道具は増えましたが、役割は3つしかありません
2段階認証、パスワード管理アプリ、ブラウザの保存機能、パスキー、認証アプリ——。名前は増え続けていますが、役割で分けると3つの領域に分かれます。この地図が頭に入ると、「どっちが安全？」という比較の多くが、そもそも比べるものではなかったと分かります。
所要時間の目安：読むのは約5分。やることは最後に一つだけ提案します。
この図は保存して、家族にそのまま送れます。
領域1：鍵そのもの——パスワードとパスキー
ログインの「鍵」にあたるものです。
- パスワードは、覚えて入力する昔ながらの鍵。盗まれたり、偽サイトに打ち込んでしまったりします
- パスキーは、スマホの指紋・顔認証でログインする新しい鍵。パスワードの「追加」ではなく「代わり」です。入力するものがないため、フィッシングで盗みようがありません
両方に対応しているサービスでは、パスキーを選ぶのが現在の推奨です（マモルグ推奨セキュリティ設定のS2）。
領域2：鍵の保管庫——パスワード管理アプリとブラウザの保存機能
鍵を覚えて保管しておく場所です。パスワード管理アプリも、ブラウザの保存機能も、iCloudキーチェーンも、Googleパスワードマネージャーも、全部この領域の仲間で、役割は同じです。
「ブラウザに保存するのは危ない」は昔の常識です。自分の頭で覚えられる弱いパスワードを使い回すより、保管庫に長い固有のパスワードを作らせて覚えさせる方が、はるかに安全です。スマホに標準で入っているもので十分始められます（始め方）。
領域3：追加のロック——2段階認証と、その中の認証アプリ
パスワードが盗まれたときのために、「本人のスマホを持っているか」の確認をもう一段足す仕組みが2段階認証です。家でいえば、玄関の鍵をかけたうえでドアチェーンもかける——その「チェーン」にあたります。そして大事なのは、認証アプリ（Google Authenticatorなど）は2段階認証の中の一方式だということ。別の道具ではありません。
方式の強さには差があります。
- SMSで届くコード：ないよりずっと安全。ただしコードの聞き出しに弱い
- 認証アプリ・プッシュ通知：SMSより強い。選べるならこちら
なお、パスキーでログインする場面では、2段階目はそもそも不要なことが多くなります。パスキー自体が「スマホを持っている」+「本人の指紋・顔」の2つの確認を最初から含んでいるからです。
安全度の階段
下から上へ、1段上がるだけで安全性は大きく変わります。全部を一度にやる必要はありません。
- パスワードだけ（今日、次の段へ）
- パスワード + SMSの2段階認証
- パスワード + 認証アプリ
- パスキー
よくある勘違い
- 「認証アプリとパスキー、どっちがいい？」——役割が違うので比較になりません。パスキーは鍵そのもの（領域1）、認証アプリは追加のロック（領域3）です
- 「ブラウザ保存は危ないから全部覚えている」——覚えられる範囲のパスワードは弱く、使い回しがちです。保管庫に任せてください
- 「全部やらないと意味がない？」——階段を1段ずつで十分です。順番はこのあと提案します
で、私は何をすればいい？
今日の一つ：メールの中心アカウント（GoogleまたはApple）にパスキーを設定する。メールは他のサービスの復旧に使われる「鍵束の中心」なので、ここが最優先です。
- Googleの人はGoogleアカウントにパスキーを設定する
- iPhoneの人はiPhoneでパスキーを使い始める
そのほかのサービスへの広げ方はサービス別の設定ガイドに、わが家の現在地はわが家のデジタル安全チェックで確認できます。