パスキー導入の進め方｜企業が決めること、手順、費用の考え方を解説
パスキーの導入で難しいのは、実装そのものより「何を決めてから作るか」です。ログイン画面にパスキーのボタンを足すだけなら、それほど大きな開発ではありません。しかし、パスワードやSMS認証を残したままでは、フィッシング対策としての効果は限られます。
この記事は、一般消費者向けのWebサービスやアプリにパスキーを入れる企業の担当者に向けて、次の内容を解説します。
- 導入前に決める5つのこと
- 自社開発と外部サービスの比較、費用の内訳
- 現状把握から旧認証の縮小までの7つの手順
- 金融機関が特に注意すべき点
- 効果を測る指標
パスキーの基本はパスキーとは？仕組みとメリットで解説しています。
パスキーの導入が進む3つの理由
企業が導入を検討する理由は、主に次の3つです。
- フィッシング対策: SMS認証のコードは偽サイト経由で盗まれます。NIST SP 800-63B-4も、ワンタイムパスワードの類をフィッシング耐性のある認証とは見なしていません
- SMS費用の削減: Passkey Index 2026では、削減額のデータを提供した参加企業のすべてが、SMS認証の費用が下がったと報告しました
- 規制への対応: 証券・銀行・保険の監督指針で、フィッシングに耐性のある多要素認証の必須化が求められるようになりました
どれを主な目的にするかで、導入の範囲も成果の測り方も変わります。
導入前に決める5つのこと
1. 目的と指標
「不正ログインを減らす」「SMSの送信数を減らす」「ログイン成功率を上げる」のどれを優先するかを決めます。目的があいまいなままだと、パスワードを残すかどうかの判断もできません。
2. 守る範囲
ログインだけか、出金や登録情報の変更などの重要な操作も含むかを決めます。ログイン時の認証を強くしても、重要な操作の前に別の手段で確認できてしまうなら、そこが抜け道になります。
3. パスワードをいつまで残すか
パスキーを追加しただけでは、攻撃者はパスワードやSMSでのログインを試せます。FIDO AllianceのPasskey Centralも、併存するパスワードが効果を損なうことを指摘しています。
一度にパスワードをなくすのは現実的ではないため、段階を分けて計画します。
| 段階 | 状態 | 主な効果 |
|---|---|---|
| 1 | パスキーを選べるようにする | ログイン体験の改善、SMS費用の削減 |
| 2 | ログイン時に登録を促し、パスキーを標準にする | 利用率の向上 |
| 3 | パスキー登録者のパスワードを無効にできるようにする | 対象者のフィッシング対策 |
| 4 | パスワードやSMSなど、フィッシングに弱いログインを終了する | サービス全体のフィッシング対策 |
たとえばLINEヤフーは、同社の第1段階として2027年春頃までにYahoo! JAPAN IDのパスワードのみのログインを終える予定です。SMS認証などは当面利用できるとしており、一気に切り替えてはいません。
4. 端末を失った人の救い方
見落としやすいのに、最も重要な論点です。回復の手段が弱いと、攻撃者はパスキーを破らずに回復の手順からアカウントを奪えます。
メールやSMSのコードだけで再登録できる設計は避けます。少なくとも次の点を検討します。
- 複数のパスキーを登録できるようにする
- 回復時に本人確認書類など、強い確認を行う
- 回復後の一定期間、出金や連絡先の変更を制限する
- 回復が行われたことを、登録済みの連絡先に通知する
5. 内製か外部サービスか
次の章で比較します。
自社開発と外部サービスの比較
導入の方法は、大きく3つあります。
| 方法 | 向いている企業 | 利点 | 注意点 |
|---|---|---|---|
| 自社開発（オープンソースのライブラリを利用） | 認証の専門エンジニアがいる | 自由度が高い。利用料が発生しにくい | 標準やOSの更新を追い続ける必要がある |
| IDaaS・CIAM（＝顧客IDの管理基盤）の機能を使う | ID基盤の刷新も同時に行う | パスキー以外の認証もまとめて扱える | 既存のID基盤からの移行が大きな工事になる |
| パスキー専用のサービスを組み込む | 既存のID基盤を残したい | 比較的短い期間で導入しやすい | 継続的な利用料が発生する |
判断の分かれ目は、既存の会員基盤を残すかどうかです。ID基盤全体を入れ替える予定がないなら、既存のログインに組み込める方法から検討するのが現実的です。
自社開発で過小評価されやすいのは、初回の開発より運用です。WebAuthnの標準は改訂が続き、ブラウザやOSの対応も変わります。passkeys.devの対応表を見ると、機能ごとに必要なバージョンが違うことが分かります。
パスキー導入の費用の考え方
費用はサービスの規模と方式で大きく変わるため、一律の相場はありません。見積もりでは、次の項目を分けて確認します。
| 区分 | 内容 |
|---|---|
| 初期費用 | 開発、既存のログインとの連携、画面の設計、テスト |
| 継続費用 | 外部サービスの利用料、サーバー、保守、標準への追従 |
| 周辺費用 | 利用者への告知、問い合わせ窓口の準備、回復手順の運用 |
一方、下がる費用もあります。主なものはSMSの送信費、パスワード忘れの問い合わせ対応、不正ログインへの対応です。Passkey Index 2025では、サインインに関するヘルプデスクの件数が最大81%減ったと報告されています。
SMS費用の削減額は、次の式でおおまかに見積もれます。
月間のSMS認証の送信数 × パスキーへの置き換え率 × SMS 1通の単価
置き換え率は、最初から高く見積もらないようにします。Passkey Index 2026の平均では、利用できるアカウントの42%が登録し、成功したサインインの36%がパスキーでした。
パスキー導入の7つの手順
手順1: 現状を把握する
