Google Chromeのパスワード管理｜確認・削除の手順と安全に使う条件

2026年7月16日

前田壮一

この記事のポイント

✓Google Chromeのパスワード管理について
✓保存した情報の確認・編集・削除の手順
✓自動入力設定の見直し方

Google Chromeにパスワードを保存するかどうかを尋ねられて、なんとなく「保存」を押し続けてきた。気づけば数十件がたまっていて、中身を確認したことは一度もない。この記事は、そういう状態から抜け出したい人のために書いています。

結論から書きます。Chromeのパスワード管理は、正しく設定すれば個人利用では十分に実用的です。ただし、そのまま使い続けてよい条件と、専用のツールへ移すべき条件がはっきり分かれます。この記事では、まず保存済みのパスワードを確認・整理する手順を具体的に示し、そのうえでChromeに任せてよい範囲の線引きを説明します。パソコンとスマートフォンの両方の操作手順を扱うので、手元で開きながら進めてもらえれば、1時間ほどで全体の棚卸しが終わるはずです。

Googleパスワードマネージャーは何をしてくれる機能なのか

まず、自分が何を使っているのかを正確に押さえます。Chromeのパスワード保存機能は、正式には「Googleパスワードマネージャー」という名前で、Chromeブラウザに組み込まれていると同時に、Androidの設定画面からも単独で使える機能になっています。つまり、ブラウザの付属機能というより、Googleアカウントに紐づいたサービスだと考えた方が実態に合っています。

この機能が担っているのは4つです。1つ目は保存で、ログインに成功したときに「このサイトのIDとパスワードを覚えておくか」を尋ねてきます。2つ目は自動入力で、次回以降に同じサイトを開いたとき、入力欄を埋めてくれます。3つ目は同期で、Googleアカウントにログインした別の端末でも同じ情報が使えるようになります。4つ目は点検で、保存されたパスワードのうち、漏えいが確認されたもの、使い回しているもの、強度が不足しているものを一覧で教えてくれます。

利用者の規模という点では、この機能は事実上の標準になっています。

2022年、Chromeは世界のデスクトップ向けウェブブラウザ市場で70％近いシェアを獲得しました。その人気の理由は、主に使いやすさと、広告ブロックや言語翻訳、拡張機能などのカスタマイズ・オプションにあります。出典: teampassword.com

これだけのシェアを持つブラウザに標準搭載されている以上、意識せずに使っている人が大多数だというのは自然な話です。問題は、使っていることを意識していないと、設定を見直す機会も訪れないという点にあります。

技術的な仕組みも簡単に押さえておきます。保存されたパスワードは、端末上では暗号化されて保管されており、Googleアカウントに同期されている場合はサーバー側にも暗号化された状態で保存されます。ただし、標準設定では復号のための鍵をGoogle側が管理しています。この点を気にする人向けに「パスフレーズ」を自分で設定する方法が用意されており、これを設定すると、自分だけが復号できる状態になります。その代わり、パスフレーズを忘れると復旧できなくなるという性質があるので、設定するなら忘れない仕組みとセットで考える必要があります。

保存済みのパスワードを確認・編集・削除する手順

棚卸しの第一歩は、いま何が保存されているのかを目で見ることです。端末ごとに入口が違うので、順番に説明します。

Windowsのパソコンでは、Chromeを開き、右上の3点メニューからパスワードマネージャーを選びます。一覧が表示されますが、パスワードの中身は伏せ字になっており、目のアイコンを押すとWindowsのログインパスワードかPINの入力を求められます。ここを通過すると平文で表示されます。重要なのは、この確認がWindowsのアカウント認証で行われるという点です。つまり、あなたのPCのログインパスワードを知っている人は、保存された全パスワードを見られるということになります。パソコンにログインパスワードを設定していない人がいまだにいますが、その状態はこの機能にとって致命的です。

MacとiPhoneの場合も入口は同じで、Chromeのメニューからパスワードマネージャーに入ります。Macでは確認時にTouch IDかMacのパスワード、iPhoneではFace IDやTouch IDによる認証が入ります。iPhoneの場合、Chromeで保存したパスワードとSafariで保存したパスワードは別々に管理されているので、両方のブラウザを使っている人は2か所を確認する必要があります。

