最近、GoogleやApple、Microsoftのサービスで「パスキーを作成しますか？」と表示されることが増えてきました。この記事では、パスキーとは何か、パスワードとどう違うのか、どんな仕組みなのかを、初心者向けにまとめます。
パスキーとは？
パスキーは、パスワードの代わりに使えるログインの方法です。FIDO Allianceは、パスキーを「Webサイトやアプリのアカウントにひも付いたFIDOの暗号の資格情報」と説明しています。ログインするときは、パスワードを入力する代わりに、スマホやパソコンのロックを解除するときと同じ方法（指紋認証・顔認証・PIN・パターンなど）で承認します。
パスキーはFIDO Allianceが策定したFIDO2の仕様にもとづいていて、W3Cの「Web Authentication（WebAuthn）」という標準とも深く関係しています。特定の会社だけの機能ではなく、業界の共通の仕組みです。
実際にパスキーの作成をすすめる画面がどのように表示されるかは、Googleの解説ページ「パスキー｜Google for Developers」で例を見られます。
パスワードとの違い
| 項目 | パスワード | パスキー |
|---|---|---|
| 覚える必要 | あり | なし（端末のロック解除で承認） |
| 強さ | 人が決めるので弱いものもある | 常に強い（FIDO Alliance） |
| フィッシング | 偽サイトに入力してしまうおそれ | フィッシングに強い設計 |
| サーバー側の秘密 | サービスと共有する | 秘密を共有しない設計 |
| サービスごとの違い | 使い回しの問題がある | サイトやアプリごとに別々 |
Googleのヘルプでは、パスキーはパスワードと違って共有・コピー・書き留めることができず、誤って他人に渡してしまう心配もないと説明されています。
パスキーの仕組み
パスキーは「公開鍵暗号」という技術を使います。Appleのサポート情報をもとに、流れを簡単にまとめると次のとおりです。
- アカウントにパスキーを登録すると、端末がそのアカウント専用の「鍵のペア」（公開鍵と秘密鍵）を作ります。
- 公開鍵はサービスのサーバーに保管されます。公開鍵は秘密の情報ではありません。
- 秘密鍵は利用者の側に残り、サーバーはその内容を知りません。
- ログインのときは、指紋・顔・PINなどで本人確認をすると、秘密鍵を使ってサービスに本人であることが示されます。秘密の情報そのものが送られることはありません。
指紋や顔などの生体情報について、Googleは「デバイスに保存されており、Googleと共有されることはない」と説明しています。生体情報は端末のロック解除に使われるだけで、サービスに送られるわけではありません。
パスキーの保存先と同期
パスキーは、iCloudキーチェーン、Googleパスワードマネージャー、Microsoft Password Managerなどの「パスワード管理の仕組み」に保存して、同じアカウントの複数の端末で同期して使えます。Appleの場合、パスキーはiCloudキーチェーンでエンドツーエンドで暗号化されて同期されます。
また、手元にパスキーを保存したスマホがあれば、自分のものではないパソコンでも、画面に表示されたQRコードをスマホでスキャンしてログインできます（Apple、Google）。
パスキーのメリット
- パスワードを覚えなくてよい：端末のロック解除と同じ操作でログインできます。
- フィッシングに強い：FIDO Alliance、Google、Apple、Microsoftがいずれも、パスキーはフィッシングに強いと説明しています。
- 盗まれるパスワードがない：FIDO Allianceは、パスキーでは盗まれるパスワードがなく、攻撃に使えるログイン情報もないとしています。
- 使い回しの心配がない：パスキーはサイトやアプリごとに別々なので、ほかのサービスへの不正ログインに使われる心配がありません（Microsoft）。
注意点
- すべてのサービスが対応しているわけではない：パスキーを作成する選択肢が表示されない場合、そのサイトやアプリは対応していません（Apple）。
- 端末のロックが前提：パスキーでログインできるということは、その端末のロックを解除できる状態にあるということです（Google）。端末の画面ロックはしっかり設定しておきましょう。
- 端末やブラウザの条件がある：たとえばGoogleアカウントでは、Windows 10・macOS Ventura・ChromeOS 109以降のパソコン、Android 9・iOS 16以降のスマホ、Chrome 109・Safari 16・Edge 109・Firefox 122以降のブラウザなどが条件として挙げられています。シークレットモードではパスキーを作成・使用できないことがあります。
- 端末だけに保存する場合は予備を：Microsoftは、同期できるパスワード管理の仕組みへの保存を勧めていて、端末に保存する場合はほかの端末にもパスキーを作って「予備の鍵」にするよう案内しています。
- 仕事や学校のアカウントは管理者の設定しだい：Google Workspaceのアカウントでは、パスキーだけではログインできないことがあります。
主なサービスでの設定の概要
手順は画面の変更で変わることがあるため、ここでは概要だけを紹介します。最新の手順は各社の公式ヘルプを確認してください。
