パスキーの機種変更｜引き継ぎ方とログインできないときの対処
新しいスマホに替えたら、いつものサイトでパスキーが出てこなくなった。
そんな不安は、パスキーの「保存先」が分かれば、落ち着いて解消できます。
この記事では、引き継げるパスキーと作り直すパスキーの見分け方から、ログインできないときの対処までを図解します。
この記事は以下のような人におすすめ！
- 機種変更でパスキーが引き継がれるのか知りたい人
- 新しいスマホでパスキーが使えず困っている人
- 旧スマホを手放す前に何をすべきか確かめたい人
機種変更でパスキーが引き継げる・引き継げないが分かれる理由
1-1. パスキーは「端末の秘密鍵」と「サイトの公開鍵」の組み合わせ
パスキーはパスワードの代わりになるもので、指紋や顔、画面ロックのPINでログインできます。
機種変更で迷わないために、まずはパスキーの中身を少しだけのぞいてみましょう。
サービスにパスキーを登録すると、端末の中で「秘密鍵」と「公開鍵」という1組の鍵が新しく作られます。
秘密鍵はサービスには送られず、公開鍵だけがサービスに登録されます。
ログインのとき、サービスは毎回ちがう問題（チャレンジ）を送ってきます。
端末は秘密鍵でこの問題に署名して返し、サービスは公開鍵で署名を確かめます（参考2・参考3）。
秘密鍵は、指紋や顔、PINで本人が確認されたあとでなければ使えません（参考2）。
Microsoftによると、パスキーはFIDOという業界標準にもとづき、ブラウザーではWebAuthn、認証器との通信ではCTAPという仕組みを使います。
そのため、パスキーはOSの種類を問わず、ウェブサイトとアプリの両方で使えるとGoogleも説明しています（参考1）。
ここで大切なのは、ログインに必要な秘密鍵が、サービスではなく「端末側」にあるという点です。
指紋や顔の情報も端末の中にとどまり、ネットワークやサービスへ送られることはありません（参考1・参考2）。
また、パスキーは作ったサイトやアプリだけに結びつくので、偽サイトでは使われません（参考1・参考3）。
鍵の組み合わせはサイトごとに異なるので、1つのパスキーをほかのサイトで使い回すこともありません（参考2・参考3）。
さらに、ログインのたびに、手元の端末でパスキーのロックを解除する必要があります。
攻撃者が用意した別の端末で、だまして代わりにログインさせることはできない仕組みだと説明されています（参考3）。
つまり機種変更では、「新しいスマホでこの秘密鍵を使えるかどうか」が分かれ道になります。
1-2. 同期されるパスキーと、端末に固定されるパスキー
秘密鍵が端末側にあるなら、機種変更のたびに全部作り直しなのでしょうか。
実は、パスキーには大きく分けて2つの種類があり、答えが変わります。
1つめは「同期されるパスキー」です。
秘密鍵は暗号化されたうえで、クラウドのパスキー提供元に保存されます。
そして、同じ提供元に認証済みのほかの端末からも使えるようになります。
代表例は、AppleのiCloudキーチェーンと、Googleパスワードマネージャーです。
AppleとGoogleは、クラウドに保存したパスキーに高度な保護を施しているとMicrosoftは説明しています。
2つめは「端末に固定されるパスキー」です。
秘密鍵は1台の端末の中で作られ、その端末の外へ出ることはありません。
Microsoft AuthenticatorのパスキーやFIDO2のセキュリティキーが、この種類の例として挙げられています。
同期型なら、新しいスマホで同じアカウントにサインインすれば、そのまま使える可能性が高くなります。
端末固定型なら、新しいスマホで「新しいパスキーを作る」ことになります。
どちらも、パスワードやSMSのコードのようにだまし取られうる多要素認証と比べて、安全性が大きく向上する方法だとMicrosoftは説明しています。
個人で使う範囲なら、主な違いは機種変更のときの手間だと考えてください（会社や学校のアカウントでの扱いは5-2で説明します）。
Microsoftは、個人向けのMicrosoftアカウントの利用状況から、同期型のパスキーでのログインは約3秒で、パスワードと従来の多要素認証の組み合わせでは約69秒かかったと紹介しています。
ログインの成功率も、同期型のパスキーは95％で、従来の方法の30％を大きく上回ったとしています。
規制の厳しい環境ではない多くの利用者にとって、同期型のパスキーは便利で負担の少ない選択肢だとされています（参考3）。