Androidでは、Chromeのメニューからたどるほかに、端末の設定アプリからGoogleの項目を開いて、そこからパスワードマネージャーに入る経路もあります。Androidではこの機能がアプリのログインにも使われるため、ブラウザ以外で保存された情報も同じ一覧に並びます。

一覧を開いたら、やるべきことは3つです。まず、もう使っていないサービスの行を削除します。退会したサービス、乗り換えた前のサービス、試しに登録しただけのもの。ここで一覧が半分近くまで減る人も珍しくありません。次に、同じサイトが複数行に分かれているものを整理します。URLの表記違いで重複登録されることがあり、古い方に古いパスワードが残っていると、自動入力で失敗する原因になります。最後に、IDとして使っているメールアドレスが古いままのものを修正します。編集は鉛筆のアイコンから行えます。

この棚卸しで時間がかかるのは削除の判断です。迷ったら、削除して構いません。パスワードを忘れてもログイン画面から再設定できるサービスがほとんどですし、そもそも再設定できないほど重要なサービスなら、ブラウザ任せにしておくべきではありません。

自動保存と自動入力の設定を見直す

一覧の整理が終わったら、今後どう振る舞ってほしいかを設定します。ここを放置すると、せっかく整理した一覧がまた膨らみます。

設定項目は主に2つです。「パスワードの保存を確認する」をオフにすると、ログインのたびに保存を尋ねてこなくなります。オンのまま使うなら、尋ねられたときに機械的に保存を押さないという習慣が必要です。「自動ログイン」をオフにすると、保存済みの情報で自動的にログインまで進む挙動が止まり、確認の一手間が入るようになります。私はこの自動ログインを切って使っています。オンのままだと、自分が今どのアカウントでログインしているかを意識しなくなり、仕事用と個人用を取り違える事故が起きやすいからです。

あわせて確認しておきたいのが、「例外」の設定です。特定のサイトについて「保存しない」を選んだ場合、そのサイトは例外リストに入り、以後は尋ねられなくなります。過去に間違えて「保存しない」を押したサイトでパスワードが保存されないという相談をよく受けますが、原因はほぼこのリストです。設定画面の下の方にある「保存しないサイト」の一覧を確認し、不要な例外があれば削除してください。

住所やクレジットカード情報の自動入力も、同じ画面の近くにあります。カード情報の自動入力は便利ですが、公共の場所や共有端末では確実にリスクになります。特にカード情報については、Chromeに保存せず、都度入力するか、決済サービス側に登録する方式に寄せた方が安全です。カード番号は一度流出すると再発行まで使えなくなり、定期購読の支払いが一斉に止まるといった二次被害まで出ます。

もう1つ、見落とされがちな設定が同期の範囲です。Googleアカウントの同期設定では、ブックマーク、履歴、パスワードなどを項目ごとにオンオフできます。仕事用のパソコンと個人のスマートフォンで同じGoogleアカウントを使っている場合、パスワードの同期をオンにしていると、業務用の認証情報が個人の端末にも降りてきます。会社の規程で禁じられている場合もあるので、ここは一度確認しておくべきところです。

パスワードチェックアップで漏えいと使い回しを洗い出す

Googleパスワードマネージャーの機能の中で、いちばん価値があるのに使われていないのがこの点検機能です。パスワードマネージャーの画面にある「パスワードチェックアップ」を実行すると、保存されているパスワードが3つの観点で評価されます。

1つ目は漏えいです。過去に発生した情報漏えい事件で流出したデータの中に、あなたのIDとパスワードの組み合わせが含まれていないかを照合します。ここで警告が出た行は、最優先で変更してください。流出したということは、その組み合わせが攻撃者の手元にあるリストに載っているということであり、他のサービスでも試されている可能性が高い状態です。

2つ目は使い回しです。複数のサイトで同じパスワードを使っている行が一覧で出ます。実際に起きている不正ログインの多くは、パスワードが破られたのではなく、別のサービスから流出したものをそのまま試されたことによるものです。ですから、使い回しの解消は強度を上げることよりも優先度が高い対策になります。

3つ目は強度です。短すぎるもの、推測されやすいものが指摘されます。近年の考え方では、記号を混ぜる複雑さより長さが重視されており、重要なアカウントでは16文字以上を目安にするとよいでしょう。Chromeには強力なパスワードを自動生成する機能があるので、変更する際はそれを使えば、覚える必要のない長い文字列を割り当てられます。

