パスキー対応サービスの選び方：iPhone・Android・Windowsで安全にログインする設定と移行の注意点

パスキーとは何か

パスキーは、WebAuthnなどの標準技術を基盤に、公開鍵暗号方式でログインする認証方法です。サービスには公開鍵を登録し、認証に必要な秘密鍵は端末、パスキープロバイダー、またはセキュリティキー側で管理されます。通常、秘密鍵そのものをログイン先のサービスへ送信する仕組みではありません。

ログイン時には、顔認証、指紋認証、端末のPIN、端末パスコードなどで操作を承認します。この生体認証は端末上で利用者の操作を確認するものであり、生体情報そのものがサービス事業者に渡るわけではありません。

また、パスキーは作成時のWebサイトのドメインと結び付くため、偽サイトへ認証情報を入力させるタイプのフィッシングに強い点が特徴です。ただし、端末のロック解除情報を他人に知られた場合、ロック解除済みの端末を第三者に渡した場合、復旧用メールアドレスなどの復旧経路を乗っ取られた場合のリスクまでなくなるわけではありません。

導入前に確認したい4条件

パスキーを作成する前に、次の4条件を整理します。対応サービスであっても、この確認を省くと機種変更や端末紛失時にログインできなくなるおそれがあります。

1. 使う端末とOS
   iPhone、Android、Windows、Macのほか、職場や家族と共有するPCの有無を洗い出します。
2. パスキーの保存先
   iCloudキーチェーン、Googleパスワードマネージャー、同期対応の資格情報マネージャー、サードパーティー製パスワードマネージャー、端末内のみ、FIDO2セキュリティキーなど、どこに保存されるかを確認します。
3. サービス側のログイン仕様
   パスキーだけでログインできるのか、パスワードや追加認証も求められるのか、複数のパスキーを登録できるのか、削除方法はあるのかをアカウント設定で確認します。
4. 復旧経路
   復旧用メールアドレス、電話番号、認証アプリ、バックアップコード、別端末、セキュリティキーのうち、利用可能なものを把握します。

共有しているApple Account、Googleアカウント、Microsoftアカウントにパスキーを追加することは慎重に判断してください。そのアカウントに紐付く端末を利用できる人が、サービスへログインできる状態になる可能性があります。

iPhone・Android・Windowsで設定時に見るポイント

iPhone：iCloudキーチェーンとApple Accountの復旧を確認する

iPhoneでは、対応するサイトやアプリで作成したパスキーをiCloudキーチェーンに保存して利用する構成が一般的です。利用前に、iCloudキーチェーンとApple Accountの二要素認証が有効かを確認します。保存済みのパスキーは「パスワード」アプリで確認・管理します。

iPhone以外の端末で利用する場面も想定し、対象サービスがスマートフォンを使ったログインに対応するかを確認しておくとよいでしょう。

Android：保存先を混在させすぎない

Androidでは、画面ロックを有効にしたうえで、パスワード・パスキーの保存先となるパスワードマネージャーを確認します。Googleパスワードマネージャー以外の保存先を使う場合、候補表示を有効にする設定が必要になることがあります。

複数のパスワードマネージャーを併用すると、どのサービスのパスキーがどこに保存されているか把握しにくくなります。特別な理由がなければ、日常的に使う保存先をできるだけ絞る方法が管理しやすいでしょう。

Windows：PC内保存か、同期する保存先かを区別する

Windowsでは、Windows Helloによる認証、ブラウザや資格情報マネージャーの保存先選択、スマートフォンを利用する近接デバイス認証など、複数の利用形態があります。パスキーをPC内に保存したのか、別の端末にも利用可能な同期型の保存先に保存したのかを確認してください。

Windowsのバックアップ機能を利用していても、パスキーが新しいPCで自動的に利用できるとは限りません。バックアップとパスキーの保存・同期は同じ意味ではありません。

OS、ブラウザ、サービスの組み合わせによって、表示される画面や選択肢は変わります。実際の設定時は、各サービスの公式ヘルプとアカウント設定画面を確認してください。

同期と複数端末利用でつまずきやすい点

パスキーには、複数端末で使いやすい同期型と、作成した端末またはセキュリティキーにひも付くデバイス固定型があります。同期型は、同じパスキープロバイダーのアカウントでサインインしている端末に利用可能になることがあります。一方、デバイス固定型は原則として別端末へ移せません。

iPhone・iPad・Macのように同一のエコシステム内で利用する場合や、同じ同期対応の資格情報マネージャーを複数端末で使う場合は、同期型の利便性を得やすい構成です。