パスキーの基本的な仕組みを詳しく知りたい方は、こちらの記事もどうぞ。
機種変更の前に、パスキーの保存先を確かめる
2-1. 保存先ごとの引き継ぎ早見表
Googleのヘルプによると、パスキーは端末やパスワードマネージャーに保存できます。
機種変更の前に、自分のパスキーがどこに保存されているかを確かめておきましょう。
| 保存先 | 種類 | 新しい端末での扱い |
|---|---|---|
| Googleパスワードマネージャー | 同期型 | 同じGoogleアカウントでログインすれば使える |
| iCloudキーチェーン | 同期型 | 同じ提供元に認証済みの端末で使える |
| Windows Hello | 端末固定 | 同期もバックアップもされない |
| Microsoft Authenticator | 端末固定 | 新しいスマホで作り直す |
| セキュリティキー | 端末固定 | バックアップされない |
Googleパスワードマネージャーの場合は、パスキーに対応したサイトで、保存するかどうかを確認する画面が表示されます。
パソコンのChromeなら、その他アイコンから「パスワードと自動入力」、「Google パスワード マネージャー」と進むと管理画面を開けます。
思い出せない場合は、旧スマホのパスワード管理の画面で、パスキーの一覧を探してみてください。
表の「種類」は、1-2で説明した同期型と端末固定型のどちらにあたるかを示しています。
自分で作った覚えがなくても、Googleパスワードマネージャーに保存したパスワードでログインしたときに、パスキーが自動で作られていることがあります。
その場合はGoogleパスワードマネージャーで通知され、パスキーはパスワードとともに保存されます。
自動で作られるのを止めたいときは、Googleパスワードマネージャーの設定で「パスキーを自動作成してすばやくログイン」をオフにします。
iPhoneでiCloudを使っている人は、iCloudキーチェーンが同期型の保存先にあたります。
Macでも、iCloudにログインしていれば、ChromeからAppleのパスワードにパスキーを保存できます（参考1）。
ただし、同期の細かい動きは提供元によって異なることがあります（参考3）。
iPhoneの設定画面での確認方法は、Appleの公式サポートで最新の手順を確かめてください。
同じパスキーでも、作ったときの保存先しだいで、機種変更での扱いががらりと変わります。
「スマホで作ったから大丈夫」と思い込まず、保存先を1つずつ確かめましょう。
2-2. Googleパスワードマネージャーは同じアカウントとPINが鍵
Googleパスワードマネージャーに保存したパスキーは、Googleアカウントに安全にバックアップされ、同期されます。
同じGoogleアカウントでChromeやAndroidにログインしていれば、どの端末でも同じパスキーを使えます。
Googleパスワードマネージャーにパスキーを保存できるのは、Windows 10以降のパソコン、ChromeOS 129以降のChromebook、Mac、Linuxなどです。
ここでカギになるのが、Googleパスワードマネージャーの「PIN」です。
パソコンで初めてパスキーを作るとき、このPINを作るよう求められることがあります。
Googleの説明では、このPINには、新しいデバイスでパスキーを復元できるようにする役割があります。
暗号化されたデータを他人が見られないようにする役割も、このPINが担っています。
このPINは、パスキーが保存されたサイトにログインするときにも求められます。
すでに同じGoogleアカウントでパスキーを作っている場合は、代わりにパソコンのパスワードやPIN、指紋を求められることもあります。
すでにあるパスキーのロックを解除するには、GoogleパスワードマネージャーのPINか、Androidのロック画面のPINが必要です。
つまり、旧スマホの画面ロックのPINや、パスワードマネージャーのPINを覚えておくことが、引き継ぎの準備になります。
PINを忘れてしまった場合も、すぐにあきらめる必要はありません。
以前にGoogleパスワードマネージャーでパスキーを使ったことがある端末から、PINをリセットできます（参考1）。
旧スマホを残しておくと、この点でも心強い味方になります。
新しいスマホへパスキーを移す手順
3-1. 同期型は新しいスマホで同じアカウントにログインする
同期型のパスキーなら、新しいスマホでの作業はシンプルです。
