生体認証とパスキーの仕組みを解説｜パスワードとの違いと安全性

確認・更新：2026年11月12日 03:12（日本標準時、UTC+09:00）

パスキーは、パスワードの代わりに公開鍵暗号を使ってウェブサイトやアプリにログインする仕組みです。指紋や顔で本人確認することもありますが、生体認証そのものがパスキーなのではありません。生体認証は端末内でパスキーの使用を許可する手段の一つで、端末のPINやパスコードで代用できる場合もあります。

従来のパスワードのような共有秘密をサーバーに預けないため、パスワードの使い回しや偽サイトへの入力による被害を減らせます。ただし、端末のロックやアカウント復旧の管理は引き続き大切です。

Destaques

• 生体認証は本人確認、パスキーはログインに使うデジタル認証情報です。
• パスキーでは公開鍵をサービス側に登録し、秘密鍵は端末や認証情報管理サービスで保護します。
• 生体情報は通常、認証のためにウェブサイトへ送信されません。
• 端末紛失に備え、同期や復旧手段、画面ロックを確認しましょう。

生体認証とパスキーはどう違う？

生体認証は、指紋や顔など身体的な特徴を使って本人かどうかを確かめる方法です。スマートフォンのロック解除や決済の承認にも使われます。一方、パスキーは特定のアカウントとウェブサイト・アプリに結び付いた認証情報です。端末が本人確認を済ませた後、パスキーを使ってサービスにログインします。

多くの端末では、指紋・顔認証のほか、画面ロック用のPINやパスコードでもパスキーを使えます。そのため「パスキーを使うには必ず顔や指紋が必要」とは限りません。サービスや端末の仕様によって手順は異なります。

パスキーはどのように動く？

登録時に端末や認証情報管理サービスが、アカウントごとに公開鍵と秘密鍵のペアを作ります。公開鍵はサービス側に登録されますが、それ自体でログインできる秘密情報ではありません。秘密鍵は端末側などで保護され、ログイン要求に応じて署名を作るために使われます。サービスは登録済みの公開鍵で署名を検証します。

この方式ではパスワードそのものを入力して送る工程がなく、サービス側が保管するのも公開鍵です。Googleの開発者向け資料は、生体情報がウェブサイトやアプリに開示されないこと、またパスキーが登録先のサイトやアプリに結び付いていることを説明しています。Googleのパスキー解説

パスキーはパスワードより安全？

フィッシングへの耐性が大きな違いです。パスワードは偽サイトに入力すると盗まれる可能性がありますが、パスキーは登録先のウェブサイトやアプリの識別情報と結び付いており、別の偽サイトでは通常使えません。また、サービスのデータベースから公開鍵が漏れても、それだけで秘密鍵を復元してログインすることはできません。

FIDO Allianceも、パスキーを公開鍵暗号に基づく認証情報と説明し、生体情報を使う場合もその情報は端末から外へ出ないとしています。FIDO Allianceのパスキー解説

一方で、パスキーがあらゆるリスクをなくすわけではありません。端末をロックせず放置したり、端末や認証情報管理サービスのアカウントを第三者に使われたりすれば、被害につながるおそれがあります。端末のロックを有効にし、OSやブラウザーを更新し、復旧用の電話番号・メールアドレスや予備のサインイン手段も確認してください。

端末をなくしたらパスキーはどうなる？

パスキーの保存場所と同期方法によります。対応する認証情報管理サービスを利用していれば、同じアカウントでサインインした別の端末から使える場合があります。同期されない端末固定のパスキーやセキュリティキーでは、事前に登録した別の認証手段が必要です。利用サービスの復旧方法を、端末を失う前に確認しておきましょう。

Appleは、パスキーが対応する端末間でiCloudキーチェーンを通じて利用できることや、対応サイトでは別の端末を使ったサインイン方法も案内しています。対応状況は端末、OS、サービスによって異なります。Appleサポート：パスキーでサインインする

パスキーを使う前に確認すること

• ログイン画面やアカウント設定に、パスキーの作成・登録項目があるか確認する。
• 端末の画面ロックとOSの更新を有効にする。
• 複数端末への同期や、端末を紛失した場合の復旧手順を確認する。
• 共有端末では、個人用のパスキーを保存しない。

パスキー対応サービスは増えていますが、従来のパスワードや別の認証方法が併用されることもあります。対応の有無や設定方法は各サービスの公式案内を確認してください。

よくある質問

パスキーを使うと指紋や顔の情報がサイトに送られますか？

通常は送られません。生体認証は端末側で本人確認に使われ、サービスには認証結果に基づく処理が伝わります。

パスキーは生体認証がない端末でも使えますか？

使える場合があります。端末のPIN、パスコード、パターンやセキュリティキーなどが利用できるかは、端末とサービスの仕様によります。

パスワードはすぐ削除してよいですか？

まずサービスでパスキーを登録し、実際にログインできることと復旧手段を確認してください。パスワードを残すか削除するかは、サービスが案内する方法に従いましょう。