パスキーは、対応するサービスにパスワードを入力せずにログインするための仕組みです。スマートフォンやパソコンに保存された鍵を使い、顔認証、指紋認証、画面ロックの暗証番号などで本人確認します。パスワードを覚えたり、毎回入力したりする負担を減らし、偽サイトにパスワードを入力して盗まれる危険も抑えられます。
ただし、パスキーを設定すればすべての不正利用を防げるわけではありません。端末やアカウントの復旧方法を整え、使っているサービスが正規のサイトか確認することも大切です。
パスキーの仕組みを簡単に
従来のパスワードは、利用者が覚えてサービスの画面に入力します。同じパスワードを使い回すと、一つのサービスで漏れた情報から別サービスにもログインされるおそれがあります。パスキーでは、サービス側に登録する公開鍵と、端末から外に出さない秘密鍵の組み合わせで本人を確認します。
利用者は、登録済みの端末で顔・指紋・画面ロックなどを使ってログインします。秘密鍵そのものをサイトへ送る仕組みではないため、偽サイトでパスワードを入力して盗まれるタイプの詐欺には強いとされています。顔や指紋は端末内のロック解除に使われ、通常はログイン先サービスに生体情報そのものを渡しません。
登録前に確認したいこと
公式サイトから設定する
サービスの設定画面を、公式アプリかブックマークから開きます。メールや広告にある「パスキーを今すぐ登録」というリンクを使わないでください。セキュリティやログインの項目に「パスキーを作成」「パスキーを追加」などがあれば、画面の説明を確認して登録します。
どの端末に保存されるかを確認
パスキーは、端末やパスワード管理サービスと同期できる場合があります。どのアカウントと端末で同期するのか把握し、OSやブラウザーのアカウントにも強いロックを設定してください。家族と共有する端末では、誰のログイン情報か混ざらないようにします。
端末をなくした時の復旧方法
複数端末で利用するか、サービスが案内する復旧方法を事前に確認します。復旧用メールや電話番号が古いままでは、端末紛失時に困ることがあります。復旧用コードを提供するサービスでは、パソコンと同じ場所に保存せず、安全な場所に保管してください。
確認方法：テスト用サービスでログインを確認
すでに使っている主要サービスにいきなり設定を追加する前に、パスキーに対応したサービスの公式案内を読みます。登録画面で、保存先として表示される端末やアカウントが自分のものか確認します。設定後はいったんログアウトし、登録した端末でパスキーを選んでログインできるか試します。失敗した場合の代替ログイン方法も確認し、復旧手段が分からないまま既存のパスワードを削除しないでください。
パスキーの利用には、サービス、端末、OS、ブラウザーの対応が必要です。古い端末や共有PCでは選べないこともあります。画面に「別の端末を使う」「スマートフォンでQRコードを読む」と表示された場合、表示された案内が公式ページ上のものか、アクセス中のドメインとともに確認します。公共のPCに自分のパスキーを保存するのは避けてください。
機種変更や端末紛失への備え
パスキーがクラウド同期されている場合でも、同期アカウントのパスワードや追加認証が弱いと、そのアカウントが新たな弱点になります。端末の画面ロック、Apple・Google・Microsoftなど同期先アカウントの認証、復旧先を合わせて守ってください。古い端末を譲ったり処分したりする時は、サービスの設定でその端末のパスキーを削除してから、端末の初期化を行います。
サービスが複数のパスキーを登録できるなら、普段使う端末と予備端末の管理を考えます。ただし、家族と端末を共有している場合は、他人が使える端末に登録しないでください。ログインできなくなった時のため、予備のメールや電話番号が現在も受け取れるか確認しておくことが役立ちます。
パスワードをすぐ消すべき？
サービスによって、パスキーとパスワードを併用する期間や管理方法が異なります。パスキーを登録しただけで、他のログイン方法が自動で無効になるとは限りません。設定画面で、パスワード、追加認証、登録端末、復旧方法をそれぞれ確認します。パスキー対応を装う偽サイトもありうるため、ログイン時は正しいドメインか確認してください。
機種変更や端末故障に備えて、パスキーの保存先アカウント自体も守りましょう。端末の画面ロックを強くし、OSを更新し、復旧先を最新にすることが基本です。パスキーはパスワード管理の負担を軽くする選択肢であり、端末管理や詐欺対策の代わりではありません。
パスキーが使えない時のログイン
旅行先や別の端末では、いつものパスキーが表示されないことがあります。その場合、画面に出たQRコードや別端末の指示が正規サービスのログイン画面上にあるか、ドメインを確認してから続けます。公共のパソコンではパスキーを登録せず、必要なら公式サイトの案内に従って一時的なログイン方法を使い、終了後にログアウトしてください。認証用コードを他人に読み上げないことも重要です。パスキーを設定した後も、登録した端末が一覧に表示されているか時々確認し、使わなくなった端末を安全に整理します。