旧スマホで使っていたのと同じアカウントで、新しいスマホにログインします。
Googleパスワードマネージャーの場合は、新しいAndroidやChromeで同じGoogleアカウントにログインします。
そのうえで、旧スマホのロック画面のPINかGoogleパスワードマネージャーのPINを入力します。
同期が済んだら、ふだん使っているサイトを開き、パスキーでログインできるかを試しましょう。
ログインのときは、端末のパスワードやPIN、指紋で追加の確認を求められることがあります（参考1）。
iCloudキーチェーンの場合も、同期型の考え方は同じで、新しいiPhoneを同じ提供元に認証させることがポイントになります（参考3）。
具体的な設定画面の項目名はiOSのバージョンで変わるので、Appleの公式サポートで確かめてください。
iPhoneとAndroidの間で乗り換える場合は、保存先がそのまま新しいスマホにあるとは限りません。
その場合は、次の3-2と同じく、新しいスマホでパスキーを作り直すと考えておくと安心です。
3-2. 端末固定型は新しいスマホでパスキーを作り直す
端末固定型のパスキーは、秘密鍵が端末の外に出ないので、新しいスマホへ写すことはできません（参考3）。
Microsoft Authenticatorのパスキーも、作られた端末から出ないように作られています。
iPhoneではSecure Enclave、Androidでは対応端末のSecure Elementなどの守られた領域で作られると説明されています（参考4）。
この場合は、次の順番で「新しいスマホに新しいパスキーを作る」作業をします。
- 新しいスマホで、パスワードなどほかの方法でサービスにログインする（パソコンなら4-1の方法も使える）
- 新しいスマホで、サービスのアカウント設定からパスキーを追加する項目を開く
- 新しいスマホで案内に従い、新しいパスキーを作る
- 新しいスマホのパスキーでログインできるかを試す
パスキーの追加の場所や、登録できるパスキーの数は、サービスによって異なります。
迷ったら、そのサービスのヘルプで「パスキーの追加」や「パスキーの管理」を探してみてください。
会社や学校のアカウントでMicrosoft Authenticatorを使っている場合は、組織の管理者の案内にも従いましょう。
1つのサービスに複数のパスキーを登録できる場合は、旧スマホのパスキーを残したまま新しいスマホのパスキーを追加し、確認が済んでから古いほうを消すと安全です。
パスキーを追加できないサービスでは、パスワードなどほかのログイン方法を最新にしておき、新しいスマホでログインしてから作り直しましょう。
作り直しは面倒に感じますが、「鍵が勝手に別の端末へ移らない」という安全の裏返しです。
旧スマホが使えるうちに済ませておくと安心です。
3-3. 旧スマホのパスキーを削除してから初期化する
新しいスマホでログインできたら、最後に旧スマホの後始末をします。
ここで大切なのは、操作の順番です。
端末固定型のパスキーを使っていたのに、先に旧スマホを初期化すると、その秘密鍵は失われます。
新しいスマホにパスキーがまだない状態なら、パスキーではログインできなくなってしまいます。
旧スマホを下取りや譲渡に出す予定がある人は、とくにこの順番を意識してください。
新しいスマホで問題なくログインできたら、各サービスのアカウント設定で、旧スマホのパスキーを削除しておきましょう。
サービス側にも公開鍵の登録が残るので、一覧がすっきりして、どれが今の端末か迷わなくなります。
同期型のパスキーは、新しいスマホにも同じものが同期されているので、サービス側から消すと新しいスマホでも使えなくなるおそれがあります。
サービス側での削除は、旧スマホだけにある端末固定型のパスキーに限りましょう。
Googleパスワードマネージャーには、パスワードやパスキーをすべて削除する設定もあります（参考1）。
同期型のデータは新しいスマホとも共有されているので、旧スマホを手放す目的でこの操作をしないよう注意してください。
旧スマホは、端末の初期化でデータを消してから手放すのが基本です。
「新しいスマホで用意、ログイン確認、旧スマホのパスキー削除、初期化」の順番を守れば、締め出されるリスクを小さくできます。
削除と初期化は元に戻せない操作として、最後に回しましょう。
パスキーでログインできないときの対処
4-1. 旧スマホがあればQRコードでパソコンから入る
パソコンにパスキーがなくても、旧スマホが手元にあれば、それを使ってログインできます。
