「パスキーでログイン」と出てきても、新しいパスワードを作ることなのか、指紋をサイトに送ることなのか、少し戸惑いますよね。パスキーは、登録したサービスに対して、暗号の仕組みでログインの資格を示す方法です。指紋や顔、端末のPINは、その資格を使うときの確認に使われます。
この記事では「端末の中の確認」と「サービスへ送る証明」を分けて考えます。仕組みが分かってから、使っているサービスの公式案内で保存先や復旧方法を確かめてみましょう。
パスワードの入力と、パスキーでの証明はどう違う？
パスワードは、サービスへ入力する秘密の文字列です。自分で入力する場合も、管理ツールに任せる場合もあります。一方、パスキーでログインするときは、覚えた文字列をサービスへ入力する代わりに、登録済みの暗号の鍵を使って証明します。
鍵は、役割の違う二つで一組です。「秘密鍵」は証明を作るために使い、「公開鍵」はその証明が正しいかを確かめるために使います。登録時にサービス側へ渡すのは公開鍵です。秘密鍵をログイン先へ送って、見比べてもらう方式ではありません。Googleのパスキー解説
ここでいう鍵は、家の鍵の写真や、自分で考えた合言葉ではありません。端末やパスキーの管理機能が扱うデジタルな情報です。二つの鍵の文字列を利用者が暗記する必要はありません。
図解：端末の確認と、サービスへの証明は別の役割
図では、すでにパスキーを登録したサービスへ、同じ利用者が戻ってきた場面を考えます。先に登録が済み、サービス側には対応する公開鍵があることが前提です。
- サービスが、今回のログインのための確認用データを送る。
- 端末側で、指紋・顔・PINなどを使ってパスキーを使用するための確認をする。
- 秘密鍵で確認用データに「署名」を作り、サービスへ送る。
- サービスが公開鍵で署名を確かめ、ログインの資格を確認する。
署名は、紙に書く名前の画像ではなく、データを使った計算で作る証明です。Googleの開発者向け説明も、サービスから送る確認用データへの署名と、サービス側での検証を分けて説明しています。サーバー側での登録・認証の概要
端末での確認が成功しても、それだけで実社会の本名や住所が証明されるわけではありません。図が示すのは、登録されたアカウントへログインするための確認です。本人確認書類を使う手続きや、商品の購入内容の確認とは役割が違います。
なぜ、偽サイトへ秘密を渡しにくくなるの？
パスキーは、登録したウェブサイトやアプリと結び付いています。ブラウザーやOSがその関係を扱うため、本物に似せた別のサイトへ、いつものパスワードを手入力して渡してしまう形のフィッシングに強い仕組みです。
この性質は、怪しいサイトを全て消したり、不審な送金の指示を正しいものに変えたりすることではありません。ログイン後の操作をだまされて進める問題や、端末そのものの安全、アカウントを取り戻す手続きも別に考えます。「パスキーを使っているから、この連絡にも従ってよい」とは決めないようにしましょう。
証券口座を使う際の公式の入口の確かめ方は、既存記事の証券口座のフィッシング対策でも整理しています。
指紋や顔の情報は、ログイン先に送るの？
パスキーで指紋や顔を使う場合、生体情報の照合は端末側で行われます。ログイン先に指紋や顔のデータを渡して、そのサイトに照合してもらう仕組みではありません。生体認証の代わりに端末のPINなどを使う場合もあり、パスキーと顔認証は同じものではありません。FIDO Allianceの説明・FAQ
指紋や顔を照合する端末内の確認と、サービスへ送る署名は、役割が違います。ただし、別の手続きで顔写真や本人確認書類を提出するサービスまで、この説明で一括して判断することはできません。
端末をなくしたら？同期するものと、しないものがある
パスキーには、管理サービスを通じて自分の複数の端末へ同期するものと、特定の端末やセキュリティキーに結び付くものがあります。「秘密鍵は必ず一台の中だけにあり、外へ一切出ない」と全てのパスキーを説明するのは正確ではありません。
同期型では、対応する管理サービスを新しい端末で利用できれば、そこでもパスキーを使える場合があります。ただし、管理サービスのアカウントへ入る方法や復旧条件も関わります。端末固定型も含め、端末をなくしたときに何が使えるかは、保存先とログイン先のサービスの案内を確認します。
例えばGoogleアカウントのヘルプには、紛失・盗難にあった端末のパスキーを別の利用可能な端末から削除する案内があります。これはGoogleの手順です。他のサービスで、同じボタンや同じ復旧条件が使えるとは限りません。Googleアカウントのパスキー案内
作る前に、保存先と困ったときの入口を見てみる
新しい仕組みを一度に全部覚える必要はありません。使いたいサービスを一つ選び、公式の説明で次の点を確かめるところから始めてみましょう。
- 自分の端末とブラウザーは対応しているか。
- どの端末・管理サービスに保存され、同期するものか。
- 端末を紛失した場合に、どこから復旧や利用停止を相談できるか。
例えばGoogleは、共有する端末にパスキーを作らないよう案内しています。端末のロックを解除できる人が誰かも大切です。学校や会社のアカウントは、利用する組織の方針と公式案内に従ってください。パスキーを追加しても、別のログイン方法や復旧方法が自動的に全て消えるとは限りません。
まずは、今使っているサービス一つの「パスキーの保存先」と「端末をなくした場合」の説明を読んでみてください。利用を急いだり、専用の商品を買ったりする前に、自分が使い続けられる方法かを考えられれば十分です。
情報の基準と出典
情報確認日：2026年10月21日。Google for Developers（表示更新日2026年10月1日UTC）、FIDO Allianceのパスキー説明、Googleアカウントのヘルプを参照しました。図解はこれらの説明を基にした当サイト独自の概念図で、実際のログイン画面や操作手順の再現ではありません。個別サービスの対応・保存先・復旧手順は更新されるため、利用時点の公式案内も確かめてください。
コメント