パスキーエクスペリエンス

インターネットは私たちにとって欠かせない生活の一部です。当初から、パスワードはアカウントにサインインする主要な方法でした。しかし、長年にわたって広く使用されてきたにもかかわらず、いまだに62%のユーザーが最初のサインイン時にユーザー名とパスワードを誤って入力しています。ユーザーが文字を誤って入力したり、パスワードを忘れたりした場合、続行するにはパスワードを再設定する必要があり、そうでなければ、タスクを放棄しなければなりません。

私たちは皆、個人的な経験から、インターネットのパスワード使用には根本的な問題が存在することを知っています。車やドアを安全に開ける便利な鍵のように、インターネットサービスのロックも容易かつ安全に解除できる個人用のモノ（車やドアの鍵など）を私たち一人ひとりが所有するのが理想です。

携帯電話が登場するとすぐに、それはユーザーのウェブサイトやアプリのロックを安全に解除する個人用の所持品として利用されるようになりました。ユーザーがSMS OTP（ワンタイムパスワード）を入力することにより、インターネットサービスはそれを検証して、ユーザーがその特定の携帯電話を所有しており、アカウントの正当な所有者であることを確認できます。いまだにSMS OTPはサインインをより安全に行うために活用されていますが、このエクスペリエンスは便利とは言い難く、サイバー犯罪者はワンタイムパスワードをフィッシング（詐取）することがよくあります。

現在では、携帯電話やコンピュータは強力でスマートです。また、Bluetoothなどの近接通信技術も搭載し、使用すればユーザーの近くにデバイスがあることを確認することも可能です。ほとんどのユーザーは携帯電話とコンピュータに生体認証やPINを設定しており、デバイスのロック解除を自然に行っています。これを考えると、このような新技術を活用してサインインをより容易かつ安全にすることが、自然な流れだといえるでしょう。

パスキーを使用すれば、ユーザーはパスワードを覚えて入力する必要がなくなり、ユーザーのデバイス所有の検証は暗黙的に行われます。代わりに、パスキーを使用すると、ユーザーはデバイスのロック解除と同じ方法で、ウェブサイトやアプリにサインインできるようになります。パスキーは新しいユーザーエクスペリエンスですが、すでにユーザーにとって慣れ親しんだ手順を採用しているため、適応するのに時間はかかりません。

FIDOは標準化されたパスキーエクスペリエンス（ユーザー体験）の推進に努めてきました。この標準化により、現在ではクレデンシャル・マネージャーを使用して、パスキーをすべてのインターネット対応デバイス間で同期できるようになりました。

ユーザーにとってパスキーを使用する最も大きな動機は、利便性にあります。サービスプロバイダーの場合はこの利便性を、サインインの失敗減少と高速化、ビジネスの拡大と捉えることができます。デザイン上、パスキー標準にはフィッシング耐性があるため、エンドユーザー、インターネットサービス、さらにはインターネット全体にとって、パスキーに組み込まれたこの包括的安全性は非常に有益です。ユーザーを騙してパスキーを誤った場所に入力させたり、電話で読み取ったりすることは、単純にデザイン上不可能なのです。

場合によっては、ユーザーにとってアカウントが非常に重要であるために、パスキーを保存する専用の認証デバイスを持ちたいと思うかもしれません。この場合、同期パスキーの利便性よりもセキュリティの方が優先されます。このようなユースケースに最適なオプションは、FIDOセキュリティキーで作成されるデバイス固定パスキーです。

ユーザーエクスペリエンスのバリエーション

パスキーの主なユーザーエクスペリエンスは、以下の2つです。

• パスキーの作成
• パスキーを使用したサインイン

ユーザーがパスキーの登録時とその後の使用時に経験するエクスペリエンスに影響を与える要因はいくつかありますが、同期パスキーとデバイス固定パスキーが提供するユーザーエクスペリエンスはそれぞれ異なります。同期パスキーの使用を選択したユーザーの場合、同じパスキープロバイダーによって承認されるデバイスであれば、どれでもパスキーを利用できます。例えば、スマホのパスキーをデスクトップのブラウザに同期させることが可能です。

セキュリティキーのデバイス固定パスキーを使用する選択をしたユーザーは、アカウント回復プロセスを行う必要性を避けるため、理想として、バックアップのセキュリティキーに別のパスキーが登録されていることを確認する必要があります。こうすることで、主要のセキュリティキーにアクセスできなくなった場合でも、バックアップのセキュリティキーを使用すればサインインできます。

オペレーティングシステム（OS）、ブラウザ、およびサービスプロバイダーが提供するUIも、パスキーの登録時とその後の使用時におけるユーザーエクスペリエンスに影響を与えます。

「ライブ実装」のページでは、さまざまな企業が異なるデバイス、オペレーティングシステム、およびブラウザ間でパスキーを実装している様子を動画でご覧いただけます。

これらのエクスペリエンスの実装に関する詳細は、「必須パターン」をご確認ください。

アクセシビリティ

パスキーはオペレーティングシステムのUI制御を使用しており、アクセシビリティへの配慮があります。

パスキーに関するメッセージングのバリエーション

エンドユーザーによるパスワード作成のエクスペリエンスは、サービスプロバイダーが実装に選択したデザインパターンから送信されるメッセージングに大きく依存しています。

「デザインガイドライン」は、組織にとって実装に最適なパターンを決定するのに有用です。

• 同期パスキーに関するメッセージングは「必須パターン」を参照。
• デバイス固定パスキーに関するメッセージングは「セキュリティキーパターン」を参照。
• パスキーを使ったサインインに関するメッセージングは、「デザインガイドライン」セクションにある「パスキーを使用してサインインする」を参照。

パスキーによるサインインの基本的なエクスペリエンス

ユーザーがパスキーによるサインインを利用すると、デバイス（スマートフォン、コンピューター、またはセキュリティキー）のロックを解除するときと同じ生体認証、PIN、またはデバイス上のパスワードを使用して、アプリまたはウェブサイトにサインインするよう求められます。この指紋や顔、デバイスPINの検証は、ユーザーが毎日デバイスのロックを解除する際に何度も行っている操作と同じアクションです。アプリやウェブサイトでは、従来のユーザー名やパスワードを入力する代わりに、パスキーを使用してユーザーを認証できます。このデザインの目的は、ユーザーエクスペリエンスがデバイス間で共通しており、一貫性があることを保証することにあります。

ユーザーがデバイスを変更または紛失した場合、あるいは複数のデバイスを使用している場合でも、同期パスキーは引き続き機能します。

詳細については、「デザインガイドライン」セクションにある「パスキーを使用したサインイン」を参照してください。

エンドユーザーとしてモバイルのオペレーティングシステムを切り替える

ユーザーがまだ古いデバイスを所有している場合、その古いデバイス（例えば、Androidデバイス）のパスキーを使用して、新しいデバイス（例えば、iOSデバイス）のアカウントにサインインできます。一度サインインすると、ユーザーは新しいデバイスにあるクレデンシャル・マネージャーでパスキーを作成できます。

ユーザーがFIDOセキュリティキーを所有している場合は、それを使用して新しいデバイスを安全に認証できます。

ユーザーが古いデバイスやセキュリティキーを所有していない場合、サービス事業者は新しいデバイス（異なるベンダーのデバイスであっても）からのサインインを通常のアカウント回復状況として扱い、適切な手順を実行することで、ユーザーはサインインできます。