点検の結果が数十件出てきても、一度に全部直す必要はありません。優先順位は、漏えい警告が出たもの、メールアカウント、決済に関わるもの、仕事で使うもの、その他、という順です。特にメールアカウントは最優先です。メールを乗っ取られると、他のすべてのサービスでパスワード再設定ができてしまうため、事実上すべての鍵を渡すのと同じことになります。

この点検は、月に1回程度の頻度で回すのが現実的です。新しい漏えいが判明するたびに結果が変わるので、一度やって終わりにはなりません。

Chromeに任せるのが危険になる条件

ここまで肯定的に書いてきましたが、限界もはっきりしています。この機能の設計思想そのものに由来する制約です。

Chromeのパスワードセキュリティの最重要問題の一つは、Chromeはパスワード管理のために作られたのではないという点です。出典: teampassword.com

この指摘は的確です。Chromeはあくまでブラウザであり、パスワード管理は利便性を高めるための付随機能として実装されています。その結果、専用ツールが当然持っている機能がいくつも欠けています。

第一に、安全な共有の仕組みがありません。チームで1つのアカウントを共有する場面で、Chromeには「この人にこの認証情報だけを渡す」という機能がないため、結局チャットやメールで平文を送ることになります。これは最悪の共有方法です。

第二に、アクセス履歴が残りません。誰がいつどの認証情報を見たかを追えないので、万一の際に影響範囲を特定できません。組織で使う場合、これは監査上の問題になります。

第三に、ブラウザ以外の情報を扱えません。サーバーへの接続情報、ソフトウェアのライセンスキー、銀行の契約者番号、セキュアな備忘メモ。こうしたWeb上の入力欄に紐づかない情報は、そもそも保存先がありません。

第四に、Googleアカウント1つに依存するという構造的な問題があります。Googleアカウントが乗っ取られれば、保存されたすべてのパスワードが危険にさらされます。逆に、アカウントを失って復旧できなくなった場合も、保存された情報ごと失います。卵を1つのかごに盛っている状態であることは自覚しておくべきです。

第五に、端末のログイン情報が最後の壁になるという点です。前述のとおり、パスワードを表示する際の認証はOSのログイン情報で行われます。パソコンのログインパスワードが単純だったり、自動ログインに設定されていたりすれば、その壁は存在しないに等しくなります。

これらを踏まえた線引きはこうなります。個人利用で、ブラウザ上のサービスだけを扱い、端末のロックがきちんとかかっていて、Googleアカウントに多要素認証が設定されている。この条件が揃っていればChromeで十分です。ひとつでも欠ける場合、特に仕事で複数人と情報を共有する必要がある場合は、専用ツールへ移るべきです。

端末を共有しているときに起きること

家族で1台のパソコンを使っている、職場の共用端末がある。こうした環境では、追加の注意が必要になります。

いちばん多い事故は、Chromeのプロフィールを分けずに使っているケースです。Chromeには利用者ごとにプロフィールを分ける機能があり、プロフィールが違えば保存されたパスワードも別々に管理されます。ところが、この機能を知らずに1つのプロフィールを全員で使っていると、誰かが保存したパスワードを全員が使えてしまいます。共用端末では、まずプロフィールを分けることから始めてください。

次に多いのが、ログインしたまま離席するパターンです。Googleアカウントにログインした状態の端末は、そのアカウントに紐づくすべてに手が届く状態です。席を離れるときに画面をロックする習慣は、この機能を使っているなら必須になります。

職場のパソコンについては、そもそも個人のGoogleアカウントでChromeにログインしてよいのかを確認してください。会社によっては明確に禁止されています。禁止の理由は、業務上の閲覧履歴やパスワードが個人のアカウントに同期されて社外に出ることを防ぐためで、これは合理的な規程です。逆に、個人の端末に業務用アカウントを同期させるのも同じ理由で避けるべきです。

退職や異動のときの後始末も決めておきましょう。会社支給のパソコンを返却する前に、Chromeからログアウトし、プロフィールを削除して、端末に残っている同期データを消す必要があります。ログアウトするだけでは端末側にキャッシュが残ることがあるため、プロフィールごと削除するのが確実です。

