顔認証でログイン？パスワードとパスキーの違い

パソコンの前でログイン方法を考える人 スマホ・SNS
2026.08.31

パスワードは、サービスへログインするときに使う秘密の文字列です。
パスキーは、端末やパスワード管理サービスに保存した暗号の鍵を使って、本人確認をする仕組みです。
パスキーでは、顔認証・指紋認証・端末のPINなどで鍵の利用を承認し、対応するサイトへログインできます。

スマホで顔認証が表示されたときには、「顔をサイトへ送っているの？」と仕組みが気になるかもしれません。
ここには、端末で鍵を使う許可を出すことと、サイトがアカウントの本人確認をすることの、二つの役割があります。
この分け方を理解すると、パスワードとの違いや、機種変更前に確認することが見えてきます。

パスワードとパスキーは、何で本人を確かめる？

方法 本人確認に使うもの 利用者の操作の例
パスワード アカウントの秘密の文字列 入力する、保存したものを自動入力する
パスキー 登録したアカウントに対応する暗号の鍵 顔・指紋・端末のPINなどで鍵の利用を承認する

パスワードの場合、サービス側は送られてきた文字列を照合し、そのアカウントへログインできる人かを確認します。
利用者は文字列を覚えて入力する方法も、パスワード管理機能に保存して自動入力する方法も使えます。
画面で手入力しなくても、本人確認に使っているものがパスワードなら、パスワードによるログインです。

パスキーの場合は、アカウントに対応する鍵を使い、サービスからの確認に応答します。
利用者がサイトごとの秘密の文字列を入力する代わりに、保存してある鍵を使ってよいかを端末で承認します。
違いは入力する手間だけでなく、サービスへ本人であることを示す方法にあります。

顔認証だけを見て、どちらの方法かを判断するのは難しい場合があります。
顔認証でパスワード管理機能を開き、保存したパスワードを入力する場面もあるからです。
ログイン画面やサービスの設定で「パスキーを使用」などの方法を選んでいるかを見ると、使っている仕組みを確かめられます。

スマホの顔認証で、サイトへログインするとき

たとえば、自分のスマホで、対応する会員サイトにパスキーを登録したとします。
次にそのサイトへログインするとき、パスキーによるログインを選ぶと、スマホに顔認証などの確認が表示されます。
承認すると、登録したアカウントに対応する鍵を使った処理が行われ、サイトが応答を確かめます。

この場面で端末が確認するのは、「この鍵を使ってよい人か」ということです。
端末を使う人の確認に、顔・指紋・画面ロックのPINなどを使います。
サイト側が確認するのは、「登録してあるアカウントに対応する鍵を使って応答したか」ということです。

Googleは、パスキーで使う顔認証や指紋認証のデータは端末に保存され、Googleと共有されないと案内しています。
Appleも、Touch IDやFace IDでパスキーの利用を承認し、その後にアプリやサイトで本人確認を行う仕組みを説明しています。
顔や指紋は、端末内で鍵の利用を許可するための確認として働きます。

端末のPINも、この場面では端末側の確認に使います。
サイトごとのパスワード、スマホの画面を開くPIN、パスキーという三つの言葉を分けると、「何を登録し、どこで確認しているか」が分かりやすくなります。
画面に出た案内に従って操作する前に、どのサービスへログインする場面かを確認しましょう。

公開鍵と秘密鍵は、どう役割を分ける？

パスキーでは、公開鍵と秘密鍵という二つの鍵を組にして使います。
ここでいう鍵は、暗号の計算に使うデータです。
公開鍵は、サービス側に登録しておく確認用の情報です。
秘密鍵は、本人確認の応答を作るために使い、ログイン先のサービスへ渡しません。

ログイン先から確認が来ると、秘密鍵を使って応答を作り、サービス側が公開鍵を使ってその応答を確認します。
利用者が二つの鍵を読んだり、数字を手で入力したりする必要はありません。
端末とサービスが、登録したアカウントに対応する鍵の組で確認します。

このように、役割の異なる鍵を組にして使う仕組みを公開鍵暗号といいます。
パスワードのように、同じ秘密の文字列をサービスへ入力して示す方法とは異なります。
公開鍵は名前のとおり秘密として扱う鍵ではなく、サービス側で応答を確かめるためのものです。

パスキーは、登録したサイトやアプリに対応して使われるように設計されています。
偽のログインページで秘密の文字列を入力させるフィッシングへの対策になるのは、この登録先との対応と、秘密鍵をログイン先へ渡さない仕組みによるものです。

一方、鍵を使う許可を出せる端末や、鍵の保存先のアカウントは、日常の管理の対象になります。
サイトへの秘密の送信が減ることと、スマホのロックやアカウントを管理することは、それぞれ役割があります。
使う端末のロックを保ち、自分がどこへパスキーを保存したか把握しておくと、使い方を整理できます。

パスキーは、どこに保存される？

保存先は、端末や利用するパスワード管理サービスによって変わります。
端末内だけで扱うもの、対応するアカウントを通じて複数の端末へ同期するもの、専用のセキュリティキーに保存するものなどがあります。
自分が選んだ保存先の案内を見て確認します。