Googleアカウント
- 事前に、スマホの画面ロックをオンにします。iPhone・iPad・MacではiCloudキーチェーンをオンにします（未設定ならパスキー設定時に有効にするよう求められます）。
- Googleアカウントのセキュリティ設定（myaccount.google.com/security）からパスキーを作成・管理できます。
- パスキーを追加しても、今の認証要素や復元方法は変更・削除されません。2段階認証を設定している場合、パスキーを使うと2つ目の手順が省略されます。
- 新しく作ったパスキーがログインで使えるようになるまで、7日間ほどかかる場合があります。
設定画面の場所や手順は、Googleの公式ヘルプ「パスワードの代わりにパスキーでログインする」で確認できます。
Apple（iPhone）
- パスキーに対応したサイトやアプリでパスキーを作成すると、iCloudキーチェーンに保存されます。
- ログインのときは、サインイン画面でアカウント名を選び、Face IDまたはTouch ID（未設定ならパスコード）でサインインします。
- Apple AccountでiCloudキーチェーンを使うには2ファクタ認証が必須です。
iPhoneでの画面の流れは、Appleの公式ガイド「iPhoneでパスキーを使ってウェブサイトやアプリにサインインする」で確認できます。
Microsoft（Windows・Microsoftアカウント）
- Microsoftの個人用または職場・学校のアカウントにパスキーを追加できます。
- パソコンではWindows Hello（PIN・指紋・顔）、スマホではFace ID・指紋・ロック解除のPINでサインインします。
- ほかのWebサイトでログインするときに表示される「パスキーを作成しますか？」の案内を受け入れて作成する方法もあります。
WindowsでWindows Helloを使ってパスキーを確認する流れは、Microsoftの公式サポート「Windowsのパスキー」で確認できます。
よくある質問（FAQ）
Q. 指紋や顔のデータはサービスに送られますか？
A. Googleは、指紋認証や顔認証の生体認証データはデバイスに保存されていて、Googleと共有されることはないと説明しています。
Q. 複数の端末で使えますか？
A. 使えます。iCloudキーチェーンやMicrosoft Password Managerなど、同期できる仕組みに保存すれば、同じアカウントの端末で使えます（Apple、Microsoft）。
Q. 自分のものではないパソコンでも使えますか？
A. パスキーを保存したスマホが手元にあれば、パソコンに表示されたQRコードをスマホで読み取ってログインできます（Apple）。スマホのパスキーで別のパソコンにログインするにはBluetoothをオンにする必要があります（Google）。
Q. パスキーを作るとパスワードは使えなくなりますか？
A. Googleアカウントの場合、パスキーを追加しても今の認証要素や復元方法は変更・削除されません。ログイン画面で［別の方法を試す］を選ぶと、以前のログイン方法を使えます。ほかのサービスでの扱いは、各サービスのヘルプを確認してください。
まとめ
パスキーは、FIDO AllianceとW3Cの標準にもとづく、パスワードの代わりのログイン方法です。端末のロック解除と同じ操作でログインでき、フィッシングに強く、サービスと秘密を共有しない設計になっています。一方で、対応していないサービスもあり、端末の画面ロックや予備の端末の準備が大切です。使っているサービスで「パスキーを作成しますか？」と表示されたら、公式ヘルプを確認しながら設定を検討してみてください。
参考にした公式情報（確認日：2026-10-15）
- FIDO Alliance「Passkeys」：https://fidoalliance.org/passkeys/
- W3C「Web Authentication: An API for accessing Public Key Credentials Level 3」：https://www.w3.org/TR/webauthn-3/
- Google アカウント ヘルプ「パスワードの代わりにパスキーでログインする」：https://support.google.com/accounts/answer/13548313?hl=ja
- Google for Developers「Passkeys」：https://developers.google.com/identity/passkeys
- Apple サポート「パスキーのセキュリティについて」：https://support.apple.com/ja-jp/102195
- Apple iPhoneユーザガイド「パスキーを使ってウェブサイトやアプリにサインインする」：https://support.apple.com/ja-jp/guide/iphone/iphf538ea8d0/ios
- Microsoft サポート「What are passkeys and why they matter」：https://support.microsoft.com/ja-jp/windows/passkeys-in-windows-301c8944-5ea2-452b-9886-97e4d2ef4422
コメント