パスキーとは？パスワードとの違いと設定方法【2026年版】

ログインしようとしたら「パスキーを作成しますか？」と聞かれた——そんな経験が増えていませんか。パスキーとは、パスワードの代わりに、スマホやパソコンの指紋・顔認証・PIN でログインする仕組みです。Google・Apple・Microsoft が対応し、Yahoo! JAPAN ID は2027年春ごろまでにパスワードだけでのログインを終える予定です。

FIDO Passkeys: Passwordless Authentication

パスキーは、パスワードのように「覚える・入力する」ものがありません。そのため、偽サイトにだまされて入力してしまうフィッシング詐欺に強いのが最大の特長です。一方で、「スマホをなくしたら？」「iPhone から Android に変えたら？」という不安を持つ人も多いはずです。

この記事では、パスキーの仕組みとパスワードとの違い、主要サービスでの設定方法、機種変更の前にやること、物理キー「YubiKey」との違いまでを、図と表でまとめます。パスワードからの切り替えで迷わないための「使い方の地図」という位置づけです。

パスキーとは？一言でまとめると

パスキーは「サービスごとに作られる、スマホやパソコンの中の合鍵」です。ログインするときは、ふだんスマホのロックを外すのと同じ操作——指紋・顔・PIN——をするだけで済みます。

指紋や顔の情報が、サービスに送られることはありません。生体認証は手元の端末の中だけで行われ、「本人が操作した」という結果だけがサービスに伝わります。

ブラウザ側の仕様である WebAuthn は、2026年8月25日に W3C の勧告（Level 3）になっています。Chrome・Safari・Edge・Firefox など主要なブラウザが対応しており、特定の会社だけの独自機能ではありません。

パスワード・2段階認証との違い：比較表

パスワードと、SMS や認証アプリのコードを足した2段階認証、そしてパスキーを並べると、違いがはっきりします。

ポイントは、2段階認証でもフィッシングは完全には防げないことです。偽サイトにパスワードと確認コードを入力してしまえば、攻撃者はその場で本物のサイトにログインできます。パスキーは「どのサイトの鍵か」が鍵そのものに結び付いているため、偽サイトでは最初から使えません。

GitHub のように、パスキー1回の操作で「パスワード＋2段階認証」の両方を満たした扱いになるサービスもあります。手間が減って、しかも安全になる——これがパスキーが広がっている理由です。

不正ログインの被害がどのように起きるかは、ヨドバシの事例の記事で詳しく紹介しています。

あわせて読みたい

ヨドバシで不正ログインの報告、公式が呼びかける対策【2026年11月】

パスキーの仕組み：なぜフィッシングに強い？

パスキーは「公開鍵暗号」という仕組みを使います。難しく聞こえますが、南京錠（公開鍵）と、その鍵（秘密鍵）のペアと考えると分かりやすいです。

① 登録するとき

端末が、そのサービス専用の鍵のペアを作ります。南京錠（公開鍵）だけをサービスに預け、鍵（秘密鍵）は端末の中に残します。

② ログインするとき

サービスが毎回ちがう「問題（チャレンジ）」を送ります。端末は、指紋や顔で本人を確かめてから秘密鍵で署名して返し、サービスは預かった公開鍵で正しい署名かを確かめます。秘密鍵そのものはネットに流れません。

③ 偽サイトでは使えない理由

鍵は作ったときのサイトの名前（ドメイン）に結び付いています。ブラウザは、いま開いているサイトと鍵のドメインが合わなければ鍵を使わせません。見た目がそっくりの偽サイトでも、ドメインが違えば鍵は反応しない——これがフィッシングに強い理由です。

サービス側から情報が漏れても、残っているのは公開鍵（南京錠）だけです。南京錠を手に入れても鍵は作れないので、パスワードの漏えいのように「そのままログインに使われる」ことはありません。

