1Passwordはなぜ安全？仕組みをやさしく解説｜一人社長がまずパスワード管理から始める理由

一人会社のログイン情報は、思った以上に多くなります。ネットバンキング、法人カード、会計ソフト、e-Tax、レンタルサーバー、ドメイン、取引先とのやり取りに使うメール。どれか一つが破られると、お金や信用に直結するものばかりです。

私も事業用のログイン情報は1Passwordにまとめています。セキュリティに割ける時間が少ないなら、まずここから手をつけるのがいちばん効くと思っています。この記事では、「全部預けて本当に大丈夫なのか」を、1Passwordの公式資料に書かれている仕組みから確かめていきます。

この記事の要点

1Passwordに保存したデータは、自分の端末の中で暗号化されてから送られます。運営会社はアカウントパスワードもSecret Keyも持っていないので、中身を読めません。
鍵は「自分が覚えるアカウントパスワード」と「端末で作られる34文字のSecret Key」の2つを組み合わせて作られます。サーバーの情報が盗まれても、それだけでは解読できない作りです。
ログインのときもパスワードそのものは送られません（SRPという方式）。
Watchtowerで使い回しや流出したパスワードを見つけられ、パスキーや二段階認証のコードもまとめて管理できます。

そもそも、なぜパスワード管理から始めるのか
中身が運営会社にも見えない仕組み
ふだん役に立つ機能
個人・ファミリー・ビジネスの違い
経費にするなら
まとめ
参考にした情報

そもそも、なぜパスワード管理から始めるのか

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、規模に関わらずやってほしい基本対策を「情報セキュリティ6か条」としてまとめていて、その3つ目が「パスワードを強化しよう！」です。

パスワードを強くするというのは、長くて推測されにくいものを、サービスごとに別々に使うということです。覚えて回すのは無理があるので、そこをパスワード管理アプリに任せます。一度入れてしまえば、あとはふだんのログインのついでに対策が進んでいくのが、忙しい一人社長には向いているところです。

中身が運営会社にも見えない仕組み

「パスワードを全部預けて大丈夫なのか」という不安には、1Passwordのセキュリティの解説（ホワイトペーパー「1Password Security Design」）がそのまま答えになっています。

覚えるパスワードとSecret Keyを組み合わせ、端末で暗号化し、サーバーには暗号化データだけが届く流れの図

エンドツーエンド暗号化

ホワイトペーパーによると、暗号化に使う鍵はすべて利用者の端末で作られ、暗号化も端末の中で行われます。1Passwordのサーバーに届くのは、すでに暗号化されたデータだけです。保管庫の中身は、256ビットの鍵を使うAESという方式（GCMモード）で暗号化されています。

通信の途中でも、暗号化済みのデータをさらにTLSと1Password独自の暗号化で包んで送っていると説明されています。

アカウントパスワードとSecret Keyの2つで鍵を作る

1Passwordを開くときに入力するのはアカウントパスワードですが、実際の鍵はもうひとつの秘密と組み合わせて作られています。それがSecret Keyです。

Secret Keyは34文字の英数字で、アカウントを作った端末の中で生成されます
運営会社は記録を持っておらず、復元もできません
一度ログインした端末と、「Emergency Kit」というPDFに保存されます

ホワイトペーパーではこれを「two-secret key derivation（2SKD）」と呼んでいます。人が覚えるパスワードはどうしても強さに限りがあり、公式のサポートページでは平均で約40ビット程度とされています。Secret Keyは覚える必要がないので128ビットの強さがあり、総当たりで当てるのは現実的ではありません。

この仕組みのおかげで、仮に1Passwordのサーバーからデータが盗まれても、Secret Keyがなければパスワードを当てる攻撃そのものが成り立たない、というのが公式の説明です。アカウントパスワードは、PBKDF2という方式で何十万回も計算を重ねて、推測しにくくしてから使われています。

