パスキー導入の進め方｜事業者が決めること・既存会員への展開・注意点
パスキーの導入は、パスワードをすぐに廃止することではありません。既存のログイン方法に「追加」し、利用者が登録してから徐々に移行するのが現実的です。本記事では、会員サイトにパスキーを導入する事業者が決めるべき項目、既存会員への展開の順序、つまずきやすい点を示します。
結論：パスワードを残したまま「追加」から始める
パスキーは、端末の生体認証やPINでログインできる認証方式です。フィッシングに強く、パスワードの再設定も不要になります。仕組みはパスキーとはで解説しています。
ただし、利用者全員が一度に切り替えるわけではありません。導入は次の順序で進めます。
- 既存のログイン方法はそのままに、パスキーを選べるように追加する
- ログインの直後などに、パスキーの登録を案内する
- 利用率を見ながら、パスキーを主なログイン方法にしていく
パスワードをなくすかどうかは、端末をなくした利用者の復旧手段を用意してから判断します。
パスキーで解決すること、残る課題
解決すること | 残る課題 | |
|---|---|---|
セキュリティ | フィッシングサイトでは認証が成立しない。サーバーにパスワードがなく、漏えいの対象にならない | 復旧手段が弱いと、そこが狙われる |
利便性 | パスワードの入力・記憶・再設定が不要 | 「パスキー」という言葉が利用者に伝わりにくい |
運用 | 「パスワードを忘れた」問い合わせの削減が見込める | 端末の変更・紛失時の問い合わせは残る |
とくに見落とされがちなのが復旧手段です。パスキーを導入しても、メールだけで簡単にログイン方法を変更できるなら、攻撃者はそちらを狙います。
導入前に決める5つのこと
1. 対象：新規会員だけか、既存会員もか
新規登録でパスキーを作ってもらうだけなら、登録画面の変更で始められます。既存会員にも使ってもらうなら、ログイン中にパスキーを登録できる画面（マイページなど）が必要です。
2. 登録を案内するタイミング
ログインに成功した直後や、購入・応募が完了した直後など、利用者の目的が済んだ場面で案内します。会員登録フォームの途中で求めると、離脱の原因になります。
3. ログイン画面での見せ方
見せ方は大きく2つあります。
- ボタン……「パスキーでログイン」のボタンを置く
- 自動入力……IDの入力欄で、ブラウザにパスキーを候補として表示させる
自動入力は、利用者がパスキーを意識せずに使えるのが利点です。ボタンと併用することもできます。
4. 端末を変えた・なくした場合の復旧
AppleのiCloudキーチェーンやGoogleパスワードマネージャーに保存されたパスキーは、同じアカウントでログインした端末間で同期されます。手元にない端末のパスキーを、QRコードを読み取って使う方法もあります。
それでも使えない利用者は必ず出ます。本人確認をしたうえでパスキーを登録し直せる手順を用意してください。
5. パスワードを残す期間
パスワードをいつまで残すかは、パスキーの登録率と、ログインに占めるパスキーの割合を見て判断します。最初から期限を決める必要はありません。
既存会員への展開ステップ
段階 | やること | 見る数字 |
|---|---|---|
1. 追加 | ログイン画面とマイページにパスキーを追加する | パスキーの登録数 |
2. 案内 | ログイン直後に登録を案内する | 案内を見た人の登録率 |
3. 主役にする | ログイン画面でパスキーを最初に表示する | ログインに占めるパスキーの割合 |
4. 判断 | パスワードの扱いを決める（残す、新規では作らせない など） | 復旧の問い合わせ数 |
実装方式：自社で実装するか、サービスを使うか
パスキーは、WebAuthnというブラウザの標準の仕組みで実装します。自社で実装する場合、主な作業は次のとおりです。
- 登録……サーバーでチャレンジ（使い捨ての値）を発行し、端末で作られた公開鍵を検証して保存する
- 認証……端末から送られた署名を、保存した公開鍵で検証する
- 管理……1人の会員に端末ごとの複数のパスキーを紐づけ、利用者が削除できるようにする
- 代替……パスキーを使えない環境を判定し、別のログイン方法へ案内する
検証の処理を規格に沿って一から書くのは難しいため、自社で実装する場合も実績のあるライブラリを使うのが一般的です。
サービスを使う場合は、登録・認証の画面と検証をサービス側に任せ、自社ではパスキーと自社の会員IDの紐づけを実装します。
つまずきやすい点
点 | 起きること | 対策 |
|---|---|---|
ドメイン | パスキーは登録したドメインに紐づく。サイトのドメインを変えると使えなくなる | どのドメインで登録させるかを先に決める（サブドメインの扱いも含む） |
アプリ内ブラウザ | SNSアプリなどのアプリ内ブラウザでは、パスキーが使えない、または挙動が異なる場合がある | 標準のブラウザで開くよう案内する |
共有端末 | 家族で共有するPCやタブレットで登録すると、端末のロックを解除できる人がログインできてしまう | 共有端末では登録しないよう案内する |
言葉 | 「パスキー」が何か伝わらず、登録されない | 「顔や指紋でログイン」など、操作で説明する |
複数の端末 | スマホで登録したパスキーがPCで見つからず、問い合わせになる | 同期の仕組みと、QRコードで別の端末から使う方法を案内する |
ソーシャルログインとの併用
パスキーとソーシャルログインは、解決する問題が違います。
- ソーシャルログイン……アカウントを作る手間を省く
- パスキー……パスワードを置き換える
新規登録ではソーシャルログインで入力を省き、自社のアカウントを持つ会員にはパスキーを案内する、という組み合わせが取りこぼしの少ない構成です。ログイン画面に両方を並べる場合は、前回使ったログイン方法を表示すると、利用者が迷わなくなります。
ソーシャルログインの導入手順はソーシャルログインの導入手順と期間で解説しています。
よくある質問
パスキーを導入すると、パスワードは不要になりますか？
パスキーを登録した利用者は、ログインにパスワードを使わなくなります。ただし全員がすぐに登録するわけではないため、当面はパスワードとの併用が現実的です。
パスキーに対応していない端末の利用者はどうなりますか？
主要なOSとブラウザはパスキーに対応していますが、古い端末では使えない場合があります。既存のログイン方法を残し、使える利用者から切り替えていきます。
パスキーとソーシャルログインは、どちらから導入すべきですか？
新規登録の離脱を減らしたいならソーシャルログイン、既存会員のパスワード管理や不正ログインが課題ならパスキーが先です。判断の考え方はパスキーとソーシャルログインの違いで解説しています。
Login Plus について
Login Plusは、パスキーと6つのソーシャルログインに1つの実装で対応できるサービスです。
- FIDO2 / WebAuthn に準拠したパスキー認証
- パスキーの登録画面とログイン画面をLogin Plusが提供
- 登録されたパスキーを、自社の会員IDに紐づけるAPIを用意
- Apple・Facebook・Google・X（旧Twitter）・Yahoo! JAPAN・LINEのソーシャルログインと併用できる
既存の会員サイトにパスキーを追加できるかのご相談は、資料請求またはお問い合わせからどうぞ。
ソーシャルログイン・パスキーの資料をお送りします
対応SNS・料金・実装の流れ・導入事例をまとめています。
「自社に導入できるか」のご相談も、同じフォームから承ります。
個別のご相談は からもどうぞ。