パソコンのChromeでは、ログイン画面でパスキーを求められたときに「別のデバイスのパスキーを使用」や「スマートフォンまたはタブレットを使用する」を選べます。
表示されたQRコードをスマホで読み取り、スマホの画面の案内に従えばログインできます。
パスキーの選択肢が出ない場合は、「別の方法を試す」を選んでみてください（参考1）。
Microsoftによると、Windowsでこの方法を使うときは、パソコンとスマホの両方でBluetoothを有効にし、インターネットに接続しておく必要があります。
Bluetoothは、パスキーそのものを送ったりコピーしたりせずに、別の端末を安全に承認するために使われます。
QRコードを読み取ってもうまくいかないときは、まずBluetoothと通信の状態を確かめましょう。
組織によってはBluetoothの利用が制限されていて、この方法でパスキーを使えないこともあります。
会社のパソコンでうまくいかないときは、社内の管理者に確かめてみましょう。
この方法でログインできたら、新しい端末のほうにも新しいパスキーを作っておくと、次からは旧スマホがなくても入れます。
Windows 11 24H2以降では、アプリがパスキーを使う前にプライバシーの同意が求められます。
同意を断ったアプリではパスキーが動かないので、その場合は設定の「プライバシーとセキュリティ」にあるパスキーのアクセス許可を見直してください。
許可するかどうかは、アプリごとにいつでも切り替えられます（参考2）。
4-2. 「このパスキーは利用できなくなりました」と出たとき
Chromeでパスキーを使おうとしたとき、「このパスキーは利用できなくなりました」という通知が出ることがあります。
Googleによると、これはウェブサイト側でそのパスキーが無効になったことを示しています。
通知には、どのウェブサイトから削除されたかが示され、まもなくパスワードマネージャーからも削除されると案内されます。
ウェブサイトは、必要に応じてパスキーを復元できるとされています。
新しいパスキーにしたい場合は、ウェブサイトにアクセスして新しいパスキーを作れます（参考1）。
機種変更の後始末で、うっかりサービス側から旧スマホ以外のパスキーまで削除していないかも確かめてみてください。
自分で削除した覚えがないのに表示される場合は、パスワードなどほかの方法でログインし、アカウントの設定からパスキーを作り直すのが近道です。
ログインできない場合は、そのサービスの公式の回復手続きを使いましょう。
4-3. 旧スマホも同期もないときは別の方法で回復する
旧スマホをなくした、壊れた、しかもパスキーが端末固定型だった、というときもあわてなくて大丈夫です。
パスキーが使えなくても、ほかのログイン方法や公式の回復手続きで戻れる場合があります。
まずは、ログイン画面で「別の方法」などを選び、パスワードやSMS、メールなど、ほかに登録している方法を試します。
ほかの方法でログインできたら、アカウント設定で新しいスマホのパスキーを作り、なくした端末のパスキーを削除しておきましょう。
ほかの方法も使えないときは、そのサービスの公式サイトにある回復手続きに進みます。
日ごろから、パスキー以外のログイン方法も1つは使える状態にしておくと、いざというときに困りません。
登録している電話番号やメールアドレスが今も受け取れるものかどうか、機種変更の前に見直しておきましょう。
会社や学校のアカウントなら、自分だけで解決しようとせず、組織の管理者やヘルプデスクに相談するのが正しい道です。
職場・学校アカウントの認証方法は組織が管理しているので、社内で案内されている正規の窓口へ自分から連絡しましょう。
「パスキーを復旧します」といった電話やメール、SMSで、確認コードやパスワードを聞かれても答えないでください。
回復の手続きは、公式サイトや社内の正規の窓口から、自分で始めましょう。
パソコンやセキュリティキーのパスキーで気をつけること
5-1. Windows Helloのパスキーは同期もバックアップもされない
パソコンで作ったパスキーにも、機種変更と同じ考え方があてはまります。
Windowsでは、パスキーをWindows Helloに保存し、パソコンの生体認証やPINでログインできます。
Googleのヘルプによると、Windows Helloに保存したパスキーは同期もバックアップもされず、そのパソコンだけに保存されます。
