パスワード管理のベストプラクティス

本記事が扱う範囲

管理の話題は、どの道具を選ぶか、暗号方式をどう評価するか、選んだ道具をどう回すかの3層に分かれます。本記事が扱うのは3層目の運用だけです。

• 製品の比較はパスワード管理アプリの選び方で扱っています。
• 鍵導出や監査の読み方はパスワードマネージャーの安全性を評価する6つの基準で扱っています。特定製品の推薦や採点は行いません。

「定期的に変更する」運用は、なぜ標準から外れたのか

「90日ごとに変更」は、現在の標準文書では推奨されません。詳細はパスワードの定期変更が必要な条件で扱っています。ただし「変更しなくてよい」ではなく、引き金が差し替えられたと理解するのが正確です。

NIST SP 800-63B-4の第3.1.1.2節は「購読者にパスワードを定期的に変更することを要求してはならない（SHALL NOT）」と定め、続けて「認証器が侵害されたという証拠がある場合は変更を強制する（SHALL）」としています。

英国NCSCは2016年の解説記事で、強制変更が新しい値を「古い値に似たもの」「書き留めたもの」へ誘導すると説明しています。総務省のサイバーセキュリティサイトも、流出した事実がなければ変更は不要としています。

周期で強制していた組織では、その周期が気づいていない漏えいの保険になっていました。廃止する前に、漏えい通知の受信を用意してください。

管理手段ごとの性質を並べる

管理手段は、専用アプリ、ブラウザ標準、紙への記録、使い回しの4つに大別できます。影響範囲、端末紛失時、共用端末、復旧手段の4観点で並べると、どこで妥協しているかが見えます。

表1：管理手段別の比較（4つの運用観点）

どの観点でも不利なのは使い回しだけです。残る3つは条件付きで成立し、目標は使い回しをやめ、3つの弱点を手順で埋めることになります。

表1は、NIST、英国NCSC、総務省の記述と一般的な実装を当サイトが整理したものです。製品ごとの実装は異なります。

変更すべきタイミングを、イベントで決める

定期変更を外すと「いつ変えるか」を別の基準で決める必要があります。NISTの第4.5節は、認証器の無効化を、アカウントの消滅、本人の求め、侵害の判明、資格要件の喪失という契機で整理しています。

表2：「変更すべきタイミング」の整理

「一定期間が経過しただけ」は変更の理由にならないと決めておくと判断がぶれません。上の6行は、曜日ではなく出来事で起動します。

サービス側に求められる運用要件を読む

利用者側の運用は、サービス側の実装に制約されます。保存や自動入力を拒むサイト、最大文字数が短いサイトでは限界があります。

表3：NIST SP 800-63B-4のパスワード関連要件（運用に関わる部分）

レート制限の100回は上限であり、100回試してよい意味ではありません。英国NCSCはロックアウトより段階的に待ち時間を延ばすスロットリングを優先し、ロックアウトでも5回から10回程度を推奨しています。

保管側の要件は、外からは確認できない

入力した値の保存方法は画面からは分かりません。保存側が弱ければ、長い値もオフラインの総当たりで解読されうるためです。

表4：保管側（サービス事業者）の要件

NISTは、ソルト32ビット以上、ソルトとハッシュの両方の保存、使用した方式とコストファクタへの参照の保存を求めています。OWASPはArgon2idでメモリ19MiB以上・反復2回・並列1、bcryptでワークファクタ10以上、PBKDF2で60万回以上とHMAC-SHA-256を示しています。Argon2の仕様はRFC 9106です。この層を直接検証する方法はないため、弱い値を登録時に拒否するか、変更時に通知が届くかで判断します。生成側の設計は安全設計と実装方針で公開しています。

共用端末・家族・職場での運用

NCSCは、アカウントの共有が「誰が何をしたかを追跡する」利点を失わせるとし、権限の委任で代替することを勧めています。共有が避けられない場合も、アクセスを許可されなくなった人が出た時点で値を変更することを求めます。

家庭の共用端末では、ブラウザのプロファイル分離が第一歩です。GoogleのヘルプはGoogleアカウントへの保存とデバイスへのローカル保存を分けて説明し、AppleはWindowsでブラウザ拡張機能を通じてiCloudパスワードを使えると説明しています。職場では、値の変更より先にアカウントを使えなくします。

復旧手段を、使い始める前に決める

管理を1か所に集めるほど、失ったときの影響が大きくなります。表1の復旧手段の欄が示すとおり、復旧は提供元の手順に依存します。使い始める前に、再設定経路と復旧コードの保管場所を確認してください。