保存場所は2種類：同期パスキーとデバイス固定のパスキー

パスキーは保存のされ方で2種類に分かれます。機種変更や YubiKey の話はここが分かれ目なので、先に押さえておきましょう。

同期パスキーはエンドツーエンドで暗号化され、Apple も Google も中身を読めない形で端末どうしを同期します。新しい端末で使うときは、Apple なら Apple Account のパスワードと6桁の確認コード、Google なら Google アカウントへのログインと、前の Android の画面ロックや Google パスワード マネージャーの PIN で本人確認をします。

デバイス固定のパスキーは、1台にしかないぶん安全度は高いものの、なくしたら終わりです。Chrome のヘルプも、Windows Hello やセキュリティキーに保存したパスキーはバックアップされないとはっきり書いています。

IT Picks としては、個人なら同期パスキーを基本にし、守りたいアカウントにだけ物理キーを足すのが現実的だと考えています（詳しくは後半の YubiKey の節）。

設定方法：Google・Apple・Microsoftの手順

大まかな流れはどのサービスでも同じです。「いつもの方法でログイン → セキュリティ設定 → パスキーを作成 → 端末のロック解除で保存」の4ステップです。

始める前に、スマホやパソコンの画面ロック（指紋・顔・PIN）をオンにしておきます。画面ロックが無い端末では、パスキーを作れません。

① Google アカウント

1. スマホかパソコンで myaccount.google.com/signinoptions/passkeys を開く
2. 「パスキーを作成する」→「パスキーを作成」を選ぶ
3. 端末のロックを解除する（指紋・顔・PIN）
4. YubiKey などに保存したいときは「別のデバイスを使用」を選び、キーを挿して PIN を入れるかタッチする

対応する環境は、パソコンが Windows 10・macOS Ventura・ChromeOS 109 以降、スマホが Android 9・iOS 16 以降です。ブラウザは Chrome・Edge 109、Safari 16、Firefox 122 以降が対象です。iPhone・iPad・Mac では、事前に iCloud キーチェーンをオンにしておきます。

Google は、共有の端末ではパスキーを作らないよう注意しています。パスキーは「その端末のロックを外せる人」がログインできる仕組みだからです。家族と共用のタブレットなどでは作らないのが安全です。

② iPhone（Apple）でほかのサイトのパスキーを作る

1. 「設定」で iCloud キーチェーンと2ファクタ認証がオンになっているか確かめる
2. 対応しているサイトやアプリにいつもの方法でログインし、アカウント設定を開く
3. パスキーの保存を勧める表示が出たら「続ける」をタップ
4. 作ったパスキーは「パスワード」アプリに入り、同じ Apple Account の Mac・iPad でも使える

保存の表示が出ないときは、そのサイトがまだパスキーに対応していません。削除はパスワードアプリ →「パスキー」→ アカウント →「編集」→「削除」です。

③ Microsoft アカウント

1. パスキーを作る端末で account.live.com/proofs/manage（高度なセキュリティ オプション）にサインイン
2. 「新しいサインイン方法の追加」を選ぶ
3. 顔・指紋・PIN・セキュリティ キーのどれかを選ぶ
4. 保存先を選んで、端末のロック解除で完了

保存先は、iCloud キーチェーンや Google パスワード マネージャーなどのパスワード管理アプリ、スマホ（QR コードで読み取る）、セキュリティキー、Windows Hello から選べます。Windows Hello を選ぶとそのパソコンだけに保存されるので、買い替えの予定がある人はパスワード管理アプリかスマホを選ぶと後が楽です。会社・学校のアカウントは mysignins.microsoft.com/security-info から、組織が許可している場合だけ作れます。

国内サービスの対応状況：Yahoo! JAPAN ID・dアカウントほか

日本のサービスでも、パスキーは「選べる機能」から「標準のログイン方法」に変わりつつあります。

dアカウントには「いつもパスキー設定」があり、ログインをパスキーだけに限定できます。パスワードでのログインをあえて使えなくすることで、遠くの第三者がパスワードを入れてなりすます攻撃を防げます。パスキーに慣れたら、こうした「パスワードを使えなくする設定」まで進めるのが、いちばん効果の大きい使い方です。