そのため、パソコンをなくしたり、OSを入れ直したりすると、そのパスキーは復元できません。
パソコンの買い替えやOSの再インストールの前には、新しい環境で使えるパスキーかほかのログイン方法を用意しておきましょう。
Windows 11 バージョン22H2以降（KB5030310の適用後）では、Windowsにパスキーを管理する機能が用意されています。
パスキーそのものは、サポートされているすべてのバージョンのWindowsで使えると説明されています（参考2）。
ChromeでWindows Helloのパスキーを確かめるときは、Googleパスワードマネージャーの設定から「Chrome プロファイルでパスキーを管理する」を選びます。
この項目は、パスキーを1つ以上作っている場合にだけ表示されます。
Windowsでも複数の端末でパスキーを使いたい場合、Googleは、Googleパスワードマネージャーに保存する方法を案内しています。
MacでiCloudを使っていない場合は、Chromeのプロフィールにパスキーを保存し、macOSのキーチェーンで保護することもできます。
ただし、この方法ではMacをなくしたりChromeのプロフィールを削除したりすると、パスキーを復元できません。
Chromeのプロフィールに保存したパスキーは、閲覧データを削除するときに一緒に削除できてしまう点にも注意しましょう（参考1）。
5-2. セキュリティキーと職場・学校アカウントの場合
USBなどのセキュリティキーにパスキーを保存することもできます。
セキュリティキーのパスキーはバックアップされず、キーをなくしたりリセットしたりすると復元できません（参考1）。
セキュリティキーを使う場合は、予備のキーやほかのログイン方法も登録しておくと安心です。
Microsoftは、規制の厳しい業界や高い権限を持つ利用者には、FIDO2セキュリティキーを勧めています。
一方で、キーをなくしたときの回復の手間やサポートの負担が増えることも説明しています。
職場・学校アカウントでは、組織の設定によって端末固定型のパスキーしか使えず、同期型のパスキーが除外されることがあります（参考3）。
会社のアカウントのパスキーは、組織の方針に従って登録し直してください。
よくある質問と、機種変更チェックリスト
6-1. よくある質問
Q1. 機種変更すると、パスキーは自動で引き継がれますか？
同期型のパスキーなら、同じ提供元（例：同じGoogleアカウント）に新しい端末でログインし、PINで本人確認すれば使えます（参考1・参考3）。
iPhoneとAndroidの間で乗り換える場合は、作り直しを前提にしてください（3-1）。
端末固定型のパスキーは端末の外へ出ないので、新しいスマホで作り直します（参考3）。
Q2. 旧スマホでQRコードを読み取ってもログインできません。
パソコンとスマホの両方でBluetoothを有効にし、インターネットにつながっているかを確かめてください。
Windows 11 24H2以降なら、パスキーのアクセス許可でアプリが拒否されていないかも確かめましょう（参考2）。
Q3. GoogleパスワードマネージャーのPINを忘れました。
以前にGoogleパスワードマネージャーでパスキーを使ったことがある端末から、PINをリセットできます（参考1）。
Q4. 指紋や顔の情報が新しいスマホやサービスに送られることはありますか？
いいえ、生体認証の情報は端末の中にとどまり、サービスへ送られることはありません（参考1・参考2）。
Q5. 旧スマホのパスキーは、サービス側から消したほうがいいですか？
旧スマホだけにある端末固定型のパスキーは、新しいスマホでログインを確かめてから削除すると安心です。
同期型のパスキーは新しいスマホでも使っているので、サービス側から消さないようにしましょう。
6-2. 機種変更チェックリスト
- パスキーの保存先が同期型か端末固定型かを確かめた
- 画面ロックやパスワードマネージャーのPINを覚えている
- 新しいスマホで、いつものサイトにパスキーでログインできた
- 端末固定型のパスキーは、新しいスマホで作り直した
- パスワードやSMSなど、パスキー以外のログイン方法も最新になっている
- 旧スマホだけのパスキーを削除してから、旧スマホを初期化した
「保存先を確かめる、新しいスマホで使えるようにする、旧スマホを片付ける」の順番を覚えておけば、次の機種変更はきっと楽になりますよ。
多要素認証やワンタイムパスワードとの違いも知っておくと、ログイン方法を選ぶときに役立ちます。
