パスキーとは？パスワード・生体認証との違いと仕組みを解説

ログイン画面で「パスキーを作成」「顔や指紋でログイン」と表示されることが増えました。便利そうでも、指紋そのものがサービスへ送られるのか、機種変更で使えなくなるのか不安になる人もいるでしょう。

30秒で説明

パスキーは、パスワードの代わりに公開鍵暗号を使ってログインする仕組みです。端末側に秘密鍵、サービス側に公開鍵を持ち、正しい秘密鍵を持っていることをデジタル署名で確認します。

指紋、顔、端末のPINなどは、端末内の秘密鍵を使う許可を本人から得るために使われます。そのため「パスキー＝指紋認証」ではありません。生体センサーがない端末でも、PINやセキュリティキーを使える場合があります。

情報の基準日: 2026年10月1日。登録、同期、復旧方法はサービスや端末によって異なります。

3分で詳しく

公開鍵と秘密鍵を組み合わせる

パスキーを登録すると、端末は組になった二つの鍵を作ります。

秘密鍵: 端末やパスキープロバイダー側で守られ、サービスへ送らない
公開鍵: ログイン先のサービスへ登録する

ログイン時、サービスから届いたデータへ秘密鍵で署名し、サービスは公開鍵で確かめます。パスワードのように、利用者とサービスが同じ秘密を共有しません。なお、将来の量子コンピューターに備えるポスト量子暗号（PQC）は、公開鍵暗号に関係する別の移行課題であり、パスキーの別名ではありません。

フィッシングに強い理由

パスキーは登録したWebサイトのドメインと結び付いています。偽サイトへ誘導されても、正規サイト用のパスキーをその偽サイトで使えないよう、ブラウザやOSが制御します。

デジタル庁は、2026年2月時点で、厳密なフィッシング耐性を持つ現実的な手段としてパスキーとPKIを挙げています。ただし、アカウント登録時の本人確認や復旧手続きまで自動的に安全になるわけではありません。

パスワード・生体認証・多要素認証との違い

言葉	役割	パスキーとの関係
パスワード	覚えた文字列をサービスと照合	パスキーは文字列の共有を不要にする
指紋・顔認証	端末を操作する人を端末内で確認	秘密鍵の利用を許可する方法の一つ
端末のPIN	端末のロックを解除する知識情報	生体認証の代わりに使える場合がある
多要素認証（MFA）	異なる要素を組み合わせて確認	パスキーの扱いはサービス設計で異なる

指紋や顔の情報をサービス側へ送って照合する仕組みではありません。通常は端末内の認証が成功した後、暗号鍵を使った署名が行われます。

機種変更したらどうなる？

パスキーには大きく二つあります。

同期パスキー

同じパスキープロバイダーへ登録した複数端末で使える方式です。新しい端末へアカウントを設定すると、同期されたパスキーを利用できる場合があります。

デバイス固定パスキー

特定の端末や物理的なセキュリティキーから移動しない方式です。端末を失うと、そのパスキーだけではログインできなくなる可能性があります。

復旧方法、別端末からのQRコード認証、バックアップ手段はサービスごとに異なります。機種変更前に、複数のパスキーや回復手段を登録できるか確認しましょう。

安全性と注意点

パスキー対応はサービス側にも必要
端末やクラウドアカウントを他人に使われないよう保護する
パスキー登録時の本人確認が弱いと、不正な鍵を登録される可能性がある
回復用メールや電話番号、サポート手続きが新しい弱点になる場合がある
「パスキー対応」という表示だけで、サービス全体の安全性が保証されるわけではない

ダークパターンのように、登録や解除の画面設計が利用者の判断へ影響する問題は、認証技術とは別に確認が必要です。AIガバナンスと同様に、技術だけでなく運用や責任分担も重要です。

認証情報の悪用が疑われるニュースを読むときは、不正アクセス・情報漏洩・ランサムウェアの違いを整理したコラムも参考になります。

よくある誤解

パスキーを使えばパスワードは世界からなくなる？

すべてのサービスが対応しているわけではありません。移行期間には、パスワードやワンタイムコードが復旧手段として残る場合もあります。

指紋が漏れたらパスキーも漏れますか？

通常、指紋画像そのものをログイン先へ送る仕組みではありません。ただし、端末の保護やOSの安全性が不要になるわけではありません。

一つ作れば、どのサービスでも使えますか？

いいえ。パスキーはサービスごとに登録します。同じ端末で管理できても、あるサービスのパスキーを別のサービスへ使い回すものではありません。

ひとことで振り返る

パスキーは、パスワードの代わりに公開鍵暗号を使うログイン方法です。指紋認証そのものではなく、同期や復旧の方法はサービスごとに確認する必要があります。

参考資料

FIDO Alliance, FIDO Passkeys: Passwordless Authentication, 更新状況: 2026年10月1日確認, 対象: 定義・公開鍵暗号・同期型と固定型, 確認日: 2026年10月1日
デジタル庁, 本人確認ガイドライン解説書：フィッシング耐性を実現できる手段, 公開日: 2026年2月24日, 対象: パスキーの仕組み・ドメインとの結び付き, 確認日: 2026年10月1日
IPA, インターネットサービスへの不正ログインによる被害が増加中, 公開日: 2025年8月28日, 対象: 利用者向け注意・サービス側の対応, 確認日: 2026年10月1日
IPA, IPA NEWS Vol.68 ウェブサービス認証のセキュリティ強化, 公開日: 2024年9月, 対象: 公開鍵暗号・生体認証との関係, 確認日: 2026年10月1日
FIDO Alliance, Deploying Passkeys in the Enterprise, 公開日: 2024年8月29日, 対象: 同期パスキー・デバイス固定パスキー, 確認日: 2026年10月1日