を選び、顔・指紋・PIN・セキュリティキーのどれかで作成します。保存先は、Microsoftパスワードマネージャーなどのパスワード管理アプリ、スマートフォン（QRコードで連携）、セキュリティキー、Windows Helloから選べます。

Edgeには、対応サイトで自動的にパスキーを作ってMicrosoftパスワードマネージャーに保存する機能があります。勝手に作られるのが気になるなら、Edgeの設定→「パスワードとオートフィル」→「Microsoftパスワードマネージャー」→「その他の設定」で、「パスキーに自動的にアップグレードする」をオフにしておきましょう。

始める前に知っておきたい注意点

端末のロックが「鍵」になる。 パスキーの安全性は、端末のロックを他人に解除されないことが前提です。画面ロックをかけていない端末や、家族と共有している端末では作らないでください。

端末をなくしたときの備えを決めておく。 iCloudキーチェーンやGoogleパスワードマネージャーのような同期型なら、新しい端末で復元できます。Windows Helloやセキュリティキーだけに保存しているなら、別の保存先にも同じサービスのパスキーを作っておくか、復旧の手段を先に確認しておきましょう。

パスワードはすぐには消えない。 多くのサービスでは、パスキーを作ってもパスワードはそのまま残ります。しばらくは両方が使える期間と考えて、パスキーに慣れてから、パスワードをどう扱うかをサービスごとに確認するのが無難です。

対応していないサービスもある。 ログイン画面にパスキーの選択肢が出てこなければ、そのサービスはまだ未対応です。対応しているところから順に切り替えていけば十分です。

まとめ。まずは1つのアカウントで試す

パスキーは「秘密を共有しない」という設計によって、パスワードが長年抱えてきた使い回し・流出・フィッシングという3つの弱点をまとめて解消します。それでいて、使う側の操作は端末のロック解除と変わりません。

最初の一歩としては、GoogleかApple、Microsoftのうち、いつも使っているアカウント1つでパスキーを作ってみるのがおすすめです。数日使って、指紋や顔だけでログインが済む感覚に慣れてきたら、対応している他のサービスにも少しずつ広げていけばよいでしょう。

この記事の手順と対応環境は、2026年10月18日時点の各社公式ヘルプの記載にもとづいています。画面の文言はOSやブラウザのバージョンによって変わることがあるので、設定するときは各社のヘルプもあわせて確認してください。

参考（公式）

テクノロジーの記事一覧へ

関連記事