ただし、iPhone、Android、Windowsをまたぐ場合、同じ保存先がすべての環境へ直接同期するとは限りません。ログイン画面にQRコードを表示し、近くにあるスマートフォンで読み取って承認する方法を使えるサービスもあります。この方式ではBluetoothの有効化や端末同士の近接が求められる場合があります。

複数端末を使う人は、サービス側で追加できるパスキーの数、登録済みパスキーの識別方法、使わなくなった端末や認証情報を削除する方法も確認しておきましょう。

機種変更・OS乗り換え・端末紛失に備える

機種変更前に確認すること

• Apple Account、Googleアカウントなど、パスキープロバイダーのアカウントに確実にログインできるか
• 二要素認証、復旧用メールアドレス、電話番号が最新か
• 旧端末以外でもログインできる手段があるか
• 重要なサービスで、別のパスキーまたは代替認証手段を登録できているか

同じOS、同じパスキープロバイダーへ移行する場合、同期型パスキーを新端末で使えることがあります。ただし、クラウドアカウントの本人確認を完了できなければ利用できません。新端末の初期設定に入る前に、復旧情報を見直すことが重要です。

iPhoneとAndroidを乗り換える場合

OSをまたいで移行する場合は、旧端末を初期化・譲渡する前に、新端末でログインできることを確認してください。サービスごとに新しい保存先のパスキーを追加するか、近接デバイス認証を使って新端末からログインし、必要な認証情報を追加します。

古い端末が手元にあるうちに確認を終えることがポイントです。同期の可否を想定だけで判断せず、主要アカウントで実際にログインできるかを試します。

端末を紛失した場合

端末紛失時は、端末探索機能でのロックまたは消去に加え、主要アカウントの端末一覧、ログイン中のセッション、登録済みのパスキーを確認します。必要な削除やサインアウトの範囲、反映の仕組みはサービスによって異なります。

すべての端末と保存先へのアクセスを失った場合、最終的な復旧はサービス側の本人確認手続きに依存します。パスキーを設定していることだけで、即時のアカウント復旧が保証されるわけではありません。

主要アカウントで比較する項目

Googleアカウント、Microsoftアカウント、GitHubなどの基盤アカウントでは、対応の有無ではなく、次の項目を比較してください。金融機関、EC、SNSは対応状況や手順の更新が多いため、設定前に各社の公式案内を確認する必要があります。

サービスの仕様や対応範囲は変わります。作成、削除、復旧に関する最新の条件は、設定する時点で公式ヘルプを確認してください。

利用環境別の導入パターン

• iPhone・iPad・Mac中心：iCloudキーチェーンを基準にし、Apple Accountの二要素認証と信頼できる連絡先を確認します。Windowsも使う場合は、対象サービスでスマートフォンを使うログインが可能か試します。
• Android・Chrome中心：Googleパスワードマネージャーを基準にし、Googleアカウントの画面ロックと復旧情報を確認します。iPhoneへ移行する予定があるなら、旧Android端末を手放す前に主要サービスの移行を完了させます。
• Windows PCとスマートフォンを併用：パスキーがPC内だけに保存されているのか、同期型の保存先にあるのかを毎回確認します。スマートフォンを予備手段にするなら、QRコード方式などのログインを一度検証します。
• 重要アカウント：同期型パスキーだけに依存せず、対応していればFIDO2セキュリティキー、認証アプリ、復旧用連絡先などを追加します。
• 導入を後回しにすべき場合：端末の画面ロックを他人と共有している、復旧先が不明、組織管理端末のポリシーが不明、旧端末をすでに失って移行確認ができない場合は、先にアカウントと端末の管理状態を整えます。

導入後に見直す運用項目

パスキーは一度作成して終わりではありません。少なくとも機種変更前と定期的な見直しの際に、次の項目を確認します。

• 使わなくなった端末、共有を終了したPC、利用を終えた組織アカウントに関連するパスキーを削除する。
• ログイン履歴、端末一覧、復旧用メールアドレス・電話番号、認証アプリ、バックアップコードの状態を確認する。
• パスキーを削除する前に、別のログイン方法または新しいパスキーで実際にログインできることを確認する。
• 資格情報マネージャーからの削除と、サービス側に登録されたパスキーの削除が別操作になる可能性を確認する。

安全性と使いやすさを両立するには、端末、保存先、復旧経路を一組として管理することが大切です。環境が変わったときは、パスキーの登録状況だけでなく、ログイン不能にならない構成かを見直してください。