Yahoo! JAPAN ID では、移行のあいだ SMS 認証や、パスワード＋ワンタイムパスワードでのログインも当面は使えます。ただし将来はパスキーに一本化する方針なので、案内が出た人は早めに作っておくと慌てずに済みます。

カード会社でも、固定のパスワードをやめる動きが出ています。

あわせて読みたい

楽天カードの固定パスワード廃止、1月末までに移行を【2026年10月】

機種変更・PCの買い替えでの注意点と手順

パスキーでいちばん質問が多いのが機種変更です。結論から言うと、同じ OS どうしの機種変更なら、同期パスキーは自動で引き継がれます。注意が必要なのは、iPhone と Android をまたぐときと、パソコンだけに保存したパスキーです。

機種変更の前にやること（OS をまたぐときも共通）

1. 古いスマホは初期化しないで手元に残す。パスキーが無い端末からでも、QR コードを読み取れば古いスマホのパスキーでログインできる
2. 大事なサービス（メール・銀行・ショッピング）で、パスキー以外のログイン方法（パスワード、SMS、予備のセキュリティキーなど）がまだ使えるか確かめる
3. 新しいスマホで各サービスにログインし、新しいパスキーを作る
4. 新しいパスキーでログインできたら、古い端末のパスキーを削除する（Google は「パスキーとセキュリティ キー」、Apple はパスワードアプリから）

パスキーを別のアプリに移す仕組みは整いつつある

iPhone と Android をまたいでパスキーを移しやすくするため、FIDO Alliance は、パスワード管理アプリどうしで認証情報を受け渡す共通の形式「Credential Exchange Format」を、2025年8月14日に Proposed Standard（標準案）として公開しています。Apple は iOS 26 から、パスワードやパスキーをほかのアプリと交換するための仕組みを開発者向けに用意しました。

ただし、移せるかどうかは移す先のアプリが対応しているか次第です。また、Apple の公式ガイドで手順が案内されている「書き出し」はパスワードを CSV ファイルにする方法で、このファイルは暗号化されません。パスキーの移し替えに頼るより、新しい端末でパスキーを作り直すほうが確実だと IT Picks は考えています。

YubiKeyとの違い：物理キーを足すべき人は？

YubiKey は、パソコンに挿したりスマホにかざしたりして使う物理的なセキュリティキーです。パスキーの「入れ物」の一つで、中のパスキーはデバイス固定になります。

Yubico は、同期パスキーは一般の利用者向けで、リスクが中〜低の使い方に向くとし、リスクの高い用途ではデバイス固定のパスキーをすすめています（Yubico はキーのメーカーなので、その立場からの意見でもあります）。Apple も、Apple Account のセキュリティキーを有名人・ジャーナリスト・政府関係者など、狙われやすい人向けの追加の守りと位置づけています。

IT Picks の見方では、ふつうの個人は同期パスキーだけで十分に安全性が上がります。そのうえで、①会社や仕事のアカウントを持つ人、②発信力があって乗っ取りを狙われやすい人、③メールや Apple Account・Google アカウントなど「すべての入口」になるアカウントを特に固めたい人は、YubiKey を2本用意して追加するとよいでしょう。

YubiKey の種類・価格・日本での買い方は、こちらの記事でまとめています。

あわせて読みたい

YubiKeyが日本公式ストアで販売、価格と選び方【2026年11月】

webauthn.io で実際に試してみた

2026年11月13日に、登録なしで使える WebAuthn のデモサイト「webauthn.io」（Duo Labs が公開）で、パスキーを作ってログインするところまで試してみました。パソコンに指紋センサーが無くても試せるよう、ブラウザの開発者ツールにある「仮想の認証器」を使っています。

