パスキー対応の表示を見かける機会は増えたのに、ログイン画面からパスワード欄はなかなか消えない。FIDO Allianceの2026年調査では、パスキーの認知率は90%に達し、世界で使われている数は推定50億個に上る。それでも企業の多くはパスワードを併用している。普及が止まっているのではない。共通規格でログインできることと、鍵を別の環境へ持ち運び、端末を失っても安全に復旧し、古い認証系を廃止できることの間に距離があるのが現実だ。
50億の普及と、残るパスワードの距離
FIDO Allianceが2026年5月7日に公表した「50億」は、公開情報とFIDO内部の導入データから推定した、利用中のパスキーの数である。50億人の利用者や50億件のアカウントを意味しない。同年4月に10カ国の消費者11,000人を対象に行った別の調査では、90%がパスキーを知っており、75%が少なくとも一部のアカウントで有効にしていた。利用できる場面で定期的に使う人は49%だった。
「使える」「登録した」「普段使う」には大きな開きがある。2025年のFIDO Passkey Indexも同じ段差を映している。AmazonやGoogle、Microsoftなど9社の集計では、パスキーを使えるアカウントは93%に達したが、登録済みは36%、全ログインに占める利用は26%だった。たとえば通販サイトで一度パスキーを作っても、同じ利用者が銀行や勤務先ではパスワードを使っていれば、パスキーの数は増えても生活全体はパスワードレスにならない。
ログイン成功率93%対63%という数字にも注意が要る。これは2026年の消費者調査ではなく、2025年のPasskey Indexに参加した9社の実運用データである。さらに63%の比較対象はパスワードに限定されず、ソーシャルログイン、多要素認証（MFA）、ワンタイムパスワード（OTP）などを含む「その他の認証方式」だ。差は30ポイントあり、パスキーの使いやすさを裏づける。ただし、世界中のあらゆるログインを同じ条件で比較した数字ではない。
この数え方を分けると、普及の実態が見えてくる。パスキーを一つ作った人が増える「登録の普及」は進んだ。利用者が毎回パスキーを選ぶ「利用の普及」はその途中にある。そしてサービスがパスワードを保存せず、再設定画面も廃止する「認証系の置き換え」はさらに後ろを走る。50億という数字は最初の二つを強く示すが、三つ目の完了を意味しない。
サイトごとに違う鍵を作る仕組み
パスワードは、利用者とサービスが同じ秘密を共有する方式だ。利用者が文字列を送り、サービスは保存済みの情報と照合する。使い回したパスワードが一つ漏れると別のサイトでも試され、偽サイトへ入力すれば攻撃者へそのまま渡る。
パスキーはWebAuthnの公開鍵暗号を使う。登録時には、端末やパスキープロバイダーがサービスごとに公開鍵と秘密鍵の組を作り、公開鍵だけをサービスへ渡す。秘密鍵は認証器側に残る。ログイン時には、サービスが一度限りの課題を送り、ブラウザやOSが正しいパスキーを選ぶ。利用者が顔、指紋、端末のPINなどで許可すると、秘密鍵で署名した応答が返り、サービスが公開鍵で検証する。顔や指紋の情報がサービスへ送られるわけではない。
たとえば銀行と動画配信サービスでパスキーを使うと、二つのサービスには別々の公開鍵が登録される。銀行を装った偽サイトが署名を求めても、ブラウザと認証器は偽サイトのドメインを銀行用の鍵に結び付けない。利用者が画面の見た目を信じてしまっても、認証処理は正しい接続先を検査する。この点が、人間にURL確認を任せるパスワードやOTPとの決定的な差になる。
この仕組みは、住所ごとに形が変わる鍵に近い。偽サイトは本物に似た画面を作れても、本物のドメイン用に作られた鍵を使わせられない。比喩が崩れるのは、物理的な鍵と違って同期型パスキーは暗号化された状態で複数端末へ配られる点だ。どこへ同期し、どう復旧するかは、WebAuthnのログイン手順より広い問題になる。
共通規格の外側に残る三つの境界
iPhoneに保存したパスキーをWindowsのブラウザで使う場合、画面に出たQRコードをiPhoneで読み、近くにある端末として承認できる。これはクロスデバイス認証であり、Apple側にある鍵をその場のログインに使う橋だ。鍵そのものをWindowsや別のパスキープロバイダーへ移したわけではない。
相互運用は三層に分けると見通しが良い。第一は、WebAuthnに対応したサービスで各社の認証器を使える「ログインの互換性」で、かなり整った。第二は、同じプロバイダー内の「同期」である。iCloud KeychainはApple Accountの端末間にパスキーを届ける。Google Password ManagerはAndroidとChromeを通じ、macOSやWindowsなど複数のOSへ同期する。第三は、AppleからGoogle、あるいは別のパスワード管理アプリへ鍵を移す「プロバイダー間移行」だ。
