Security Key 4製品を公式仕様比較：FIDO2・NFC・passkey・復旧で選ぶ

Security Keyを選ぶ前に、何を守る道具かを分けてください。この記事で扱うのは、exchange、email、password manager、Git hosting、cloudなどのaccount loginをFIDO2 / WebAuthnで保護する物理認証器です。暗号資産walletのseed phraseやprivate keyを保存し、on-chain transactionへ署名するhardware walletではありません。

この記事は2026-09-02時点で公式販売・support情報を確認できた、Yubico Security Key C NFC、Google Titan Security Key USB-C / NFC、Token2 PIN+ Release3.3 TypeC、FEITIAN ePass FIDO-NFC K40を比較します。4製品ともUSB-CとNFCを持つ近いcategoryへ揃えました。

重要な制限があります。3MIKANは今回、4製品の実機を購入・貸与されていません。registration、PIN誤入力、passkey一覧・削除、NFC接続、reset、紛失からの復旧、耐久性を確認したreviewではなく、公式製品情報、support、規格、certificationから候補を絞るための記事です。実機scoreや「最も安全」という順位は付けません。

先に結論：1本の価格ではなく復旧まで決める

候補を選ぶ順番は次のとおりです。

守りたいserviceがFIDO2のpasskey、またはFIDO U2Fのsecond factorに対応するか確認する
使用端末のUSB-CとNFCで、対象OS・browser・serviceの組み合わせが動くか確認する
passwordlessで使うなら、必要なdiscoverable credentialの数とPIN管理方法を決める
primaryとは別のSecurity Keyを同じaccountへ個別登録し、別の場所へ保管する
serviceが発行するrecovery codeやaccount recoveryを、primaryとspareの両方を失った経路として確認する

Security Key上のpasskeyは、primaryからspareへ自動複製されません。Google Chromeの公式案内も、Security Keyに保存したpasskeyはbackupされず、keyを紛失・resetすると復元できないと説明しています。したがって、購入予算は「1本の値段」ではなく、必要なら2本と安全な復旧手段まで含めて考えます。

Security Keyがphishingに強い理由と限界

WebAuthnでは、credentialがRelying Party ID（RP ID）へ紐づき、browserは呼び出し元originがその範囲に合うか確認します。service側はserverで作ったchallenge、返されたorigin、RP ID、署名、user presence（UP）、必要ならuser verification（UV）を検証します。

偽domainへ同じpasswordやTOTP codeを入力する方式と異なり、正規site用のcredentialを別RP IDへそのまま使えないことがphishing耐性の中心です。ただし、次まで自動で防ぐ道具ではありません。

service側のaccount recoveryやsupport手続きの乗っ取り
login後のsession cookie盗難
すでに許可したAPI tokenやOAuth access
端末malware、悪意あるextension、remote access
Security Keyを登録できないserviceで使うpasswordやTOTP
自分で攻撃者を新しい認証手段として追加する操作

「Security Keyがあればphishingを完全防止できる」とは判断せず、accountの既存session、recovery email、phone、API token、管理者権限も別に確認します。不審なactivityがすでにある場合は、設定変更を急ぐ前にwallet・account侵害時の証拠保存と初動で追加操作を止め、対象serviceの公式窓口へ引き継いでください。

4製品の公式仕様比較

表は2026-09-02に各社公式情報で確認した範囲です。容量はdiscoverable credential、つまりSecurity Key内へ保存するpasskeyの数です。U2F型のnon-discoverable credentialはserver側のcredential IDを使うため、同じ数え方ではありません。

model	FIDO / 主な機能	接続	passkey容量	PIN / biometric	credential管理	firmware方針	公式storeの確認状態
Yubico Security Key C NFC, firmware 5.8	FIDO2 / WebAuthn、U2F、CTAP2.1、FIDO2 L2	USB-C / NFC	100	PINあり / biometricなし	Yubico Authenticatorで一覧・削除・PIN	製造後のfirmware更新不可	地域化ページで€35.09、販売中
Google Titan Security Key USB-C / NFC	FIDO2、FIDO open standard、Google Advanced Protection対応	USB-C / NFC	250超	PINあり / biometricなし	OS / browserのSecurity Key管理機能	Google設計firmwareとSecure Element。利用者向け更新方法は今回未確認	日本storeで¥5,625、入荷通知状態
Token2 PIN+ Release3.3 TypeC	FIDO2.1 / U2F、FIDO2 L2、TOTP / HOTP / PIV / OpenPGP	USB-C / NFC	300	6桁以上のPIN complexity / biometricなし	Token2 Companion App等で一覧・削除・PIN	firmware更新不可。新機能は新version	$26.78、in stock表示
FEITIAN ePass FIDO-NFC K40	FIDO2 / U2F / OTP、現行listでCTAP2.1	USB-C / NFC	model固有値は未確認	PINあり / biometricなし	FEITIAN SK Managerで一覧・削除・PIN・reset	version履歴あり。K40の利用者向け更新可否は今回未確認	$35、公式store掲載