① パスキーを作る

ユーザー名の欄に適当な名前を入れて「Register」を押すと、数秒で「Success! Now try to authenticate…」に変わりました。この時点でパスワードは一度も決めていません。

② パスキーでログインする

続けて「Authenticate」を押すと「You’re logged in!」と表示され、そのままログインできました。

ログインのときにサイトへ送られたデータの一部（clientDataJSON）を読める形に直すと、次のとおりです。「どのサイトで操作したか（origin）」が署名の対象に入っているので、偽サイトで操作しても本物のサイトでは通りません。

{
  "type": "webauthn.get",
  "challenge": "（毎回ちがう値）",
  "origin": "https://webauthn.io",
  "crossOrigin": false
}

③ 別のサイトから鍵を使おうとする

偽サイトの代わりに example.com のページを開き、webauthn.io の鍵を使おうとするコードを動かしてみました。

await navigator.credentials.get({
  publicKey: {
    challenge: new Uint8Array(32),
    rpId: "webauthn.io",
    userVerification: "preferred",
  },
});

SecurityError: The relying party ID is not a registrable domain suffix of, nor equal to the current domain. Subsequently, an attempt to fetch the .well-known/webauthn resource of the claimed RP ID failed.

ブラウザがすぐに止めて、鍵は使われませんでした。これが、この記事の「偽サイトでは使えない」の実例です。鍵はドメインに結び付いていて、別のドメインのページからは呼び出すことすらできません。なお、スマホの指紋・顔認証の実機や、Google・Apple などのアカウントの設定画面では試していません。

よくある質問

Q. パスキーを作ったら、パスワードは消えるの？ A. 多くのサービスでは、パスワードも残ったままです。パスワードを使えなくするには、dアカウントの「いつもパスキー設定」のような専用の設定が必要です。パスワードが残っている間は、使い回しをしていないかも見直しておきましょう。

Q. 指紋や顔の情報がサービスに送られることはない？ A. ありません。生体認証は端末の中だけで行われ、サービスには「本人が操作した」という結果と署名だけが届きます。

Q. スマホをなくしたら、ログインできなくなる？ A. 同期パスキーなら、同じアカウントの別の端末（パソコン・タブレット）や新しいスマホで使えます。Apple は、すべての端末をなくしても iCloud キーチェーンを復旧する仕組みを用意しています。拾った人に使われないよう、端末の画面ロックは推測されにくいものにしておきます。

Q. 他人のパソコンでログインしたいときは？ A. ログイン画面で「別のデバイスのパスキーを使用」「近くのデバイスからのパスキー」などを選ぶと QR コードが出ます。自分のスマホで読み取ればログインでき、他人のパソコンにパスキーは残りません。近くにあることは Bluetooth で確かめるので、スマホの Bluetooth をオンにしておきます。

Q. 1つのサービスに複数のパスキーを作ってもいい？ A. 作れます。iPhone 用・Android 用・YubiKey 用のように複数あると、どれか1つを失っても困りません。使わなくなった端末のパスキーは削除しておきましょう。

まとめ

パスキーのポイントをまとめます。

• パスキーとは：パスワードの代わりに、端末の指紋・顔・PIN でログインする仕組み（FIDO・W3C の標準）
• パスワードとの違い：覚えない・入力しない、サービスごとに別の鍵、偽サイトでは使えない
• 設定方法：画面ロックをオン → いつもの方法でログイン → セキュリティ設定で「パスキーを作成」
• 国内の動き：Yahoo! JAPAN ID は2027年春ごろまでにパスワードだけのログインを終了予定、dアカウントは Android でも同期パスキーに対応
• 機種変更：同じ OS なら自動で引き継ぎ。iPhone ⇔ Android は新しい端末で作り直し、古い端末は作り終えるまで残す
• YubiKey との違い：中身を移せない物理キー。仕事用や狙われやすいアカウントに2本で追加

まずは、毎日使う Google アカウントか Apple・Microsoft のアカウントで、パスキーを1つ作るところから始めてみてください。

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。