IDとパスワードを許可していないWordPressのログイン画面です。

そもそもパスキーとは？

サイトに公開鍵を預け、自分の端末（PCやスマホ）に秘密鍵を保存して、両者を照合することで認証するシステムです。分かりにくい…。

初期設定

個人のデバイスや指紋・顔をサーバに登録します。その際にサーバとデバイスとの信頼関係が成立します。

スマホであれば電話番号／個体番号等で1つに特定できますね。指紋や顔は言わずもがな。

「Aさんだ！」と特定できれば良いわけです。物理で。

ID・パスワード方式との差

「IDとパスワードでもAさんを特定できるよね？」

「はい、できます。しかしIDは公開されていたりパスワードは総当たりされたり流出したりしますよね」

個人用デバイスはだいたいロックされていて他の人は使えないし、盗まれたり無くしたりすれば対処できますね。

パスキーの場合は秘密鍵を保存している物体（デバイスだったり＋人物だったり）が無いと認証できません。パスキーで使うPIN（Personal Identification Number）が比較的簡単でも、厳重なセキュリティが確保できるわけです。

デバイスごとに設定が必要

MacやiPhoneではiCloud経由でIDとパスワードのセットを共有できます。

パスキーの場合「物体」に依存しますので、デバイス毎に設定が必要です。

フィッシングに強い理由

パスキーは「サーバ側の公開鍵」と「デバイス側の秘密鍵」のセットで認証します。

つまり偽サイトに誘導されてもパスキーログインであれば、偽サイトは公開鍵を持っていないのでログインできないことになります。そもそも盗める情報が無いし。ログインもせずにクレジットカード番号要求してきたら変だし。

もちろん、ID・パスワードでのログインを要求してくる時点で「アウトだな」と気づけるわけですね。

そうは言っても二段階認証

しかし現状ではまだまだID・パスワードでのログインが主流です。メールやSMS、Authenticatorによる二段階認証は必ず設定しましょう。それでもソーシャルクラッキングによって突破される場合があります。

また、サイトでの「パスワードの保存」を避ける方が多いのですが、フィッシングを避けるためには保存の方がお勧めです。不特定多数の人が利用するPCでなければ、という条件付きですが。

攻撃されたら？！

ID・パスワード

かんたんなパスワードは推測して試される可能性大。

ブルートフォース攻撃（総当たり攻撃）で突破されるかも。回線も使用されるため、サイトが重くなる副次被害も。

一度パスワードが流出すると、他のサイトでも試される（サイト毎にパスワードを変更すべきと言われる由縁）。

メールによる二段階認証

• ID・パスワードを破られても、本人確認が登録メールアドレス（またはSMS）に送られ再認証を求められるため、ID・パスワードのみに比べて安全。
• メール盗聴の可能性あり。

Authenticatorによる二段階認証

• ID・パスワードで認証された後にGoogle Authenticator等のアプリで一時的なコードを生成して入力し、再認証するシステム。
• メールよりも安全だが、ソーシャルクラッキングには無力。「フィッシングメール情報・実例「コードが届くから教えて」は詐欺！」

パスキーの種類

• Windowsで使われているような4〜8桁の英数を打ち込むPIN形式。
• スマホのような顔認証。
• 同じく、指紋認証。
• 同じく静脈認証や網膜認証。
• サイトがQRコードを表示して、それを秘密鍵を保存しているスマホで撮影してパスキー認証する方法。

全く違う手段に見えますが「このデバイスは私のだぞ！秘密鍵と照合してやるよ！」と伝えるというのは全部同じです。

WordPressで使うには

WordPressを、最初からパスキーで使う方法は今のところ無いようです。

しかし一度IDとパスワードでログインしたユーザーが、それ以降はパスキーでのみログインを赦すようにすることは可能です。

色々と試してみたところ、WP-WebAuthnプラグインが使いやすく、十分な機能を提供してくれるようです。

• IDとパスワードでログイン。
• WP-WebAuthnをインストールして設定。
• 「ユーザー」「プロフィール」でパスキーを作成。
• ログアウトしてパスキーでログインできることを確認。ここでログインできない場合は、設定を見直したりパスキーを再作成したりします。
• WP-WebAuthnの設定で、ログイン方法をパスキーに限定します。

使ってみると

• MacではPIN（Macログイン時のコード）でログインできます。
• パスキーログイン時の「詳細設定」ボタン補押すと「QRコードをスキャン」か「セキュリティキーを使用」を選べます。
• 「QRコードをスキャン」を選ぶと、画面にQRコードが表示されます。
• 同一ネットワーク上にありBluetoothをオンにしたスマホでQRコードを撮影し「パスキーを使用」ボタンを押して顔認証します。
• 顔認証が完了するとMacでWordPressにログインできます。
• 「セキュリティキーを使用」はUSBメモリを使用します。念のため設定しておくと良いかもしれません。USBメモリを盗まれたら？と考えるとやらない方が良いのかな？
• もちろん、Windowsでも同様に動作確認済みです。

スマホの場合は

• スマホで、IDとパスワードでログインしてパスキーを追加します。Mac・PCと同じアカウントであっても、デバイス毎に追加が必要です。
• ログアウトしてパスキーでログインします。顔認証一発でログインできます。

パスキーログインのみにした後でログインできなくなったら？

FTPでWP-WebAuthnのフォルダ名を変更してしまえば無効化できます。

その他

Simple CAPTCHA with Cloudflare Turnstileとの共存を確認しました。

WP 2FAにもパスキー設定機能がありますが、どうにもうまく動作しません。一度動いても、翌日には「クッキーが一致しません」等の意味不明なメッセシーが出ました。また、ログインをパスキーのみに限定するにはProバージョンの購入が必要です。