裏返すと、Secret Keyをなくすと自分でも開けなくなります。Emergency Kitを印刷するか、安全な場所に保存しておくことが大事です。

パスワードを送らずにログインする（SRP）

ふつうのWebサービスでは、ログインのときにパスワードをサーバーに送ります。1PasswordはSecure Remote Password（SRP）という方式を使っていて、パスワードをインターネットに流さずに本人確認をします。ホワイトペーパーでは、運営会社がアカウントパスワードや鍵を知る立場に一度もならないことを「Server ignorance」と表現しています。

1Passwordは、日本ではソースネクストからも「1Password 3年版」として販売されています。ソースネクストの製品ページでは、製品の機能はメーカー公式サイトで販売している1Passwordと同じで、使える端末の台数にも制限がないと説明されています。3年分をまとめて払うかどうかは、公式サイトの料金と比べて決めるのがよいと思います。

ふだん役に立つ機能

Watchtower

保存しているログイン情報の中から、流出が報告されたサービス、弱いパスワード、使い回しなどを知らせてくれる機能です。

流出したパスワードかどうかの確認では、パスワードから作ったハッシュ（40文字）のうち、最初の5文字だけを外部のサービス（haveibeenpwned.comのPwned Passwords）に送り、照合は端末の中で行います。パスワードそのものは、運営会社にも外部のサービスにも送られません。

使ってみた感想は1Password 8を使った感想に書いています。

パスキーと二段階認証のコード

1Passwordにはパスキーを保存して、ブラウザでそのままログインに使えます。パスキーに切り替えられるサイトは、Watchtowerから探せます。

二段階認証の6桁のコード（ワンタイムパスワード）も、ログイン情報と一緒に保存できます。サイト側で二段階認証を設定するときに出るQRコードを1Passwordで読み取る流れです。

銀行や会計ソフトのように、二段階認証をスマホの別アプリやSMSに分けておきたいアカウントもあると思います。どこまで1Passwordにまとめるかは、自分で決めておくと迷いません。

AIエージェントにパスワードを渡さずにログインさせる（2026年10月発表）

1Passwordは2026年10月22日に「1Password for Agents」を発表しました。AIエージェントがログイン画面に来ると1Passwordに使いたいログイン情報を伝え、利用者が自分の端末で承認すると、1Passwordが直接入力する仕組みです。公式の説明では、パスワードはエージェントに渡されません。

発表時点では、1Password.comの個人向け・ファミリーのアカウントで追加料金なしで使え、対応するエージェントは連携先ごとに順次広がるとされています。AIに経理や事務の作業を任せ始めた方は、ログイン情報をチャットに貼りつける前に、こうした仕組みがあることを知っておくと安心です。

個人・ファミリー・ビジネスの違い

プラン	向いている使い方	公式で案内されている主な特徴
個人向け	社長一人で使う	パスワードの生成・自動入力、Watchtowerの警告、全端末での利用
ファミリー	家族の分もまとめる	最大5人まで。それぞれが自分のアカウントパスワードを持ち、管理者が家族のアカウント復旧を手伝える
ビジネス	社員や外注先と共有する	保管庫ごとの細かい権限設定、監査ログ、グループごとの役割分担、組織全体のセキュリティレポート

一人会社で社員がいなければ、個人向けで足りることが多いと思います。経理を家族に手伝ってもらうならファミリー、外注先とログイン情報を共有するならビジネスが候補です。料金は為替や改定で変わるので、申し込む前に公式の料金ページで確かめてください。料金が上がったときに見直す順番は1Passwordのサブスク代が高くなったときの確認順にまとめています。

経費にするなら

事業で使う1Passwordの利用料は、通信費や支払手数料で処理するのが一般的です。毎年同じ科目で続けることが大切です。領収書の確認場所と仕訳は、1Passwordの領収書の確認方法と仕訳に詳しく書いています。

まとめ

1Passwordは、データを端末で暗号化し、アカウントパスワードとSecret Keyの2つがそろわないと開けない作りになっています。運営会社にも中身が見えないので、銀行や会計ソフトのログインもまとめて預けやすい仕組みです。

セキュリティに時間をかけられないなら、よく使う銀行・メール・会計ソフトの3つを登録して、Watchtowerの警告を一つずつ片づけるだけでも守りは一段上がります。

ソースネクストの3年版を見てみるなら、こちらから確認できます。1password