パスキーを求められるときの対処

この記事でわかること#

• Salesforce にログインしようとしたら、突然「パスキーを作成」と表示されて先に進めない理由
• パスキーの登録手順と、次回からのログイン方法
• ログインできなくなったときの戻り方（本人ができること／ほかの管理者ができること）
• 締め出されないために、今のうちにやっておくこと

いちばん大事なこと：システム管理者は必ず2人以上置き、1人あたり2つ以上のパスキーを登録してください。
パスキーで締め出された管理者は、自分では解除できません。解除できるのは別の管理者か Salesforce サポートだけです。

1. なぜ突然パスキーを求められるのか#

Salesforce は 2026年から、管理者などの強い権限を持つユーザーに「フィッシングに強い多要素認証（パスキー）」を必須にしました。本番組織への適用は 2026年7月から組織ごとに順番に行われたため、ある日いきなり画面が出たように見えます。

次の権限を1つでも持っているユーザーが対象です。

• システム管理者プロファイル
• データをすべて編集（Modify All Data）
• すべてのデータの参照（View All Data）
• アプリケーションのカスタマイズ（Customize Application）
• Apex 開発（Author Apex）

対象のユーザーには「パスキーを作成」の画面だけが表示され、「別の方法を選ぶ」は表示されません。対象外の一般ユーザーは、パスキーの代わりに別の確認方法を選ぶこともできます。

2. パスキーとは#

パスワードの代わりに、手元の機器で本人確認をしてログインする仕組みです。

パスキーはパスワードとは別物です。パスワードを変えてもパスキーは変わりません。

3. 初めて「パスキーを作成」が出たときの手順#

1. いつもどおりユーザー名とパスワードでログインします。
2. 「パスキーを作成」の画面が出たら、作成ボタンを押します。
3. ブラウザまたは Windows の画面で保存先を選びます。ふだん使う自分の PCなら「この PC（Windows Hello）」を選び、PIN や顔で確認します。
4. 登録が終わると、そのまま Salesforce に入れます。

［画像を差し込む：ログイン時の「パスキーを作成」画面（実際に表示されたときに撮影）］

共有 PC・共有のブラウザプロファイルでは登録しないでください。その PC にしか保存されないため、あとで自分の PC からログインできなくなります。

4. 2つ目のパスキーを登録する（必ずやってください）#

1つしか無いと、PC の故障・入れ替え・Windows の再設定でログインできなくなります。ログインできているうちに、スマートフォンを2つ目として登録してください。

1. 右上のアイコンから「設定」（個人設定）を開きます。
2. 「高度なユーザーの詳細」を開きます。
3. スマートフォンを登録する場合はログイン時の画面から、セキュリティキーを登録する場合は「セキュリティキー (U2F または WebAuthn)」の［登録］を押します。
4. 「別のデバイスを使用」「スマートフォンまたはタブレット」などを選ぶと QR コードが表示されます。
5. スマートフォンのカメラで QR コードを読み取り、画面の案内に従って保存します。

画面の表記は、組織の言語設定や Salesforce の版によって少し異なる場合があります。

5. 次回からのログイン#

• 登録した PC から：ユーザー名・パスワードのあと、PIN や顔で確認するだけです。
• 別の PC から：確認画面で「別のデバイスを使用」を選び、表示された QR コードを登録済みのスマートフォンで読み取ります。スマートフォンの Bluetooth をオンにしてください。

6. ログインできないとき（症状別）#

7. ほかの管理者が、締め出された人を助ける方法#

締め出された本人ではなく、ログインできている別の管理者が操作します。

方法A：仮の確認コードを発行する（すぐ入れたいとき）#

1. 設定 → ユーザー → 対象ユーザーを開きます。
2. 「仮の確認コード (1 ～ 24 時間後に有効期限切れ)」の［生成］を押し、有効期限を選びます。
3. 表示されたコードを、電話など本人確認ができる手段で本人に伝えます（メールやチャットに残さないでください）。
4. 本人はログイン時の確認でそのコードを入力して入り、すぐに新しいパスキーを登録します。

コードを発行するには、操作する管理者に多要素認証を管理する権限が必要です。

方法B：使えなくなったパスキーを削除する（PC の入れ替え・紛失のとき）#

1. 設定 → ユーザー → 対象ユーザーを開きます。
2. 画面下部の「組み込み Authenticator」の欄で、使えなくなったパスキーの［削除］を押します。
3. 本人は次回ログイン時に、あらためてパスキーを登録します。

管理者が1人しかいない／全員が締め出されたとき#

Salesforce サポートへ連絡し、1回限りのログインコードを発行してもらいます。本人確認があるため、すぐには発行されません。業務が止まるので、下の「8.」で事前に防いでください。

8. 締め出されないための事前チェックリスト#

• ☐ システム管理者が2人以上いる（お互いに「7.」の操作ができる）
• ☐ 各管理者が2つ以上のパスキーを登録している（PC＋スマートフォン、または PC＋セキュリティキー）
• ☐ パスキーを共有 PC・共有ブラウザで登録していない
• ☐ 日常業務だけのユーザーに、システム管理者や「データをすべて編集」などの強い権限を付けていない（付けると、その人もパスキー必須になります）
• ☐ PC を入れ替える前に、新しい PC のパスキーを追加登録している
• ☐ 退職・異動する管理者がいる場合、後任の管理者が先に登録を済ませている

9. よくある質問#

パスキーの画面を組織全体で出なくすることはできますか？#

できません。管理者などの強い権限を持つユーザーへのパスキー必須化は、Salesforce の仕様です。Salesforce に延長措置（猶予）を申請できる場合もありますが、一時的なもので、適用中でもパスキー作成の画面は表示されます。

締め出された管理者が、自分でパスキーを解除できますか？#

できません。本人がログインできない状態では解除の操作ができないため、ほかの管理者（「7.」）か Salesforce サポートが対応します。

シングルサインオン（SSO）を使っていても出ますか？#

Microsoft Entra ID や Okta などでログインしている場合、SSO 側でフィッシングに強い多要素認証を通していて、その結果が Salesforce へ渡る設定になっていれば、パスキーは求められません。設定はお使いの SSO 側で行います。

一般ユーザーも必ずパスキーが必要ですか？#

強い権限を持たない一般ユーザーは、パスキーの作成画面が出ても「別の方法を選ぶ」から、ほかの確認方法（Salesforce Authenticator アプリなど）を選べます。

参考（Salesforce 公式ヘルプ・英語）#

• Resolve Passkey Login Issues in Salesforce
• MFA and Phishing-Resistant MFA Post-Enforcement Passkey Prompts and Extension Behavior
• Disconnect a Passkey from a User’s Account