パスキーって何？ パスワードを保存するのとは根本的に違う話

今回は柄にもなく真面目な話。

最近、いろいろなサービスで見かける「パスキー」。

指紋や顔でログインできる機能？
パスワードの自動入力と何が違うの？

実は、パスキーはログインの仕組みそのものを変えるものです。

合言葉を教えずに、本人だと証明する

これまでのログインは、基本的に「合言葉を知っている人が本人」という考え方でした。

でも、合言葉を盗まれたら、他人でも本人になりすませてしまいます。

では、合言葉を教える代わりに、スマホなどで作った証明を見せる方法ならどうでしょう？

パスキーは、そんな仕組みです。

「秘密鍵」と「公開鍵」って何？

パスキーを登録すると、スマホなどには証明を作るための情報が、サービス側には証明を確かめるための情報が登録されます。

この2つには、それぞれ名前があります。

・秘密鍵： 本物の証明を作るための情報。外部に漏らさないよう保護される。
・公開鍵： その証明が本物か確かめるための情報。サービス側に登録される。

ログインするとき、サービスはスマホに「今回のログイン用のお題」を送ります。

スマホは秘密鍵を使って、そのお題に対する証明を作ります。サービスは公開鍵を使って、証明が正しいか確認します。

ここで重要なのは、秘密鍵そのものをログイン先のサービスに送らないこと。

公開鍵は、他人に知られても大丈夫です。それだけでは、秘密鍵を使った本物の証明を作れないからです。

指紋や顔の情報は送られないの？

パスキーというと、指紋認証や顔認証を思い浮かべるかもしれません。

でも、指紋や顔の情報そのものをログイン先に送っているわけではありません。

指紋や顔の認証は、スマホの中で秘密鍵を使えるようにするための確認です。

つまり、指紋や顔は、秘密鍵を使うための鍵のようなもの。

生体認証が使えない場合でも、端末のPINコードなどで認証できることがあります。

偽サイトでは、なぜ使えないの？

パスキーは登録したサイト（ドメイン）と結びついています。

そのため、犯罪者が本物そっくりの偽サイトを作っても、通常は本物のサイト用のパスキーを使えません。

例えば、本物のサイトにそっくりなログイン画面を用意しても、サイトのアドレスが違えば、正規のパスキー認証は成立しません。

人間が偽サイトを見破ることだけに頼らず、仕組みそのものが偽サイトへの認証を防いでくれる。

これがパスキーの大きな強みです。

パスワードマネージャーとは違う

パスワードマネージャーは、合言葉を安全に保管して自動入力するもの。

とても便利ですが、従来のパスワード認証自体は変わりません。

一方、パスキーは、そもそもパスワードを使わずに認証するために作られた仕組みです。

なお、パスワードマネージャーの中には、パスキーを保存・同期できるものもあります。

同じアプリで管理できることがあっても、ログインの仕組みは別物なんですね。

noteでもパスキーが使えるようになった

2026年10月26日、noteでもパスキーを使った2段階認証が、すべてのユーザーに開放されました。

ただし、ここは少し注意が必要です。

一般的なパスキーは、パスワードの代わりとして使えますが、今回noteに導入されたのは、パスワードに加えてパスキーでも確認する仕組みです。

つまり、ログインするときは、

① いつものパスワードを入力する
② パスキーで本人確認する

という2段階になります。
もしパスワードを盗まれてしまっても、それだけではログインされないようにするわけです。

詳しい設定方法は、note公式のお知らせで紹介されています。

なお、この機能は無料で利用でき、設定するかどうかは自分で選べます。

「セキュリティ強化」を装った案内にも注意

もうひとつ、気をつけたいことがあります。

「セキュリティ強化のため、今すぐ設定してください」

そんなメールやメッセージが届いたら、少し注意が必要です。

犯罪者がサービスの公式案内を装い、偽サイトへ誘導して、パスワードや認証コードを盗もうとする手口があります。

パスキーが偽サイトに強いからといって、偽の案内そのものが届かなくなるわけではありません。

設定するときは、メールに記載されたリンクを安易に開かず、普段使っている公式アプリや公式サイトから確認しましょう。

安全のための機能を設定するつもりが、かえって情報を盗まれてしまっては本末転倒です。

スマホを買い替えたら？

ここも気になるところですよね。

Google パスワードマネージャーやiCloudキーチェーンなどで同期できるパスキーなら、新しい端末でも引き続き使える場合があります。

ただし、すべてのパスキーが自動で引き継がれるわけではありません。

ちなみにnoteでは、登録した端末を紛失した場合でも、登録メールアドレスに届く認証コードでログインできるようになっています。

そのため、普段から登録メールアドレスを使える状態にしておくことが大切です。

パスキーは万能ではないけれど

パスキーを使えば、あらゆる不正アクセスを防げるわけではありません。

端末やアカウントの管理、サービス側が用意する別のログイン方法にも注意は必要です。

それでも、パスワードの盗難や偽サイトによる被害を防ぐうえで、とても有効な仕組みです。

合言葉を守るだけでなく、そもそも合言葉を渡さない。

それがパスキーです。