同期とは、複数の端末で同じ情報を利用できるよう、保存先を通じて内容をそろえる仕組みです。
Appleは、パスキーをiCloudキーチェーンで同期する仕組みを案内しています。
同じアカウントの対応する端末で使えるようにするには、その保存先や端末で必要な設定を満たします。

会員サイトにパスキーを登録したことと、どの保存先へ入れたかは、別々に確認する情報です。
サイトのアカウント設定には登録済みのパスキーが表示される場合があり、端末や管理サービス側には保存したパスキーの一覧があります。
機種変更の前は、この両方を見ておくと、引き継ぎの方法を調べやすくなります。

同期に対応する保存先を使う場合にも、新しい端末がその保存先を利用できる条件を満たす必要があります。
別のメーカーの端末や別の管理サービスへ移る場合は、引き継ぎや別のログイン方法を、使っているサービスの案内で確かめます。
すべてのパスキーが、どの端末へも同じ操作で移ると考えるより、保存先から順に確認する方法が確実です。

パソコンから、スマホのパスキーでログインできる？

対応するサービスでは、パソコンのログイン画面に表示されたQRコードを、自分のスマホで読み取って確認する方法があります。
パソコン自体にパスキーが保存されていなくても、近くのスマホにあるパスキーを使ってログインする仕組みです。

Googleの案内では、パソコンでパスキーを使う別の方法を選び、表示されたQRコードをスマホで読み取り、スマホ側で顔・指紋・PINなどの確認を行います。
この方法ではBluetoothをオンにすることも案内されています。
QRコードは、このログインの場面を手元の端末へつなぐために使います。

この場面も、スマホで鍵の利用を承認し、サービスが応答を確認する、という基本は同じです。
パソコンへ顔の情報を入力する操作ではなく、自分のスマホを使って本人確認を進めます。
対応するOS・ブラウザ・サービスがそろうことで利用できるため、実際の画面は利用先の案内で確認します。

職場や学校のアカウントでは、管理者の設定がログイン方法に関わることがあります。
Google Workspaceも、管理者の許可によってパスキーのみでログインできるかが変わると案内しています。
個人のGoogleアカウントで使えた方法を、職場のすべてのアカウントへそのまま当てはめず、所属先の案内に合わせます。

パスキーを作ったら、パスワードはどうなる？

パスキーを登録したあとのログイン方法は、サービスの仕様と設定で決まります。
Googleでは、パスキーを追加しても、既存の認証や復元のための情報は自動で変更・削除されません。
パスキーを使うことと、パスワードを削除することは、別の変更です。

二段階認証は、追加の確認を組み合わせてアカウントを守る仕組みです。
パスキーはログインに使う認証方法の一つなので、比較している役割が違います。
画面で行う操作が一回に見えても、認証にどの要素を使ったかはサービスの仕組みによって変わります。

たとえばGoogleは、二段階認証を有効にしている場合でも、パスキーで端末の所有者を確認してログインすると、別の二つ目の手順を省略すると説明しています。
これをすべてのサービスに共通の画面操作として覚えるより、自分のログイン先がパスキーをどのように扱うかを見ると理解できます。

スマホの故障や紛失に備えるときは、ほかの登録済み端末や、サービスの復元方法を確認します。
復元に使う連絡先や電話番号が現在も使えるかも、サービスのアカウント設定で確かめられます。
ここでは復元の具体的な操作を一律に決めず、保存先とアカウントの案内を確認するところまでを整理しましょう。

スマホとパソコンを使い、ログイン方法とパスキーの保存先を確認する場面のイメージ
パスキーを使うサービスと、鍵を保存する場所を分けて確認します。実際の設定画面ではなく、利用場面のイメージです。

使い始める前は、保存先と利用する端末を確認する

パスキーを使い始めるときは、対応するサービスか、自分の端末とブラウザが対応しているか、どこへ保存するかを確認します。
Googleなどの公式ヘルプには対応条件が掲載されています。
細かな最低バージョンは更新されるため、設定する時点の案内を見ると判断できます。

パスキーを保存する端末は、自分が所有し管理できるものを使います。
Googleも、共有端末での作成を避けるよう案内しています。
端末のロックを解除できる人がパスキーを使える状態になるため、借りたパソコンを一時的に使う場面と、自分のスマホへ保存する場面を分けます。

「サービスでパスキーを登録した」「この保存先に鍵がある」「この端末で承認できる」と整理すると、ログインの手順を覚えるだけでなく、次に端末が変わったときにも何を確認するか分かります。

まとめ

パスワードは秘密の文字列、パスキーは登録したアカウントに対応する暗号の鍵で本人確認をします。
顔・指紋・端末のPINは、鍵の利用を端末で承認するために使われ、サービス側は鍵を使った応答を確認します。

使い始めるときや機種変更前は、対応するサービス、パスキーの保存先、別の端末で使う方法と復元方法を確認しましょう。
端末内での確認と、サイトへのログインを分けることが、違いを理解する手がかりです。

関連記事

確認コードがあれば二段階認証？OTPとの違い：ログイン方法と、追加の確認に使うコードの役割を整理できます。

参考資料

情報確認日：2026年10月14日。
対応条件やアカウントの復元方法は、利用するサービスと保存先の公式案内で確認してください。