価格、税、為替、送料、関税、在庫、配送地域は変わります。Titanは日本の公式storeでUSB-C / NFCを選んだ状態に「ログインして入荷通知を登録する」と表示されていたため、地域対応国に日本が含まれていても、すぐ買える在庫とは扱いません。購入直前に公式storeの選択variantとcartを再確認してください。

4製品とも購入、貸与、review unit、sponsor提供はありません。この記事にaffiliate linkはなく、価格、掲載順、security評価へcommissionを含めていません。

Yubico Security Key C NFC：FIDO専用に絞る候補

Security Key C NFC公式ページは、firmware 5.8、USB-C、NFC、FIDO2 / WebAuthn、U2F、100個のFIDO2 credential、FIDO2 Level 2、IP68を案内しています。OATH、PIV、OpenPGP、Yubico OTPは持たないFIDO専用modelです。

用途をFIDO loginへ限定し、別protocolの設定面を増やしたくない人には分かりやすい構成です。一方、同じ物理keyでPIVやOpenPGPも使いたい場合は、Security Key Seriesではなく別seriesとの比較が必要です。

Yubico Authenticatorではpasskeyの一覧・削除、FIDO2 PINの設定・変更ができます。PINを忘れた場合はFIDO2 applicationをresetし、保存済みpasskeyをすべて削除する必要があります。reset後もaccount側に古いcredential登録が残るため、spareでloginして失った・resetしたkeyを各serviceから削除します。

firmwareは製造時に書き込まれ、後から別versionへ更新できません。これは「更新しなくてよいから常に安全」という意味ではなく、脆弱性や必要機能が後のfirmwareで解決されても手元の個体へ適用できないtradeoffです。購入時にfirmwareとsupport対象を確認します。

Google Titan USB-C / NFC：Googleの高risk運用も見る候補

Google StoreのTitan公式ページは、USB-C / NFC、専用Secure Element、Google設計firmware、FIDO open standard、Advanced Protection Program対応を案内しています。2023年に導入された現行世代は250を超えるpasskeyを保存できるとGoogleが説明しています。

Google account、Workspace、Cloudを中心に使い、GoogleのAdvanced Protectionを含む運用を確認したい人の候補です。ただしTitanはGoogle専用ではなく、対応する他serviceでもFIDO keyとして利用できます。逆に、Titanという製品名だけで対象exchangeやpassword managerの対応が保証されるわけではありません。

GoogleのsupportはUSB・NFCに必要なOS / browser条件と、日本を含む販売地域を示しています。NFC対応phoneでも、OS、browser、serviceの実装、PIN要求によって挙動が変わります。iPhoneとiPadでもNFC条件が同じとは限らないため、端末名だけで互換と判断しません。

今回、現行USB-C / NFC modelの利用者向けfirmware更新経路や、passkeyを個別管理する専用Titan applicationは確認できませんでした。「非対応」ではなく、OS / browserの標準管理画面を含め、購入後の実機確認へ残す項目です。

Token2 PIN+ Release3.3 TypeC：容量とPIN policyを明示する候補

Token2 PIN+ Release3.3 TypeC公式ページは、USB-C / NFC、FIDO2.1、U2F、FIDO2 Level 2、300個のpasskey、6桁以上のPIN complexity、capacitive touchを案内しています。TOTP / HOTP、PIV、OpenPGPも同じkeyに含みます。

多くのdiscoverable credentialを保存したい、組織でPIN minimumを揃えたい、FIDO以外のprotocolも一つのkeyへ集約したい場合の候補です。ただし機能数が多いことは、FIDO loginの安全性が自動で高いという順位ではありません。

特にTOTPはFIDO2とは別のshared-secret方式です。Token2自身も、TOTP / HOTPはphishing耐性がFIDO2と同じではなく、legacy互換のための機能と説明しています。FIDO非対応serviceへTOTPを使う場合は、FIDOで守られていると混同しないでください。

PIN+ firmwareは公開sourceと第三者auditの対象が示されています。vendor FAQでは端末firmwareを更新不可とし、変更は新しい製品versionで提供すると説明しています。Release番号、part number、certification、在庫を同じ製品として照合してから購入します。

FEITIAN ePass FIDO-NFC K40：K40とfirmwareを識別する候補

FEITIAN ePass FIDO-NFC公式storeは、K9BをUSB-A、K40をUSB-Cとして選択でき、NFC、FIDO2 / U2F、OTP、Secure Elementを案内しています。現行製品listではK40のCTAP2.1、COS / FIDO / OTP version、AAGUIDが掲載されています。

同じePass FIDO-NFC名でもcasingとfirmware世代があるため、「FEITIAN対応」だけでまとめず、K40、USB-C、AAGUID、firmwareを確認します。古いproduct guideと現行CTAP2.1 listを混ぜないことが重要です。

