セキュリティ

楽天証券もドコモも「非対応」、世界のパスキーリストの死角

情報の灯台

2026年6月25日 11:2700

世界で最も使われるサイトのうち、パスキーをまだ用意しないところを名指しする。そんなサイトが公開された。日本のページは厳しい。上位25のうち21が「非対応」と並ぶ。ところが、楽天証券もNTTドコモも、本当はパスキーでログインできる。必須化にまで進んでいる。

パスキー「非対応」の名指し

whynopasskeys.comというサイトが公開された。作ったのは、セキュリティ研究者のスコット・ヘルム（Scott Helme）。世界の人気サイトを順に並べ、どこがパスキーに対応し、どこが対応していないかを一覧にする。

前例がある。2017年、ヘルムはトロイ・ハント（Troy Hunt）とともにwhynohttps.comを作った。HTTPSへ切り替えていないサイトを集め、誰の目にも見える形で並べた。狙いは単純だった。ヘルム自身の言葉では「誰もそこに載りたくない。リストは驚くほど人を動かす」。実際、HTTPSは数年で「あれば良い」から「なければ困る」へ変わった。この名指しは、その動きを後押しした。今度はそれをパスキーでやる。ドメインはハントが提供し、その続編ができた。

世界の数字はこうだ。上位25サイトのうち6つ（24%）がパスキーを用意していない。Instagram、Netflix、Spotify。数億から十数億のアカウントを抱えながら、アカウントを守るのはパスワードと、あっても多要素認証だけだ。Apple、Google、Microsoft、Amazonは対応済みの緑とされる。リストはさらに細かい。パスワードを完全になくし、パスキーだけでログインできるサイト。パスワードを残し、パスキーを二要素目に足すだけのサイト。この二つを分けている。

日本のページは厳しい

上位25サイトのうち、21が「非対応」と出る。ログインを持つ24サイトに対して88%にあたる。緑なのはYahoo! JAPAN、Amazon、Googleの三つだけ。赤は楽天、NTTドコモ、DMM、ZOZO、そして楽天証券まで並ぶ。

なぜ日本の対応がリストに出ないのか

だが、「非対応」と名指しされたサイトを開いてみると、実態が合わない。

楽天証券。ログイン画面には、今この瞬間も「パスキーでログイン」のボタンがある。同社は2026年6月以降、ログイン時のパスキー認証を順に必須化すると発表した。証券口座だ。顧客の資産を預かる会社が、ログインのパスワードを段階的になくしていく。それが「非対応」とされている。

楽天グループも2026年1月からパスキーの導入を進め、楽天モバイルは6月16日、設定を済ませたユーザーのパスワードログインを止めた。NTTドコモはdアカウントの認証をパスキーへ統一すると発表し、オンラインショップの一部手続きはパスキーなしに先へ進めない。いずれも、リストでは赤いままだ。

赤で並ぶのは、パスキーを持たない日本のサービスではない。パスキーを持っているのに、リストがまだ把握していない日本のサービスだ。

把握できない理由

理由はリストの作りにある。どのサイトがパスキーに対応しているかのデータはこのサイトの自前ではない。passkeys.directoryという、有志が手で維持する別の一覧から引いている。そして対応の有無は、外から自動で見分けられない。ログインの内側でしか動かないからだ。その限界を、ヘルムは先に認めている。参照元のディレクトリが拾えていないものは、リストにも正しく出ない。

日本のサービスは、自社の日本語ページでパスキー導入を告知した。その知らせが、英語圏の有志が更新するディレクトリにまだ届いていない。結果として、必須化まで進んだ日本の対応が、世界向けの集計には出てこない。

ヘルムはむしろ訂正を歓迎している。対応しているのに非対応と出ているなら、passkeys.directoryに申請すれば直る。自分はこのリストが時間とともに「不正確」になってほしい（赤から緑へ移ってほしい）、とまで書いている。