Appwriteのパスキー認証、Web・Android・iOSでパスワード入力不要に

Appwriteは2026年10月16日、Webサイトやアプリに組み込む認証機能「Appwrite Auth」のパスキー対応を発表しました。生体認証や端末のPINによるログインを、Appwrite Cloudとセルフホスト版Appwrite 2.5以降で導入できます。

最初にアカウントを用意し、次回からはパスキーで

新規ユーザーには、まずアカウントとログインセッションを作成してからパスキーを登録してもらいます。既存ユーザーはログイン後に追加でき、次回からはシステムの選択画面でパスキーを選び、Face IDやTouch ID、指紋認証、端末のPINで本人確認を行います。この本人確認を伴うAppwriteのパスキーログインは、多要素認証（MFA）の要件も満たします。

同じドメインに関連付け、各プラットフォームの設定を済ませたWebサイトとAndroid・iOSアプリでは、同じパスキーを利用できます。iCloudキーチェーンやGoogle パスワード マネージャーに保存したパスキーは、ほかの端末にも同期できます。

ローカルで試す前に、本番用ドメインを決める

有効化はAppwrite Consoleの「Auth > Settings」で「Passkey」をオンにし、認証の基準となるドメイン（RP ID）を選んで「Enable」を押します。たとえばapp.example.comではなく、管理するexample.comを選べば、プロジェクトのWebプラットフォームに登録したサブドメインでも同じパスキーを使えます。

RP IDは、localhost用や登録途中のものも含め、パスキーが1件でも存在すると変更できません。localhostのパスキーは本番用とは別ですが、ローカルテストを始める前に本番用RP IDを設定してください。許可される接続元はプロジェクトのプラットフォーム設定から決まり、「Auth > Policies > Passkeys」で一覧を確認できます。

スマホアプリは、署名とOS側の関連付けも必要

Androidでは、デバッグ用など実際にアプリへ署名する鍵のSHA-256フィンガープリントをAppwriteに登録し、登録した鍵で署名されたビルドだけがパスキーを利用できます。Google Play配信版で確認するのは、アップロード鍵ではなくPlay App Signingのアプリ署名鍵です。ドメインでは「/.well-known/assetlinks.json」をHTTPSで配信し、該当アプリのパッケージ名と登録したフィンガープリントで関連付けを示す必要があります。

iOSでは、AppwriteにバンドルIDを指定したAppleプラットフォームを追加し、XcodeのAssociated Domainsに「webcredentials:example.com」を設定します。ドメインでは「/.well-known/apple-app-site-association」をHTTPSで配信し、Team IDとバンドルIDを記載して、OSがアプリとの関連付けを確認できるようにします。モバイル専用アプリにもドメインは必要ですが、Webサイトそのものを用意する必要はありません。