パスキーとは？ソーシャルログインとの違いと、併用が前提になる理由

結論：どちらかを選ぶものではない

「パスキーとソーシャルログイン、どちらを入れるべきか」という問いを受けることがあります。この問いの立て方自体が実態と合っていません。 両者は役割が違い、併用できます。

• パスキー……自社サービスのアカウントに対して、パスワードの代わりに端末の生体認証やPINで本人確認する
• ソーシャルログイン……他社（Google・LINEなど）が持つIDを借りて本人確認する

パスキーは「パスワードの置き換え」、ソーシャルログインは「アカウント発行そのものの省略」です。解決している問題が違います。

パスキーの仕組み

パスキーは FIDO2 / WebAuthn という規格にもとづく認証方式です。公開鍵暗号を使い、秘密鍵は利用者の端末から出ません。

ログインの流れは次のとおりです。

1. サービスが端末に「この文字列に署名してください」と要求する
2. 端末が生体認証やPINで本人確認し、秘密鍵で署名する
3. サービスは、あらかじめ登録された公開鍵で署名を検証する

ここから2つの性質が生まれます。

1. 漏えいするパスワードが存在しない

サービス側が保管するのは公開鍵だけです。漏えいしても、それだけではログインできません。 パスワードを保管しないため、リスト型攻撃の対象にもなりません。

2. フィッシングに強い

パスキーは登録したドメインとしか動作しません。偽サイトを開いても認証が始まらないため、「利用者が騙される」という経路そのものが塞がれます。パスワードでは防ぎきれなかった部分です。

ソーシャルログインとの比較

表のとおり、弱点が互いに逆です。パスキーは端末に紐づくため機種変更に弱く、ソーシャルログインは外部の仕様変更に影響されます。両方を並べれば、片方の弱点をもう片方が埋めます。

導入の3ステップ

Step 1：どこに置くかを決める

いきなり全ユーザーに強制しません。まず「追加の選択肢」として置きます。

• 既存の会員には、ログイン後に「次回から生体認証で入れます」と案内する
• 新規登録では、ソーシャルログインと並べて提示する

Step 2：入れない人の導線を残す

ここが実装でもっとも重要です。パスキーに対応していない端末やブラウザは存在します。 また、共用端末では登録したくないという利用者もいます。

パスキーだけにすると、その層を丸ごと失います。 ソーシャルログインかメールアドレスによるログインを必ず残してください。

Step 3：機種変更に備える

パスキーは端末に紐づきます。OSの同期機能である程度は引き継げますが、異なるOS間の移行や、同期を使っていない場合は再登録が必要です。

「機種変更したらログインできなくなった」は、サポートへの問い合わせとして必ず発生します。再登録の導線を先に用意してください。

どちらから着手すべきか

現時点で会員登録の離脱が課題なら、ソーシャルログインが先です。登録の手間そのものを減らせるため、効果が出るまでが早くなります。

すでに会員が多く、パスワード忘れの問い合わせや不正ログインが課題であれば、パスキーの効果が大きくなります。

いずれにせよ、最終的には両方を並べる形に落ち着きます。順序の問題です。

よくある質問

パスキーを入れたらパスワードは廃止できますか？

すぐには難しいと考えてください。非対応の端末や、登録を望まない利用者が残ります。移行期間として、代替の手段を並行して残すのが現実的です。

複数の端末で使えますか？

OSの同期機能を使えば、同じOS間では引き継げます。異なるOSをまたぐ場合は、端末ごとに登録する形になります。

ソーシャルログインと両方入れると、ユーザーが混乱しませんか？

並べ方次第です。普段使っている方を上に置き、もう一方は「他の方法でログイン」の中にまとめると、迷いにくくなります。すべてを同列に並べると選べなくなります。

Login Plus について

Login Plusは、6つのIDプロバイダ（Apple・Facebook・Google・X・Yahoo! JAPAN・LINE）とパスキーに、1つの実装で対応できるサービスです。

• パスキーとソーシャルログインを同じ仕組みの上で扱える
• どちらで登録した利用者も、同じ会員IDに紐づけられる
• 各プロバイダの仕様変更にはLogin Plus側で対応

「先にソーシャルログインを入れ、後からパスキーを足す」という進め方でも、追加の実装は不要です。