他のツールへ移すときのエクスポート手順と注意点

専用のパスワード管理ツールへ移行する、あるいは別のブラウザへ乗り換える。そのときに必要になるのがエクスポートです。手順自体は簡単ですが、扱いを間違えると最も危険な作業になるので、順番を守ってください。

エクスポートは、パスワードマネージャーの設定画面から行います。項目の名前は「パスワードをエクスポート」で、実行するとOSのログイン認証を求められ、通過するとCSVファイルとして書き出されます。ここで理解しておくべき最重要の点は、このCSVが完全な平文だということです。暗号化は一切かかっていません。メモ帳で開けば、すべてのサイトのIDとパスワードがそのまま読める状態のファイルが、ダウンロードフォルダに置かれます。

したがって、作業は次の順番で、途中で中断せずに一気に終わらせます。まず移行先のツールを先に準備し、インポートできる状態にしておきます。次にエクスポートを実行します。すぐに移行先のツールへ読み込ませます。読み込みが成功したことを数件のログインで確認します。そして最後に、書き出したCSVを削除します。削除はゴミ箱に入れるだけでなく、ゴミ箱を空にするところまで行ってください。クラウド同期されるフォルダに書き出してしまった場合は、そちらからも消えたことを確認します。

避けるべき行動もはっきりしています。CSVをメールに添付して自分に送る、クラウドストレージに置いたまま放置する、USBメモリに入れて保管する。どれも「あとで使うかもしれないから」という理由で起こりますが、平文のパスワード一覧を長期保存することほど危険な行為はありません。移行が終わったら、Chrome側に残った保存済みパスワードを削除するかどうかも決めておきます。二重管理になると、どちらが最新か分からなくなり、変更したはずのパスワードで古い方が自動入力される、という混乱が起きます。

インポート後の確認では、件数が一致しているかを必ず見てください。エクスポート時に一覧に出ていた件数と、移行先で読み込まれた件数が違う場合、文字コードや特殊記号が原因で一部が落ちていることがあります。落ちた行は、後でログインできなくなって初めて気づくことになるため、この段階で突き合わせておく価値があります。

パスキーへ移行してパスワードを減らす

ここからは一段先の話です。Chromeの機能を整理するだけでなく、パスワードに頼る場面そのものを減らす方向に進むと、管理の手間が根本から減ります。

その中心になるのがパスキーです。パスキーは、生体認証や端末そのものを鍵として使う方式で、パスワードを入力する代わりに指紋や顔認証でログインします。Googleパスワードマネージャーはパスキーの保管にも対応しており、対応サービスでは設定画面から数分で登録できます。

パスキーの利点は2つあります。1つは、覚える必要も入力する必要もなくなること。もう1つは、偽サイトでは原理的に認証が成立しないことです。パスキーは登録したドメインとしか対応しないため、見た目がそっくりな偽サイトを開いても、そもそも認証が動きません。パスワードを盗むフィッシングに対して、これは根本的な防御になります。フィッシングの手口や訓練による対策の考え方は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドに整理されているので、組織で対策を進める立場の人はそちらも参考になります。

移行の進め方としては、いきなり全サービスを切り替えようとしないことです。まずGoogleアカウント自体をパスキー対応にし、次に主要なSNSと通販サイト、その後に業務で使うサービス、という順で広げます。多くのサービスでは、パスキーを登録してもパスワードが残るため、両方使える状態から始められます。

同時にやっておくべきなのが、Googleアカウント本体の防御強化です。すべての鍵がここに集まる以上、ここが破られたら終わりです。多要素認証を有効にし、認証方法はSMSより認証アプリかパスキーを選びます。あわせて、バックアップコードを印刷して安全な場所に保管しておきます。スマートフォンを紛失したときに、これがないと自分のアカウントから締め出されます。

仕事でChromeを使う人の実務的な設定

在宅で仕事をしている人、複数のクライアントを抱えている人向けに、実務的な設定をまとめます。

最も効果があるのは、プロフィールを用途で分けることです。個人用、自分の事業用、そしてクライアントごと。プロフィールを分けると、パスワードだけでなく、拡張機能、ブックマーク、ログイン中のアカウントもすべて分離されます。クライアントAの管理画面を開いたつもりが、クライアントBのアカウントでログインしていた、という事故が構造的に起きなくなります。手間は最初だけで、一度作ってしまえば切り替えはウィンドウを開き直すだけです。