FEITIAN SK ManagerはFIDO2 PIN、credential一覧・個別削除、FIDO2 resetを案内しています。resetはcredential、PIN、対応modelのfingerprintを削除します。選定したK40にはbiometric sensorがなく、touchはuser presenceです。

FEITIANの一般FAQはFIDO2 credentialを128個保存できると説明していますが、今回のK40製品ページではmodel固有容量を確認できませんでした。そのため比較表へ128を確定値として転記せず「未確認」としています。購入判断に容量が必要なら、part numberとfirmwareを添えて公式supportへ確認します。

touch・PIN・biometricは別の証拠

4製品のtouch areaは、操作している人がその場にいることを示すuser presenceです。指紋で本人を照合するbiometric sensorではありません。

FIDO2のuser verificationは、Security Key内のPINやbiometricで実行されます。serviceはuserVerificationをrequired、preferred、discouragedから選べるため、同じkeyでも毎回PINを求めるとは限りません。

状態	分かること	分からないこと
touch / UP	物理的な操作があった	登録者本人か
PIN / UV	authenticatorがlocal verificationを完了した	account recoveryやsessionが安全か
biometric / UV	対応keyがlocal biometric verificationを完了した	biometric imageがserviceへ送られたこと。通常その意味ではない
NFC	authenticatorとの通信transport	FIDO version、PIN、UV、service対応の強さ

PINの誤入力上限やreset条件は、実機とfirmwareで確認します。PINを忘れたときにpasskeyをexportして救出できる前提を置かず、spareとservice側の復旧経路を先に用意します。

Security Key・platform passkey・TOTP・hardware walletを分ける

手段	主に守る対象	phishing耐性の中心	backup / recovery
Security Key上のFIDO2 passkey	web / app account login	RP ID、origin、challenge、公開鍵署名	key内passkeyは通常backupされない。別keyを個別登録
phone / password managerのplatform passkey	web / app account login	WebAuthnとdevice unlock	provider / OSによりsync・backup・device-boundが異なる
TOTP	web / appのsecond factor	時間で変わるshared-secret code	seedまたはprovider recovery。偽siteへcodeを入力できる
hardware wallet	blockchain secretとon-chain署名	鍵をhostから分離しdevice画面で署名内容を確認	recovery phrase、share、passphrase等。Security Keyとは別

Passkeyのchallenge、origin、RP ID、UP / UV、backup flagsをcontract accountへつなぐ実装はPasskey smart accountのWebAuthn検証で扱っています。Security Keyを暗号資産取引所のloginへ使うことと、walletのon-chain署名鍵にすることも別です。後者を選ぶ場合はEVM向けhardware wallet 5機種の比較とhardware wallet初日の安全設定へ進んでください。

紛失前にprimary・spare・recoveryを試す

復旧手順はbrandではなく、credentialを登録したserviceごとに成立させます。

1. primaryとspareを別々に登録する

同じaccountへ2本以上のSecurity Keyを登録できるかを確認し、表示名へ保管場所が分かる識別子を付けます。primaryのpasskeyをspareへcopyするのではなく、各serviceでspareを別credentialとして登録します。

2. spareを別の場所へ保管する

primaryと同じkeyringやbagに付けると、同時紛失します。spareは火災、盗難、水害、移動、組織の退職・休職を考え、権限のある人だけが取り出せる別の場所へ保管します。teamでは個人の私物keyだけに管理者accountを依存させません。

3. recovery codeとalternative factorを確認する

serviceが発行するrecovery codeはSecurity Keyのcredentialを復元するcodeではなく、別経路でaccountへ戻る手段です。正規domain以外へ入力せず、primary・spareと同じ場所へ置きません。SMS、email、support recoveryを残す場合は、その経路が新しい弱点になることも含めて判断します。

4. 紛失を想定したread-only確認をする

primaryを接続せずspareでloginできること、登録済みkeyの一覧で識別できること、紛失したkeyを削除できること、recovery codeの再発行で旧codeが失効することを、serviceの公式手順で確認します。実accountをlockoutさせる破壊testは行いません。

購入前checklist

未実機確認と再検証

物理端末を確保した場合は、個人accountではなく記事専用WebAuthn test serverとtest accountを使い、4製品へ同じregistration、authentication、origin mismatch、PIN、credential管理、USB-C、NFC、reset、spare、recoveryの手順を適用します。

現時点では4製品ともnot_run_no_deviceです。製品写真、device UI、PIN画面、credential ID、recovery code、biometric dataを生成画像で代用せず、実機結果のscoreも作りません。

model、price、在庫、配送地域、firmware、certification、OS / browser supportは変わるため、2026-12-01までに再確認します。この記事は公式仕様から候補と復旧設計を絞る比較であり、実機で互換性・耐久性・reset behaviorを確認した順位ではありません。

この記事にaffiliate link、sponsor、review unit、販売CTAはありません。将来commercial linkを置く場合も広告であることを明示し、通常の公式linkを残し、commissionをsecurity評価や掲載順へ含めません。