医療の世界に、こういう経験はないでしょうか。
昔は常識だった治療が、新しいエビデンスでひっくり返る。
パスワードの世界でも、同じことが起きています。
「記号と大文字を混ぜて8文字以上、90日ごとに変更」。多くの病院の情報システムで、いまも現役のルールです。
ところが、この分野の世界標準である米国NISTのガイドライン（SP 800-63B、2025年7月に第4版が確定）は、複雑性の強制と定期変更の強制を、どちらも廃止しました。理由は明快で、人間はそのルールの下では弱いパスワードを作るというエビデンスが積み上がったからです。医学と同じで、ガイドラインはエビデンスで更新されます。
今回は、自分のアプリのログインを2026年の基準で設計します。
ㅤ
旧常識と新基準の対照表
比較
パスワードの旧常識 vs NIST SP 800-63B-4（2025年確定）
| 論点 | 旧常識 | 現行基準 |
|---|---|---|
| 複雑さ | 記号・大文字・数字を強制 | 強制しない（長さのほうが効く） |
| 長さ | 8文字あればよい | 最低8文字、15文字以上を推奨 |
| 定期変更 | 90日ごとに強制変更 | 強制しない（漏洩の兆候があった時だけ変更） |
| チェック | 形式チェックのみ | 既知の漏洩パスワード一覧と照合して弾く |
なぜ複雑性の強制が消えたのか。
強制された人間は P@ssw0rd! のような、規則は満たすが攻撃者には予測しやすいパスワードを作ります。そして90日ごとの強制変更は P@ssw0rd2! への末尾インクリメントを生む。規則が、弱さを量産していたわけです。
代わりに効くのは長さです。短く複雑な文字列より、長い文章のようなパスフレーズのほうが、機械的な総当たりに強い。
ㅤ
それでも本命は、パスワードをなくすこと
現行基準がいちばん推しているのは、実は良いパスワードではありません。
パスキー（passkey）です。
パスキーは、パスワードの代わりに端末の中の秘密鍵と、指紋や顔認証を組み合わせてログインする仕組みです。利用者は何も暗記しません。そして決定的な利点がひとつあります。
フィッシングが原理的に効かない。
パスワードは、偽サイトに騙されて入力すれば盗まれます。パスキーは本物のサイトのドメインと紐づいており、偽サイトではそもそも動作しない。「気をつける」ではなく「仕組み上できない」。この違いは大きい。
自分のアプリでの実装は、難しくありません。SupabaseやClerkなどの認証サービスは、パスキーやMagic Link（メールのリンクでログイン）を設定で選べます。AIへの指示はこうです。
「ログインはパスワードではなく、パスキー対応（なければMagic Link）で実装して。パスワードを使う場合は、最低8文字・複雑性要件なし・漏洩パスワードリストとの照合ありで」
ㅤ
忘れがちな2つのドア
アプリのログインを固めても、まだドアが2つ残っています。
ドア1: 管理画面そのもの
SupabaseやVercelのあなた自身のアカウントです。ここが破られると、RLSも環境変数も、金庫ごと持っていかれます。
対策はシンプルで、MFA（多要素認証）をオンにすること。Supabase公式の本番チェックリストにも、アプリの利用者向け設定より先に「まず自分の管理アカウントにMFAを」と書かれています。
ドア2: パスワードの使い回し
利用者は、他のサービスと同じパスワードを使い回します。他所で漏れたパスワードで、あなたのアプリに正面からログインされる（リスト型攻撃）。これが、漏洩パスワードとの照合が基準に入った理由です。
明日のアクション
今日中にやる3点
- Supabase・Vercel・GitHubの自分のアカウントにMFAを設定する（アプリより先に自分）
- 自分のアプリのログイン方式を確認し、パスキーまたはMagic Linkへの移行をAIと検討する
- パスワードを残す場合、「複雑性強制・定期変更強制」が入っていたら外す（長さと漏洩照合に置き換える）
ㅤ
今日のまとめ
3行で振り返ります。
- 「複雑なパスワードを定期変更」は現行基準では廃止済み。効くのは長さと漏洩照合
- 本命はパスキー。フィッシングが仕組み上効かないログインを、認証サービスの設定で選べる
- アプリより先に、自分の管理アカウントにMFA。ここが金庫の元栓
セルフチェック
1. NIST SP 800-63B-4（2025年確定）のパスワード基準として正しいのはどれ？
ㅤ
次のレッスン
ドアの守りはできました。次回は、ドアから入ってくるものの話です。利用者の入力欄も、AIの出力も、信用した瞬間に武器になります。インジェクションという古典と、プロンプトインジェクションという新顔をまとめて扱います。
ㅤ
参考・出典
- NIST. "SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management" (July 2025). https://csrc.nist.gov/pubs/sp/800/63/b/4/final
- Supabase公式. "Production Checklist"（管理アカウントのMFA推奨）. https://supabase.com/docs/guides/deployment/going-into-prod
- FIDO Alliance. "Passkeys". https://fidoalliance.org/passkeys/