パスワードのいらない世界へ。自社アプリにFIDO2（パスキー）を導入して見えた、セキュリティと利便性の両立

こんにちは。ベトナム拠点で開発マネージャーを担当している鍋山です。

突然ですが、皆さんはパスワード管理に疲れていないでしょうか。

サービスごとに異なるパスワードを設定し、英大文字・小文字・数字・記号を組み合わせ、定期的に変更し、使い回しを避ける。言葉にすると正しい対策ですが、実際にすべてを人間の記憶と運用で守り続けるのは、かなり難しいことです。業務で使うシステムが増えれば増えるほど、ログインのたびにパスワードを思い出し、入力し、場合によっては再設定する時間が積み重なっていきます。

私たちSIerは、日々お客様のシステム開発や業務改善に向き合う中で、セキュリティと利便性の両立というテーマに何度も直面してきました。セキュリティを強化しようとすると、ユーザー体験が重くなる。逆に使いやすさを優先しすぎると、安全性に不安が残る。多くの現場で、このバランスは悩ましい課題です。

その中で私たちが注目したのが、FIDO2、いわゆるパスキーです。パスワードをより複雑にするのではなく、そもそもパスワードを入力しない認証へ移行する。これは単なる新技術の導入ではなく、認証に対する考え方そのものを変える取り組みでした。

今回、私たちは自社で開発しているメッセンジャーアプリにFIDO2を導入しました。

Webとモバイルの両方に対応するアプリで、PoCから本番導入、そして導入支援パッケージ化まで進めた実体験をもとに、導入の背景、検証で見えたこと、実装時に苦労したポイント、そして今後お客様に提供できる価値についてご紹介します。

なぜ今、FIDO2なのか

従来のパスワード認証は、ユーザーとサーバーが同じ秘密を共有する仕組みです。ユーザーはパスワードを覚え、サーバーはそのパスワードを照合できる形で管理します。この方式は長く使われてきましたが、構造的な弱点があります。

代表的なのがフィッシングです。ユーザーが本物そっくりの偽サイトに誘導され、そこでパスワードを入力してしまうと、攻撃者はその情報を使って正規サイトにログインできてしまいます。また、どこかのサービスからパスワード情報が漏えいすると、同じパスワードを使っている別サービスにも被害が広がる可能性があります。

FIDO2とは？

FIDO2（ファイドツー）とは、パスワードを使わずに生体認証（指紋・顔）等で安全にログインするための世界標準規格です。サーバー側にパスワードを保存しないため、企業の最大のセキュリティリスクである「情報漏えい」や「フィッシング詐欺」を根本から無効化できます。

認証にパスワードを使わず、公開鍵暗号方式を利用します。ユーザーの端末側では秘密鍵が生成され、サーバー側には公開鍵だけが登録されます。ログイン時には、端末内の秘密鍵を使って署名を行い、サーバーは公開鍵でそれを検証します。

つまり、サーバーには盗まれて困るパスワードそのものが保存されません。

パスキーとは？

パスキー（Passkey）とは、FIDO2の仕組みをベースに、スマートフォンやPCなど複数のデバイス間で認証情報を安全に同期・共有できる最新の技術です。ユーザーの「パスワード忘れによるログイン離脱」や「再発行の手間」をなくし、顧客体験（UX）と業務効率を劇的に向上させます。

認証時には指紋認証や顔認証、Windows Hello、Touch ID、Face IDなど、ユーザーの端末に備わった仕組みを利用できます。ユーザーにとっては、長いパスワードを入力する代わりに、指を置く、顔を向けるといった自然な操作でログインできるようになります。

この仕組みによって、セキュリティを高めながら、同時にログイン体験を軽くできる。ここにFIDO2の大きな魅力があります。

まずは2週間のPoCから始めた

私たちにとってFIDO2は、これまで本格的に利用したことのない技術でした。そのため、いきなり本番アプリへ組み込むのではなく、まずは認証部分だけを切り出したPoC環境を用意しました。

目的は大きく2つです。1つ目は、FIDO2が実際にどのように動作するのかを確認すること。2つ目は、実装にどれくらいの手間や難しさがあるのかを把握することです。期間は2週間。短期間で集中的に検証し、技術的な見通しを立てることにしました。