Microsoft側も選択肢を広げている。Windows 11では、Windows Helloに保存する端末固定型、プラグイン型のパスキーマネージャー、外付けFIDO2キー、近くのスマートフォンを認証器として使える。Microsoft Password Managerの同期型パスキーも、プラグイン経由でブラウザやアプリに現れる。ただし、Windowsが複数の入口を示せることと、iCloud KeychainやGoogle Password Managerから資格情報をMicrosoft側へ移せることは同じではない。
残っている壁は第三層にある。FIDO Allianceは資格情報を安全に受け渡すCredential Exchange Format（CXF）1.0をProposed Standardにしたが、移行手順を定めるCredential Exchange Protocol（CXP）は2026年8月20日時点でWorking Draftである。共通の改札を通れることと、定期券を別の発行会社の財布へ移せることは違う。移行標準が実装までそろわない間、利用者は複数のパスキーを同じサービスへ登録するか、QR経由で元の端末を使う必要がある。
TPMを一律要件と見る誤解
WebAuthnの仕様は、認証器をソフトウェアでも、端末内の安全な実行環境やTrusted Platform Module（TPM）でも、外付けセキュリティキーでも実装できる。したがって、TPMやAppleのSecure Enclaveがなければパスキーを利用できない、という一律の規則はない。これらは秘密鍵を端末内で守り、認証器の信頼度を上げる代表的な実装である。
実際の利用条件はOSやブラウザの組み合わせで変わる。選択したプロバイダーと企業方針も影響する。Windows Helloは利用できるTPMがあれば鍵保護に使い、企業は方針でハードウェア保護を要求できる。AppleのKeychainはSecure Enclaveを鍵保護に組み込む。一方、スマートフォンを外付け認証器として使う方法や、別のパスキープロバイダーを選ぶ方法もある。古いPCや共有端末では、使える認証器と管理方針が一致せず、パスワードが残りやすい。
共有端末を考えると違いが分かりやすい。店舗のレジや工場の端末で複数の従業員が短時間に交代する場合、個人のクラウドアカウントへ同期したパスキーを端末へ置く運用は採りにくい。スマートフォンを毎回取り出せない現場もある。企業は端末固定のパスキー、外付けキー、スマートカードなどを役割ごとに選び、紛失時の再登録と退職時の失効まで設計しなければならない。
FIDO Allianceの企業調査では、導入を阻む項目としてレガシーシステムとの互換性が38%、予算が35%、端末やアカウントの復旧が33%だった。技術・セキュリティ面では、同期パスキーのエクスポート可能性と共有端末がそれぞれ39%、遠隔従業員の登録が36%、復旧が33%を占めた。ハードウェアは摩擦の一部だが、古い業務アプリ、キオスク、退職・異動時の資格情報管理まで含む運用の方が広い。
いつ、パスワードを消せるのか
同じ企業調査では、68%が従業員向けパスキーを導入、試験、展開中と答えた。それでも57%は日常の主認証にフィッシング可能な方式を使い、パスキーベースを主に使う組織は30%だった。導入済みという札を掲げても、既存社員の登録、古いアプリ、共有端末、緊急時の復旧まで置き換わらなければ、パスワード用の入口は閉じられない。
完全なパスワードレス環境へ移らない主な理由では、現行のパスワードとMFAで十分、レガシーシステムとの互換性、アカウント復旧への懸念がそれぞれ16%で並んだ。障壁は一つに集約されていない。サービスが新しいログイン方式を追加する作業より、過去の利用者とシステムを安全に移す作業の方が長くかかる。
利用者にとっては、パスキーを作れるかより、端末を買い替えたときに同じプロバイダーから復元できるか、別のOSでは同期かQR認証を使えるか、予備のパスキーを登録できるかが判断材料になる。サービス側には、パスワードへ戻さずに本人確認できる復旧手順と、登録済みパスキーを確認・失効できる管理画面が要る。調査では復旧に自信がある組織が89%に達しており、解けない問題ではない。
スマートフォンを紛失した利用者がメールのリンクだけでパスワードを再設定できるなら、攻撃者もメールアカウントを奪って同じ道を通れる。安全性はパスキーのログイン画面ではなく、最後に残った復旧経路で決まる。FIDOの調査で復旧に自信がある組織は、安全な管理者手続き、クラウドの復旧機能、複数端末への登録などを組み合わせていた。利用者に予備の資格情報を持たせ、サービス側が一つを失効できる設計なら、パスワードを非常口として残す理由は減る。
パスキーの普及はすでに始まっている。パスワードが消える時期を決めるのは登録総数ではなく、最も古い利用者や端末にも安全な移行先を用意し、フィッシング可能なフォールバックを閉じられるかどうかだ。プロバイダー間移行の標準実装と、パスワードに頼らない復旧がそろったサービスから、ログイン画面は本当に変わっていく。
