パスワード管理ソフトを使っています。長くて複雑なパスワードを作って、覚えておいてくれる。もう何年も、これで困っていませんでした。
そこにパスキーが出てきて、少し混乱しました。
管理ソフトがあるなら、パスキーは要らないのでは。
しかも、最近の管理ソフトはパスキーそのものも保管できます。 同じ画面に、パスワードとパスキーが並んで表示される。ますます、違いが分からなくなりました。
整理してみたら、比べるものではありませんでした。
役割が、そもそも違う
ひとことで言うと、こうです。
パスワードマネージャーは、しまっておく道具。
パスキーは、ログインのやり方そのもの。
片方は入れ物で、もう片方は方式です。だから「どちらを使うか」という問いが、そもそも成り立ちません。
実際、パスワードマネージャーの中にパスキーをしまうという使い方ができます。入れ物と中身の関係なので、当然といえば当然でした。
パスワードは「送るもの」
違いを見るには、ログインするときに何が起きているかを考えると分かりやすいです。
パスワードでログインするとき、こちらの秘密を、相手に送っています。
サイト側も、その秘密を照合できる形で保管しています。つまり、同じ秘密を両方が持っている。
管理ソフトは、この秘密を強くして、覚えておいてくれる道具です。
秘密を送るという構造は、変わりません。
パスキーは「送らない」
パスキーは、仕組みが違います。
登録するとき、端末の中で鍵のペアが作られます。 片方をサイトに預けて、もう片方は端末から出ません。
ログインするときは、サイトから出された問いに、手元の鍵で答えを作って返します。 鍵そのものは渡しません。
サイト側が持っているのは、答え合わせに使う情報だけです。 それを盗まれても、ログインには使えません。
これが、いちばん大きな違いでした。破れば通る秘密が、サーバー側に置かれていない。
管理ソフトでは防ぎにくいもの
管理ソフトは、とても有効です。使うべきだと思います。
そのうえで、構造として苦手なところがあります。
偽サイトに、自分で入力してしまう場合
管理ソフトにも、防ぐ仕組みはあります。
登録したURLと違うページでは、自動入力しない。 これは、かなり効きます。「いつも出るはずの候補が出ない」と気づける。
ただ、そこで手が止まらないことがあります。
「うまく動かないな」と思って、管理ソフトを開いて、手でコピーして貼る。 こうすると、防御を自分ですり抜けてしまいます。
最後の判断が、人に残っているということです。
パスキーだと、どうなるか
パスキーは、ドメインが違うと成立しません。
手で貼ろうにも、貼るものがありません。 鍵は取り出せないので。
利用者が騙されていても、鍵が渡らない。 ここが構造的な違いです。
サイト側から漏れた場合
サイトが攻撃されて、保管されている情報が流出することがあります。
パスワードは、そのまま保存されているわけではありません。 加工された形で保管されています。それでも、短いものや、よくある文字列は、時間をかければ元に戻されることがあります。
管理ソフトで長く複雑にしておけば、ここはかなり強くなります。 これは管理ソフトの大きな利点です。
パスキーの場合、流出しても、それ自体ではログインできません。 答え合わせ用の情報しか置かれていないからです。
パスキーでも防げないもの
万能ではありません。 ここも書いておきます。
預けている場所を乗っ取られたら
パスキーは、Apple や Google のアカウント、あるいは管理ソフトに保管されます。
その大元を乗っ取られたら、まとめて使われます。
だから、預け先のアカウント自体を守ることが前提になります。ここは、管理ソフトを使う場合とまったく同じです。
対応していないサイト
パスキーが使えるサイトは、まだ限られています。
使えないサイトでは、今までどおりパスワードが要ります。
つまり、管理ソフトをやめることにはなりません。
端末を失った場合
同期されていれば、別の端末から使えます。同期されていない場合は、失います。
ここは、導入する前に確認しておく部分です。
結局、どう使うか
自分は、こうしています。
管理ソフトは、やめない
むしろ、これが土台です。
パスキーに対応していないサイトのほうが、まだ多い。そこは、長くて複雑なパスワードで守るしかありません。
パスキーが使えるサイトは、パスキーにする
ログインが速くなります。そして、偽サイトで引っかかる余地がなくなります。
設定画面に「パスキー」という項目が増えていたら、試してみる価値があります。
パスワードは、消さずに残す
パスキーだけにしないでください。
端末の引き継ぎに失敗したとき、入れなくなります。
日常はパスキー、いざというときはパスワード。この形が、いまのところ現実的だと思います。
どこに預けるかは、好みで
iCloudキーチェーンや Google に預けるか、管理ソフトに預けるか。
iPhone と Android を行き来する方は、管理ソフトのほうが楽です。 OS をまたいでも、同じパスキーが使えます。
片方の環境で完結している方は、標準のもので十分だと思います。
まとめ
- 比べるものではない。 管理ソフトは入れ物、パスキーは方式
- 管理ソフトに、パスキーをしまうこともできる
- パスワードは秘密を送る。サイト側も照合できる形で持っている
- パスキーは秘密を送らない。鍵は端末から出ない
- 管理ソフトも偽サイトを防ぐが、手でコピーすると、すり抜けてしまう
- パスキーはドメインが違うと成立しない。貼るものがない
- ただし、預け先のアカウントを乗っ取られたら、まとめて使われる
- 対応していないサイトが、まだ多い。 管理ソフトはやめられない
- 使い分けは、管理ソフトを土台にして、使えるところからパスキーに
- パスワードは残しておく。 引き継ぎに失敗したときの逃げ道として
「どちらが優れているか」という問いを立てていたのが、そもそもの間違いでした。
片方は、秘密をうまく管理する道具。もう片方は、そもそも秘密を渡さずに済ませる方法。
両方あって困ることはありません。
なお、自分でも WordPress 向けのパスキープラグインを作って公開しています。作りながら、いちばん説明が難しかったのが、この「送らない」という部分でした。
※本記事の情報は2026年8月時点のものです。対応状況や設定画面は、変更されることがあります。
