パスキーは、端末やパスキー提供元が管理する暗号鍵と、サービス側の公開鍵を組み合わせてログインする方式です。従来のパスワードの代わり、またはパスワードに加えて使われます。二段階認証は、パスワードなどの「知識」と、スマートフォンのアプリやSMSで届く「所持」の組み合わせが一般的です。
どちらも不正ログインを抑える手段ですが、フィッシングでパスワードと認証コードの両方を抜かれるリスクは、SMSより認証アプリの方が低いとされる一方、パスキーは偽サイトへ鍵を送りにくい設計です。サービスが対応している方式を確認したうえで組み合わせます。
同期型パスキーと端末限定の認証
多くの個人向けサービスでは、Apple・Google・Microsoftなどのパスキー提供元を通じて、複数端末へパスキーを同期する方式が使われます。FIDO Allianceは同期型パスキーと、別の端末からの認証（クロスデバイス）を案内しています。iCloudキーチェーンの同期や復旧の仕組みも、公式の案内で確認してください。
一方、セキュリティキー（ハードウェアキー）や一部の端末限定クレデンシャルは、特定の端末やキーに紐づく運用になります。用途に応じて、同期型と端末限定を混在させることもあります。
パスキーが向くサービス
- Google、Apple、Microsoftアカウントなど、主要ID
- 対応を表明している金融・決済サービス
- 同じ端末で繰り返しログインする個人利用のサイト
二段階認証を残す場面
パスキー非対応の古いサービス、共用PCからしかログインできない業務系、バックアップ用のリカバリーコードが必要なアカウントでは、認証アプリやハードウェアキーの二段階認証が現実的です。SMSはSIM交換リスクがあるため、可能ならアプリ認証へ移行してください。
端末を失ったとき・復旧の確認
同期型パスキーを使っている場合は、別端末へのサインインや提供元アカウントの復旧手順が使えることがあります。端末限定のキーや、提供元アカウント自体にロックがかかった場合は、サービスごとのリカバリーコードや代替認証の設定が必要です。パスキーを有効にする前に、各サービスとパスキー提供元の復旧方法を確認してください。詳細は、スマホをなくしたときの確認も参照できます。