検証では、Windows Hello、macOSのTouch ID、iOSのFace ID、Androidの指紋認証など、複数の環境で動作確認を行いました。ブラウザもChrome、Safari、Edgeなどを想定し、Webアプリとしてどこまで安定して使えるかを確認しました。

PoCを始める前は、FIDO2の実装にはかなり専門的な知識が必要なのではないか、暗号技術の理解が深くないと難しいのではないか、という不安もありました。しかし実際に試してみると、印象は少し違いました。

もちろん、認証の仕組みを理解することは重要です。ただ、FIDO2は標準化された仕様であり、すでに多くのライブラリや技術情報が存在します。そのため、認証フローのバックエンド実装自体は、想像していたよりも素直に進めることができました。

開発メンバーからも、想定していたより扱いやすい仕様が整理されていて実装の迷いが少ないという声がありました。PoCを通じて、FIDO2は導入ハードルが高すぎる技術ではなく、段階を踏めば十分に現実的に導入できる技術だと感じました。

本番導入で重要だったのは、技術よりもUXだった

PoCで技術的な見通しが立った後、私たちは自社メッセンジャーアプリへの本番導入に進みました。ここで改めて感じたのは、FIDO2導入の難しさは動かすことだけではないということです。

むしろ本番導入で重要になるのは、既存のユーザー体験とどう自然に統合するかです。

たとえば、ある日突然これからはパスワードではログインできませんと切り替えてしまうと、ユーザーは混乱します。業務で毎日使うアプリであればなおさらです。そこで私たちは、既存のパスワード認証を残したまま、設定画面からパスキーを登録できる導線を追加しました。

まずは希望するユーザーがパスキーを登録できるようにする。登録済みのユーザーには、次回ログイン時にパスワード入力を省略して生体認証へ進める導線を提示する。こうした段階的な移行にすることで、ユーザーにとって違和感の少ない導入を目指しました。

この段階的な設計は、サポート負荷を抑えるうえでも重要です。どれだけ安全で便利な仕組みでも、ユーザーが使い方に迷ってしまえば問い合わせが増え、結果として現場の負担になります。新しい認証方式を導入するときこそ、登録画面、ログイン画面、エラー時の表示、再登録の流れまで含めて、丁寧に設計する必要があります。

マルチデバイス対応で見えた名称管理の難しさ

本番導入で特に考慮が必要だったのが、マルチデバイス利用です。

メッセンジャーアプリは、ユーザーが1つの端末だけで使うとは限りません。外出先ではスマートフォン、オフィスではPC、自宅では別の端末というように、複数のデバイスを使い分けることがあります。そのため、スマートフォンで登録したパスキーをどのように扱うのか、PCのWindows Helloで登録した認証情報をどう管理するのか、といった利用シーンを想定する必要がありました。

ここで課題になったのが、認証器の名称管理です。

FIDO2のプロトコルでは、認証器を識別するためにCredential IDやAAGUIDといった情報がサーバーに送られます。これにより、システム側では前回と同じ鍵でログインしていることや、当該認証器がApple系であることは判断できます。

一方で、それがユーザーにとって何の端末なのかまでは自動では分かりません。たとえば佐藤さんの会社用iPhone 15なのか、自宅で使っているiPadなのか、業務PCのWindows Helloなのかは、システム側だけでは判断できないのです。

ユーザーが複数のパスキーを登録できるようにする場合、後から見返したときにどの認証器を登録したのかが分かることは極めて重要です。不要になった端末の認証情報を削除したいとき、端末を紛失したとき、買い替えたときなど、管理画面で認証器を識別できなければ、ユーザーも管理者も困ってしまいます。

そのため、私たちは認証器にユーザー自身が分かりやすい名前を付けられる設計や、登録日時、端末種別の表示、削除導線などを検討しました。FIDO2導入では、単にログインを成功させるだけでなく、登録後の管理体験まで設計することが欠かせません。

導入後に感じた効果

FIDO2を導入して導入後にまず実感したのは、ログイン時の負担軽減です。一度パスキーでのログインに慣れると、長いパスワードを入力する体験には戻りにくくなります。指紋認証や顔認証で数秒でログインできることは、ユーザーにとって大きな利便性です。