次に、クライアントから預かるアカウント情報の扱いです。原則として、相手のパスワードは預からないのが最善です。Web解析ツールや広告管理画面であれば、自分用のアカウントを発行してもらい、権限だけを付与してもらう方式が用意されています。この方式なら、契約が終わったときに権限を外すだけで済み、相手のパスワードを知っている状態が残りません。広告や解析の実務でこうした権限設計を扱う機会が多いなら、Google広告認定資格やGoogleアナリティクス認定資格の学習範囲に、アカウント構造と権限管理の考え方が含まれているので、体系的に押さえておくと提案の説得力が変わります。

3つ目は、脆弱性への向き合い方です。ブラウザ自体の更新を止めないこと。Chromeは深刻な脆弱性が見つかると頻繁に更新を配信しており、更新を先送りする期間がそのまま危険な期間になります。再起動を促す表示を何日も無視しているなら、それは対策をしていないのと同じです。組織単位で管理する立場なら、脆弱性管理ツール徹底比較｜Tenable, Qualys, Rapid7の三強をプロが分析で扱われているような、資産全体の更新状況を把握する仕組みまで視野に入れる必要があります。

4つ目は、取引先との関係です。自分の環境が甘いと、そこを踏み台にして取引先が被害を受ける可能性があります。個人事業であっても、取引先から見れば自社のリスク要因の1つです。取引先経由のウイルス侵入を防ぐ！中小企業のサプライチェーンリスク管理に整理されている観点は、発注側の視点を知るうえで役に立ちます。

市場を長く見てきた立場からの観察

フリーランスと在宅ワークの市場を20年運営してきた立場から言うと、認証情報の扱い方は、仕事の継続率とはっきり相関しています。技術力の話ではなく、段取りの話としてです。

運営者として見てきた限りでは、長く同じ相手と仕事が続いている人は、最初の打ち合わせの段階で「権限はこの形でいただけますか」と提案しています。パスワードを教えてもらう前提で話を進める人と、権限付与を前提に話を始める人では、発注側が受ける印象がまったく違います。後者は、相手の情報を預かることの重さを理解している人だと伝わるからです。これは資格や実績とは別の形の信用で、しかも初回の打ち合わせで示せるという点で効率がいい武器になります。

もう1つ、中間業者を挟まない直接取引の現場を見てきて感じるのは、認証情報のやりとりが1往復で済むということです。仲介が入ると、誰が情報を保持しているのかが曖昧になり、契約終了後に誰の手元に何が残っているか分からなくなります。直接つながっていれば、渡した相手と返す相手が同じなので、後始末が確実です。中間マージンが乗らない取引は、同じ予算で依頼側がより多く頼め、受ける側の手取りが厚くなるという分かりやすい利点がありますが、実務で効いているのは、こうした責任の所在がはっきりすることの方かもしれません。

技術寄りの仕事でこうした知識を活かしたいなら、報酬水準の目安を先に知っておくと方向を決めやすくなります。ソフトウェア作成者の年収・単価相場には職種別のデータがまとまっており、どの領域にどれくらいの幅があるかが読み取れます。文章で伝える側に回るなら著述家，記者，編集者の年収・単価相場が参考になります。セキュリティや業務効率化の相談を受ける側の仕事がどう発生しているかは、AI・マーケティング・セキュリティのお仕事で扱われる案件の傾向を見ておくと感覚がつかめます。

最後に手順として整理しておきます。今日やるべきことは、保存済みの一覧を開いて不要な行を削除すること、パスワードチェックアップを実行して漏えい警告の出た行を変更すること、Googleアカウントに多要素認証を設定すること。この3つです。時間にして1時間かかりません。プロフィールの分離やパスキーへの移行は、そのあとで順番に進めれば十分間に合います。

よくある質問

Q. Chromeに保存したパスワードはどこで確認できますか？

Chromeの右上の3点メニューからパスワードマネージャーを開きます。一覧は伏せ字で表示され、目のアイコンを押すとOSのログイン認証（WindowsのPIN、MacのTouch ID、スマートフォンの生体認証）を求められ、通過すると平文で表示されます。Androidは端末の設定アプリからも同じ画面に入れます。