認証の現代：パスキー、OIDC、セッション - 真のショートリスト

セキュリティと信頼 Jul 11, 2026 at 17:195ブックマークに追加

Un thread HN人気の投稿が2026年にアプリをどのように認証すべきかという問題を再燃させている：「JWT + refresh token」という答えはもはや通用しない。整理された概観をお届けする。

簡単に言うと

2026年には、Webアプリケーションの認証方法の「正しい」やり方は2つの質問にかかっています：(1) B2Cの一般消費者向けアプリか、B2BのSaaSか？ (2) 独自のIdPを運用する準備ができているか、それともプロバイダーに委ねるか？ 2020年代中期のパターン（JWTステートレス + localStorageでのリフレッシュ）は、正当な理由により時代遅れとなっています。

事の次第

HNのスレッドでは古典的な議論が再燃し、興味深い収束に至っています。ほとんどのアプリにとって、2026年の実用的なスタックは次のとおりです：

暗号化されたサーバーサイドセッション（HttpOnly + SameSite=LaxのCookie）で認証状態を管理。クライアント側にJWTを保存するのは終わりです。
OIDC（Google/Apple/GitHub）によるパスワードレスのオンボーディング。
Passkeys（WebAuthn）による2段階認証またはパスワード完全置換。iOS 17+、Android 13+、すべてのブラウザでついに普及しました。
サーバーサイドセッションの短いローテーション（約1時間） + 別のCookieによる長いリフレッシュ（約14日間）。
マルチテナントの真のステートレス処理を行う場合を除き、クライアント側のJWTは不要。

構造的に変わったのは3つのことです。1つ目：機密トークンをlocalStorageに保存するのが終わったこと（XSSによる完全な乗っ取りのリスクがあるため、もはや議論の余地なし）。2つ目：Passkeysの成熟度 — Google、Apple、Microsoftがいずれも展開し、主要エコシステムで普及率が臨界点を超えたこと（詳細な数字は公開されていませんが）。3つ目：Clerk、WorkOS、Auth0などのホスト型IdPが、SSO/SCIM/Passkeysをオールインワンで提供しており、5人未満のチームが再実装するメリットはないこと。

内部構造

セッションCookie：Secure; HttpOnly; SameSite=Lax; __Host-プレフィックス。権限昇格のたびにローテーション。
CSRF：SameSite=Laxで95%のケースをカバー；機密ミューテーションにはCSRFトークンを追加するのが安全策。
PKCE：すべてのパブリックOAuthフロー（SPA、モバイル）で必須。
よくある罠：Passkeyを早期に2FAとして「必須」にすると、ユーザーが1台のデバイスしか持っていない場合にアカウントを失うリスクあり。
流行中の脆弱性：ブラウザ拡張機能がSPAのメモリを読み取る — localStorageに何も保存しないというさらなる根拠。

結論

3つのポイント。 1つ目：2026年に始めるなら、規制上の特別な理由がない限りプロバイダー（Clerk、WorkOS、Stack Auth）を選択せよ。節約されたエンジニアリングリソースはプロダクトに回せる。2つ目：JWT-in-localStorageのレガシースタックを持っているなら、サーバーセッションCookieへの移行計画を立てよ — これは見た目の問題ではなく、セキュリティ上の優先課題。3つ目：Passkeysは実用段階にある。今すぐオプションとして有効化し、2027年までにエンタープライズで義務化せよ。注目すべきは、マルチプラットフォームPasskeysの標準化（これがB2Bの本当の障壁）。