認証の方式ごとのログイン数と失敗率、SMSの費用、問い合わせ件数、利用者の端末とOSの比率を集めます。この数字が、後で効果を測る基準になります。
手順2: ドメインと要件を決める
パスキーはRP ID（＝パスキーを結びつけるドメイン）ごとに作られ、後から変えると登録し直しになります。サブドメインの構成や将来のサービス統合まで考えて決めます。
複数のドメインで同じパスキーを使いたい場合は、Related Origin Requestsという仕組みがあります。ただし、ブラウザの対応状況を確認する必要があります。
手順3: 登録・ログイン・管理の機能を作る
必要な機能はログインだけではありません。
- パスキーの登録と、複数のパスキーの管理
- ログインと、重要な操作の前の再確認
- 削除と、最後の1つを消すときの扱い
- 回復の手順
サーバー側では、バックアップの状態を示すフラグも保存します。WebAuthnの標準が保存を推奨しているもので、そのパスキーが同期されるかどうかを後から判断できます。
手順4: 登録してもらえる画面を作る
導入の成否を分けるのは登録率です。次の機能が使えます。
| 機能 | 内容 |
|---|---|
| Conditional UI | ログインの入力欄の候補にパスキーを表示する |
| Conditional Create | 保存済みパスワードでログインした人に、パスキーを自動で作る |
| Signal API | サイトで削除したパスキーの情報を端末側に伝える |
Conditional Createは条件を満たしたときだけ動くため、これだけに頼らず、ログイン直後の案内も用意します。
登録を促すタイミングは、ログインに成功した直後が適しています。パスワードを忘れて困っている場面や、購入の途中で案内すると、離脱につながるからです。
手順5: 社内の準備をする
問い合わせ窓口のFAQと、回復の手順を整えます。「機種変更でどうなるか」「パソコンでは使えるか」といった質問は必ず来ます。社内で実際に使ってみて、つまずく場面を確かめます。
手順6: 段階的に公開して測る
一部の利用者から公開し、登録率、成功率、問い合わせの内容を見ながら対象を広げます。
パソコンからスマートフォンのパスキーを使うクロスデバイス認証は、QRコードの読み取りやBluetoothの設定でつまずくことがあります。企業の管理端末でBluetoothが無効な場合もあるため、確認しておきます。
手順7: 古い認証を減らす
パスキーの利用が進んだら、パスワードとSMSを減らします。ここまで進めて初めて、フィッシング対策としての効果が大きくなります。いきなり廃止せず、パスキー登録者から順に対象を広げます。
金融機関が注意すべき点
証券・銀行・保険では、任意の機能として追加するだけでは足りません。
日本証券業協会のガイドライン（2025年10月15日施行）は、ログイン、出金、出金先口座の変更などの重要な操作で、フィッシングに耐性のある多要素認証の実装と必須化を求めています。例としてパスキーとPKI（＝公開鍵基盤）を使う認証を挙げています。金融庁は証券会社に、原則2026年6月末までの実施を求めました。
監督指針も、金融商品取引業者等、銀行など、保険会社の順に改正されています。
保険会社向けの意見募集への回答で、金融庁は次の考え方を示しました。
- 認証方式をパスキーのみに限定する趣旨ではない
- 新規だけでなく、既存を含むすべての登録顧客が対象
- 顧客の要望による例外は原則として認めない
- 段階的な導入は理解するが、できる限り早く対応する
スマートフォンなどの機器を持たない顧客への対応も必要です。日本証券業協会のガイドラインは、やむを得ず設定を解除する場合に代替の多要素認証を提供し、解除率を確認することを求めています。
効果を測る指標
導入後は、次の指標を定期的に確認します。目安としてPasskey Index 2026の平均を載せました。参加企業は大手が中心のため、参考値として見てください。
| 指標 | 意味 | Passkey Index 2026の平均 |
|---|---|---|
| 利用可能率 | 全アカウントのうちパスキーを使える割合 | 90% |
| 登録率 | 利用できるアカウントのうち登録した割合 | 42% |
| 利用率 | 成功したサインインのうちパスキーの割合 | 36% |
| 成功率 | パスキーでログインを試して成功した割合 | 93% |
あわせて、SMSの送信数、パスワード忘れの問い合わせ件数、不正ログインの件数を、導入前の基準と比べます。
よくある質問
Q. アプリとWebの両方に対応できますか？
対応できます。アプリとWebで同じパスキーを使うには、アプリとドメインを関連づける設定が必要です。
Q. 導入にはどのくらいの期間がかかりますか？
方式と既存のログインの作りによって変わります。実装の期間だけでなく、回復の手順の設計と問い合わせ窓口の準備の時間も見込んでください。
Q. パスキーを導入すればSMS認証は不要になりますか？
すぐにはなくせません。パスキーを使えない環境の利用者がいるからです。まずはパスキーを標準の経路にして送信数を減らし、段階的に縮小します。
Q. 利用者に説明は必要ですか？
必要です。言葉になじみがない人もいるので、「顔や指紋でログインできる」のように、利用者の操作で説明します。
まとめ
パスキーの導入は、ログイン画面の改修ではなく認証全体の設計変更です。目的、守る範囲、パスワードの扱い、回復の手順、導入の方式を決めてから開発に入ると、手戻りを防げます。
導入前に弱点を確認したい方は、パスキーのデメリットとは？危険性と企業の対策もあわせてご覧ください。
Capyは、FIDO規格に準拠したパスキー認証を提供しています。導入サービスの対象ユーザー数は2026年6月時点で478万人を超え、光世証券などの金融機関でも採用されています。既存のログインへの組み込みを検討している方は、お問い合わせください。