物理キー（ハードウェアキー）とは、PCやサーバーへログインする際の本人確認に使う、物理的な認証デバイスのことです。キーホルダーのように持ち運べる小さな機器で、MFAデバイスやセキュリティキーとも呼ばれます。多要素認証の方式全体の見取り図は多要素認証(MFA)の基本で扱っているため、この記事ではハードウェアキーそのものに絞って、仕組み・ソフトウェア方式との違い・運用上の注意点・選ぶ際の確認ポイントを整理します。
「ハードウェアキー」には別の意味もあります
検索すると、この言葉がまったく別の製品を指す情報も出てきます。先に切り分けておきます。
| 呼び方が同じもの | 何のためのものか |
|---|---|
| ライセンス保護のUSBドングル | CADなどソフトの不正利用を守る。人の本人確認ではない |
| キーボード・スマホの物理キー | 押し込めるボタンのこと。認証とは無関係 |
| 離席時にPCをロックするUSBキー | 抜くと画面がロックされる。ログイン時の本人確認を強くするものではない |
| この記事のハードウェアキー | ログイン時の本人確認に使う認証デバイス（セキュリティキー、MFAデバイス、MFAドングル、物理キー） |
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
ハードウェアキーとは何か
認証の要素は、知っていること（パスワード）、持っているもの、本人の特徴（生体情報）に分けられます。ハードウェアキーは「持っていること」を証明する要素で、パスワードだけを知る第三者ではログインできない状態をつくれます（パスワード漏洩の影響）。
ハードウェアキーの仕組みのイメージ
ログインのたびに行われるやり取り
- 1
PCが問いかける
ログインのたびに違う内容
- 2
キーを挿す・触れる
利用者の動作はこれだけ
- 3
キーが応答を返す
鍵はキーの外に取り出せない
- 4
応答が正しければログイン
毎回変わるので使い回せない
やり取りを横取りしても、そのまま使い回せる形になっていないのが特徴です。都度変わる値の考え方はワンタイムパスワードの仕組みで解説しています。
認証アプリなどソフトウェア方式との違い
ハードウェアキーとソフトウェア方式（認証アプリ・ワンタイムパスワード）
ハードウェアキーの注意点
- 紛失・故障のリスクがある
- 人数分の調達・配布の手間とコスト
ハードウェアキーの強み
- コードを人が読んで打ち込む工程がない
- 私物スマホを持ち込めない職場でも使える
どちらが優れているかではなく、業務と現場の条件で選ぶものです（スマホを使わない2要素認証・多要素認証の基本）。
PCログインで使う場合に特有の論点
クラウドサービスへのログインとは異なり、PC本体やサーバーへのログインで使う場合は、事前に確認しておきたい点が増えます。
| 確認すること | なぜ必要か |
|---|---|
| OSへのログイン自体に使えるか | Webサービスに使えても、OSのログイン画面で使えるかは別 |
| 社内サーバー・リモートデスクトップでも使えるか | リモート接続の経路でも同じ運用ができるか |
| ネットワークなしで動くか | 持ち出したノートPCや通信が不安定な環境でもログインできるか |
実際にWindowsのログインへ2要素認証を導入する手順や必要な前提についてはWindows OSログインに2要素認証を導入する方法で解説しています。特に権限の強いアカウントを対象にする場合はWindows Serverの特権アカウント管理もあわせて確認してください。
規格の違い FIDO2・U2F・PIVは何が変わるのか
製品ページには「FIDO2対応」「U2F対応」といった表記が並びます。この違いは、そのキーで何ができるかを決めるため、選定の最初に押さえておくと迷いが減ります。
| 規格 | できること | 実務上の意味 |
|---|---|---|
| U2F | パスワードに「もう一要素」を足す用途 | パスワードは残る。2要素目としてのみ使える |
| FIDO2 / WebAuthn | U2Fの用途に加え、パスワードを使わないログインにも対応 | 将来的なパスワードレス化を視野に入れるならこちら |
| PIV / スマートカード | 証明書を使った認証。Windowsログインで使われることが多い | Active Directory環境との組み合わせで選択肢に入る |
