パスキー時代の復旧用メールアドレスの使い分け

2026年現在、多くのサービスでパスキーがログインボタンの最も目立つ位置に表示されるようになりました。指紋やデバイスのロック解除だけでアカウントに入れるため、もうパスワードを忘れる心配はないように思えます。しかし、スマートフォンの買い替え、同期アカウントの紛失、会社支給デバイスの返却、セキュリティキーの故障が起きたとき、サービスは何らかの方法で「本人であること」を確認しなければなりません。メールは、その最後の復旧経路になることが多いのです。

そのため、匿名メールを使うかどうかは、登録時の便利さだけで決めるべきではありません。将来アカウントを失った場合の損失、メールが届くまでの時間、そしてそのアドレスを管理できる期間まで考える必要があります。ここで紹介する方法は「すべてを1種類のメールで済ませる」ものではなく、関係性に応じて異なる階層に分ける考え方です。

パスワードレスアカウントにもメールが必要な理由

パスキーが解決するのは認証の問題です。推測や転送が可能なパスワードを公開鍵暗号に置き換えます。一方、復旧フローが扱うのは、認証情報がすべて使えなくなった後の本人確認と再設定であり、両者は別物です。サービスは、新しいデバイスからのログイン通知、アカウント削除の確認、高リスク操作の承認、有人審査の結果通知などにメールを使うことがあります。

見落としやすいのが「移行のすき間」です。古いスマートフォンを初期化した後で、パスキーが同期されていなかったことに気づくかもしれません。個人アカウントの認証情報を、会社が管理するブラウザに残してしまうこともあります。そんなとき、継続して受信でき、単独で停止できる復旧用アドレスは、ログインを何度も試すより価値があります。

判断の原則：ログインが簡単になるほど、復旧手順を明確にしておく必要があります。便利さを理由に、復旧用メールの有効期間を軽視してはいけません。

復旧用メールの3階層モデル

まず、ウェブサイト名ではなく、アカウントを失ったときの損失で分類します。同じサイトでも、ユーザーによって階層は異なります。一度だけ試すデザインツールなら短期タスクですが、顧客ファイルを保存した瞬間に継続的な関係へ変わります。

短期タスク層：終わったら戻る必要がないもの

アカウントに保存する価値がある情報がなく、数分で手続きが完了し、今後パスワードのリセットも必要ない場合は、使い捨てメールの受信トレイを使えます。公開資料の入手や、リスクの低い無料トライアルの確認などが該当します。完了後、このアドレスを重要なアカウントに追加しないでください。デバイス移行後の最後の頼みの綱にするのも避けましょう。

停止可能層：継続受信は必要だが、メインメールは公開したくないもの

ショッピングサイト、コミュニティ、一般的なツールからは、数か月後に注文確認やセキュリティ通知が届くことがあります。送信元ごとに転送エイリアスを作れば、受信を継続しながら、情報漏えいや過剰なマーケティングがあった場合も、その送信元だけを停止できます。メール転送ページに進んだら、エイリアスには送信元に基づく名前を付け、用途を記録しておきましょう。後になって、どのアカウントへの影響を止めるのか分からなくなるのを防げます。

重要な復旧層：自分が長期的に管理するもの

金融、医療、仕事、ドメイン登録業者、デバイス連携サービスのアカウントに、一時的なアドレスは適していません。長期的に保持できるメールを選び、2本目のセキュリティキー、復旧コード、または信頼できる連絡先を設定しましょう。復旧コードは、同じメールや同じデバイスだけに保存せず、オフラインで保管してください。

今あるアカウントを5つの質問で点検する

1. アカウントを失うと、何を失いますか？再ダウンロードできる公開資料だけですか。それとも、お金、本人確認情報、何年分ものコンテンツまで失いますか？
2. 復旧メールはいつ届きますか？即時の認証コードは短時間の手続きに向いていますが、有人審査には数日かかることがあります。
3. アドレスの有効期限が切れた後でも変更できますか？メールアドレスの変更に先にログインが必要なら、無効になったアドレスによって復旧不能のループに陥ります。
4. 第2の復旧手段はありますか？セキュリティキー、復旧コード、信頼済みデバイスは、「設定済み」と表示されるだけでなく、本当に使えますか？
5. メールの送信元を個別に止められますか？独立したエイリアスなら被害を抑えられますが、メインメールを共用する場合はフィルタールールに頼るしかありません。

答えはパスワードマネージャーのアカウントメモに記録しましょう。ただし、パスキーの秘密鍵そのものは保存しないでください。スマートフォンや仕事用デバイスを交換するたびに、まず重要な復旧層を確認し、その後で低リスクの購読サービスを整理します。

デバイス交換前後の手順

移行前に、古いデバイスで少なくとも2種類のログイン方法が使えることを確認し、復旧用メールでセキュリティ通知を受信できるかテストします。次に復旧コードを書き出すか控え、メール自体の2要素認証を確認してから、最後に古いデバイスを消去してください。「新しいデバイスでよく使うアプリをいくつか開ける」だけで移行完了と判断してはいけません。

移行後は、重要なアカウントから順にパスキーを確認します。新しいデバイスからのログイン通知が表示されたら、時刻、地域、デバイスが想定どおりか確認してください。メールがなかなか届かない場合は、受信トラブル解決の手順に従ってアドレス、送信操作、キューの遅延を確認し、すぐに認証コードを大量に連続送信しないでください。

よくある3つの誤解

誤解1：パスキーがあれば復旧用メールは不要

パスキーはフィッシングのリスクを下げますが、デバイスの紛失や同期の失敗は起こり得ます。復旧用メールはパスワードの代わりではなく、認証情報がすべて使えなくなったときの独立した保険です。

誤解2：匿名アドレスはすべて短期間で失効させるべき

匿名性とは実際のアドレスの公開を減らすことであり、数時間後に必ず失効させることではありません。継続的な関係には停止可能な転送エイリアスが適しており、短期アドレスは本当に短期間で完了するタスクだけに使うべきです。

誤解3：すべてのサイトで同じ転送エイリアスを使う

エイリアスを共用すればメインメールは隠せますが、送信元の特定と個別停止の機能を失います。サイトごとに別のエイリアスを使えば、漏えい元を特定しやすくなり、ノイズの多い送信元を停止しても他のアカウントに影響しません。

2026年版 復旧用メールチェックリスト

• 重要なアカウントには長期管理できるアドレスを使い、使い捨てメールは使わない。
• 一般的な継続利用サービスには、サービスごとに1つの転送エイリアスを使う。
• 使い捨てメールは、有効期間内に完了できる低リスクのタスクだけに使う。
• メールに依存しない復旧手段を少なくとも1つ用意する。
• デバイス移行前に受信をテストし、設定画面だけで判断しない。
• 半年ごとに、重要なアカウントのアドレス、キー、復旧コードを確認する。

使い分けの目的は管理の負担を増やすことではなく、それぞれのメールに有効期間に見合った役割を持たせることです。まずは最も重要な5つのアカウントから始め、過去の登録情報を1日ですべて整理する必要はありません。