また、パスワード忘れに起因する問い合わせや再設定対応を減らせる可能性もあります。生体認証や端末認証を活用することで、ユーザーが記憶に頼る場面を減らせるためです。これは情報システム部門やサポート部門にとっても大きなメリットになります。

セキュリティ面でも、フィッシング耐性の高さは大きな価値です。FIDO2では、認証情報が正しいドメインに紐づくため、偽サイトにパスワードを入力して盗まれるという従来型のリスクを大きく減らすことができます。ユーザーの注意力だけに頼らない仕組みを作れる点は、企業システムにとって非常に重要です。

FIDO2導入支援パッケージとして提供できること

今回の自社導入を通じて、私たちはFIDO2の技術的な実装だけでなく、PoCの進め方、本番導入時のUX設計、マルチデバイス対応、認証器管理、運用上の注意点など、多くの知見を得ました。

そこで、この経験をFIDO2導入支援パッケージとして、お客様にも提供できる形にまとめました。

パッケージでは、まずお客様の既存認証基盤や利用環境を確認し、どの範囲から導入を始めるのが適切かを検討します。いきなり全面導入するのではなく、ログイン機能だけを切り出したPoCから始めることも可能です。実際に動かしながら、対象OSやブラウザ、利用端末での挙動を確認し、導入可否や課題を早い段階で把握します。

また、検証済みの実装パターンやテンプレートを活用し、バックエンドとフロントエンドの両面から導入を支援します。さらに、ユーザーが迷わず登録・ログイン・管理できるように、画面遷移や文言、エラー表示、認証器の名称管理まで含めて、実運用に耐えられるUXを設計します。

FIDO2は、技術だけを導入すれば成功するものではありません。ユーザーが自然に使え、管理者が安心して運用でき、既存システムと無理なく共存できることが重要です。私たちは自社導入で実際に直面した課題と、その乗り越え方をもとに、現場目線で導入を支援します。

【ランニングコスト0円】Wakka Inc.のFIDO2・パスキー導入・実装支援サービス

Wakka Inc.では、自社アプリ（メッセンジャー）への導入・運用で培ったリアルなノウハウを凝縮した「FIDO2 / WebAuthn 導入・実装支援サービス」は一般的なID管理サービス（IDaaS）とは異なり、初期開発費のみで月額のランニングコストはかかりません。

既存システムへのアドオン（追加）実装にも柔軟に対応するため、余計なコストや月額リスクを最小限に抑えたパスワードレス化が可能です。

• コストを最小限に抑えてセキュリティを強化したい
• 既存の社内システムやWebサービスに、今の仕組みを活かしてパスキーを組み込みたい
• ユーザーが迷わない最適なUX設計・運用設計を一括して任せたい

経営層・IT責任者の皆様のこうしたビジネス課題に、PoC（技術検証）から本番運用まで伴走いたします。まずは貴社の課題や現在のシステム環境について、お気軽にご相談ください。

▶ 【無料相談】Wakka Inc.へのFIDO2・パスキー導入・実装に関するお問い合わせはこちら

まとめ

FIDO2、そしてパスキーは、パスワードに依存してきた認証のあり方を変える技術です。セキュリティを高めるためにユーザーへ負担を強いるのではなく、むしろ使いやすさを向上させながら安全性も高められる点に大きな可能性があります。

もちろん、導入にあたっては検証すべきことがあります。既存システムとの連携、対象端末やブラウザでの動作、登録・ログイン・削除といった一連のUX、複数デバイス利用時の管理方法など、考えるべきポイントは少なくありません。

しかし、2週間のPoCから始めれば、導入に向けた現実的な課題は見えてきます。私たち自身も、まずは小さく試し、動作や実装負荷を確認し、そのうえで本番導入へ進めました。

パスワード管理に課題を感じている。ログイン体験を改善したい。セキュリティを高めたいが、ユーザーの負担は増やしたくない。そうした企業にとって、FIDO2は有力な選択肢です。

パスワードのない、安全で快適なログイン体験は、すでに現実のものになりつつあります。私たちは、自社アプリへの導入で得た知見を活かし、お客様のパスワードレス化をPoCから本番運用まで伴走して支援していきます。