注意点として、「FIDO2対応」と書かれていても、それだけでWindowsのOSログインに使えるとは限りません。Webサービスへのログインに対応しているという意味であることが多いためです。OSログインで使いたい場合は、規格名ではなく「Windowsのサインインに対応しているか」を製品側に直接確認してください。
接続方式の選び方
同じ規格でも挿し方・かざし方が異なり、間違えると「使えない端末がある」事態になります。
| 接続方式 | 向いている端末 |
|---|---|
| USB-A | 据置きのデスクトップPC、古い世代のノートPC |
| USB-C | 近年のノートPCやSurface（こちらのみの場合あり） |
| NFC（かざす） | スマートフォンやタブレットでも使いたい場合 |
| Bluetooth | 挿す口がない端末。充電やペアリングの手間が加わる |
端末が複数世代にまたがるなら、USB-A・USB-Cの両対応品か、変換アダプタの併用が運用を楽にします。
費用の考え方
キーは端末ではなく人に紐づくため、基本は「利用者数 × 単価」です。実際にはこれに次の費用が加わります。
| 加わる費用 | 内容 |
|---|---|
| 予備キー | 一人2本登録すると単純に2倍 |
| 入れ替わり | 入社のたびに追加購入。年間の採用人数を見込む |
| 登録作業の工数 | 初期登録は一人ずつ。拠点が分かれると段取りが増える |
| 受け付ける側 | OSログインへ多要素認証を入れるソフトウェア・サービス側の費用が必要な場合がある |
価格は製品や時期で変動するため、必ず最新の見積もりを取ってください。費用構造と予算の説明材料は 2要素認証の費用は何で決まる？にまとめています。
導入してから気づきやすい失敗
| 失敗 | 避け方 |
|---|---|
| 全員ぶんを一度に買う | まず数本で対象端末での動作を検証してから展開 |
| 予備キーがない | 1本だけだと紛失・故障でその人が業務できなくなる |
| 回収の手順が抜ける | キーの回収とシステム側の登録解除を両方行う |
| 例外運用が固定化する | 「忘れたらパスワードだけで入れる」を認めると恒常的な抜け道になる |
運用面で決めておきたいこと
キーは物理的なモノなので、運用ルールを先に決めないと現場が止まる原因になります。導入前に次の4点を決めます。
導入前に決めておく運用
- 1
予備キーの登録
一人に複数登録し、片方を失っても業務を続ける
- 2
紛失・故障時の復旧手順
誰が受け、どう本人確認し、何日で再発行するか
- 3
退職・異動時の回収と解除
キーの回収とシステムの登録解除の両方
- 4
貸与管理台帳
誰にどのキーを渡したかを記録
貸与品として管理する考え方はモバイル・PCのID管理で整理しています。
選ぶ際の確認ポイント
製品ごとの比較や選定チェックリストは多要素認証製品の選び方に譲り、ここではデバイス特性の観点から見るべき点を挙げます。
- 自社の対象端末で使えるか — 手元のPCやノートPCの接続方法に合うか、機種によって使えないものがないか
- OSログインに対応するか — Webサービス向けだけでなく、業務で必要なログイン先を満たせるか
- 紛失時の運用が現実的か — 予備キーの登録や再発行の流れが、自社の体制で回せる範囲か
- 管理・配布の手間 — 初期の登録作業を誰が行うか、拠点が分かれている場合の配布方法
- 既存のID管理との連携 — 現在のアカウント管理の仕組みと突き合わせられるか(アカウント管理システムの基本も参照)
入れたあと日々の仕事で変わること
キーを選ぶときは、ログインの強さだけでなく、導入後の手間も比べておくと迷いません。物理キーは、入社のたびの追加購入、紛失の連絡を受けての再発行、退職時の回収と、モノの出し入れが続きます。本人のスマホを鍵にする方式なら、退職・異動のときは席まで行かずにスマホの登録を外すだけで済みます。あわせてログイン記録を1か所で見られるようにしておけば、取引先のチェックシートや監査で聞かれたその日に、誰がいつどのPCに入ったかをCSVで出せます。
いまの運用を棚卸ししてみる
ハードウェアキーが自社に合うかどうかは、対象となる端末や業務、現場の運用体制によって変わります。applippliの無料棚卸しでは、10問・約3分で、自社の認証・アカウント管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。