認証アプリを入れた端末を失うと、復旧コードがなければログインできません。NISTは、復旧コードのような参照型の秘密を使い切りとし、ハッシュ化して保存することを定めています。利用者側では、保管庫とは別の場所へ施錠して保管するのが現実的です。CISAは、フィッシング耐性のある方式を最も安全な多要素認証としています。

なぜ当サイトは「パスワードを保存する機能」をあえて持たないのか

パスワード生成サービスの中には、生成した履歴をアカウントに紐づけて保存できるものもあります。しかし当サイトは、意図的にそうした保存・同期機能を実装していません。理由は2点です。

①攻撃対象（アタックサーフェス）を作らないため。パスワードをサーバーに保存する機能を作った時点で、そのサーバー自体が「破られたら大量のパスワードが漏えいする」新たな標的になります。当サイトは生成ロジックがブラウザ内のcrypto.getRandomValuesで完結し、生成結果を当サイトのデータベースへ保存しないため、保管したパスワード一覧が一括流出するリスクを減らせます。ただし、配信スクリプトの改ざん、悪意のある拡張機能、端末のマルウェア、画面やクリップボードからの漏洩までゼロになるわけではありません。

②「生成」と「保管」は本来別の専門ツールが担うべき役割だと考えているため。保管・自動入力・端末間同期は、その用途に最適化された管理アプリやブラウザ内蔵機能に任せる方が安全です。当サイトは「その場で強力なパスワードを作る」という一点に絞ることで、会員登録やアカウント管理の手間をなくしています。

この設計には引き換えに失うものもあります。当サイトは、生成した値の保管、同期、漏えいの監視、アカウントの復旧を提供しません。表1でいえば復旧手段の欄が空の道具です。

生成ツールを安全な管理手順へ組み込む

生成ツールは、保管、共有、失効、漏えい監視を代行しません。候補を作り、管理アプリへ保存し、多要素認証を設定するまでを1つの手順にします。主な補助機能は標準パスワード生成ツールでそのまま使えます。

• 4〜128文字と必含ルール：利用先の許可範囲内で、長さと文字種を指定
• 先頭文字・除外文字：古い業務システムの制約へ合わせるときだけ利用
• 設定共有：URLで共有するのは生成条件だけで、生成結果は含まない
• 強度表示：一様ランダム・オフライン総当たりという仮定の計算値
• QR表示：対面など独立した経路で一時的に移す用途

候補の文字構成はパスワード強度チェックで確認できます。複数アカウント分は一括生成ツールで作り直し、表2の運用と組み合わせます。平文の表形式ファイルを残さないよう、Excelでのパスワード管理の落とし穴も確認してください。

よくある質問

まとめ

運用は3つの順序で組み立てます。使い回しをやめ、サービスごとに固有の長い値を使う状態を作る。変更の引き金を定期ではなく、漏えい、不審なログイン、共有相手の変化、端末の紛失、退職といったイベントに置き換える。使い始める前に復旧手段を確認し、多要素認証を有効にする。

本記事の調査範囲と限界

• 本記事は特定の製品を評価していません。表1は類型ごとの性質の整理で、個別製品の採点ではありません。製品の選択はパスワード管理アプリの選び方を参照してください。
• NIST SP 800-63B-4は、民間のサービスに法的義務を課すものではありません。同文書は米国の連邦機関には義務づけられますが、非政府組織にとっては任意（voluntary）に用いられる資料と明記しています。国内サービスへの拘束力はなく、総務省などの資料が同じ方向性を示すという位置づけで参照しています。
• 表1と表2は、公的資料の記述を当サイトが整理したものです。評価は製品や環境で変わります。15文字は単一要素の場合の下限で、多要素認証の一部なら8文字以上です。
• 保管側の要件は、実装を検証したものではありません。表4は仕様書が求める水準の整理です。漏えい検知も通知に依存します。確認日は2026年9月17日です。

参考資料

• NIST SP 800-63B-4（Digital Identity Guidelines）
• NIST SP 800-63B-4 公開PDF（DOI経由）
• 総務省・国民のためのサイバーセキュリティサイト「安全なパスワードの設定・管理」
• 英国NCSC・Password policy: updating your approach
• 英国NCSC・The problems with forcing regular password expiry
• OWASP・Password Storage Cheat Sheet
• RFC 9106・Argon2 Memory-Hard Function for Password Hashing
• CISA・Implementing Phishing-Resistant MFA（ファクトシート）
• Google Chrome ヘルプ・Chrome でパスワードを管理する
• Apple・Windows用iCloudユーザガイド「iCloudパスワードを設定する」

著者・編集：passwordgenjp.com 情報セキュリティ研究チーム。公開資料の確認日：2026年9月17日。