PASSWORD MANAGER UPDATE
ExpressKeys が大型アップデート
パスキー時代の「本命」を狙いにきた
IT小僧の時事放談、今回のお題は VPN でおなじみ ExpressVPN が提供するパスワード管理ツール ExpressKeys の大型アップデートである。2026年7月2日に発表された今回の更新は、単なる機能追加ではなく「うちのパスワード管理を VPN のオマケ扱いするのはもう終わりだ」という宣言に近い内容になっている。狙う相手は、この分野の王者 1Password だ。
元金融系エンジニアの目から見ても、今回の内容はなかなか本気度が高い。順番に整理していこう。
ファクトチェック
確認済み：2026年7月2日発表。パスキー対応、安全なアイテム共有、他社からの直接インポート、カードのカメラ読み取り、復元フォルダ、暗号化バックアップ、Cure53 による第三者監査の結果公開。以上は公式発表と複数の専門メディアで一致している。
留保：一部メディアが報じた Windows 向けの深い連携やメモリ使用量などの詳細仕様は、公式では確認できなかったため本稿では扱わない。
そもそも ExpressKeys とは
もともとは VPN アプリの中に組み込まれた Keys という機能だった。それが2026年3月に独立したアプリへと切り出され、名称も ExpressKeys へと変わった。iOS 版と Android 版、そしてブラウザ拡張機能として動く。
中身は AES-256 の暗号化と、ゼロ知識（zero-knowledge）方式を採用したパスワード保管庫だ。ゼロ知識とは、預けたデータの中身を提供元の会社ですら読めない仕組みのこと。暗号のカギは利用者の端末上で作られ、その端末から外に出ない設計になっている。金融システムでいう「最小権限の原則」に近い発想で、見られる必要のない者には最初から見せない、という考え方である。
オートフィル（autofill）による自動入力、二要素認証（2FA）コードの生成、漏えい監視といった基本機能はそろっている。対象プランは後述する。
今回のアップデートで何が変わったか
目玉は大きく分けて五つある。
その一、パスキー（passkey）への本格対応。保管庫の中でパスキーを作成し、保存し、複数端末で使えるようになった。パスキーは従来のパスワードに代わる仕組みで、記憶した文字列ではなく端末側の暗号のカギと、指紋や顔認証といった本人確認を組み合わせてサインインする。文字列そのものを送らないため、偽サイトに誘導して盗み取る手口に強い。
その二、安全なアイテム共有。ログイン情報やカード、メモといった項目を一つ単位で、期限つきのリンクを介して渡せる。有効期限は1時間から30日まで選べ、受け取り側にメール確認を求めたり、一度開いたら無効になるよう設定したりできる。共有した後で取り消すこともできる。
その三、他ツールからの直接インポート。FIDO Alliance が定める Credential Exchange という規格に対応した。これまでは乗り換えの際、いったん暗号化されていない平文ファイルに書き出す必要があったが、その工程を挟まずに移せるようになった。Apple Passwords や Google Chrome などからの取り込みに対応する。
その四、カードのカメラ読み取り。iPhone のカメラで物理的なカードを写すと、番号や有効期限を読み取って保管庫に収める。長い番号を手で打ち込む手間と打ち間違いが減る。Android 版は開発中とされている。
その五、うっかりを救う仕組み。削除した項目を最大30日間ためておく「最近削除した項目」フォルダ、暗号化されたバックアップ、二要素認証コード専用の画面、色分け表示やスワイプ操作といった使い勝手の改善が加わった。
主要機能まとめ
| 機能 | 内容 |
| パスキー対応 | 保管庫内で作成・保存・複数端末での利用が可能に |
| 安全な共有 | 期限つきリンク、メール確認、一度きり表示、取り消し可 |
| 直接インポート | 平文ファイルを介さず他ツールから移行 |
| カード読み取り | カメラでカード情報を取り込み（現状は iPhone 向け） |
| 復元・バックアップ | 30日間の削除保持、暗号化バックアップ |
| 第三者監査 | Cure53 による検査で重大な欠陥は指摘なし |
王者 1Password との違い
この分野で長く先頭を走ってきたのが 1Password だ。今回のアップデートで ExpressKeys は機能面でかなり距離を詰めたが、まだ差もある。整理しておこう。
| 比較項目 | ExpressKeys | 1Password |
| パスキー | 今回対応。同期に対応 | 対応済みで評価も高い |
| 提供形態 | スマホアプリと拡張機能 | 主要 OS 全般に対応 |
| 入手条件 | VPN の上位プランに付属 | 単体で月額課金 |
| 独自機能 | VPN 本体との統合 | 渡航時の保管庫隠しなど |
| 位置づけ | 総合セキュリティ群の一部 | パスワード管理の専業 |
大きな違いは「立ち位置」だ。片方はパスワード管理そのものを商品として磨いてきた専業。もう片方は VPN を核に、メール転送や本人確認保護といった機能をぐるりと束ねた「セキュリティ詰め合わせ」の一部としてパスワード管理を差し出している。すでにExpressVPN
の上位プランを使っている人にとっては、追加費用なしで手が届くのが強みになる。
参考までに、1Password の個人向けプランは2026年3月の改定で年額47.88ドル（月あたり3.99ドル相当）となった。専業ゆえの完成度に対価を払う形だ。対する ExpressKeys は、VPN 契約にすでに含まれているぶん、体感の追加コストがゼロに近い。この価格の見え方こそが、追撃側の武器になっている。
Cure53 の監査という「証明書」
今回もう一つ見逃せないのが、独立系の検査会社 Cure53 による監査結果が同時に公開された点だ。5人の上級検査担当が16日間かけ、ソースコードにも踏み込むホワイトボックス（white-box）方式で iOS 版と Android 版を調べた。結果として、深刻度が高い欠陥は見つからなかったと報告されている。
指摘された軽微な点は提供元が先に手を入れ、その後で検査会社が修正済みかどうかを再確認した、という流れになっている。これで公開済みの第三者監査は通算28件目になるという。
この「第三者に見せて、結果を公開する」姿勢は、金融の世界でいう外部監査そのものだ。自分で自分を合格にしても意味はない。第三者の目を定期的に通し、指摘を直し、記録を残す。パスワード管理という、信頼が商品そのものである領域では、この積み重ねが効いてくる。
料金と対象プラン
ExpressKeys は ExpressVPN の Advanced プランと Pro プラン、および従来 Keys が使えていた過去の契約に付属する。初回の設定には有効な VPN 契約が要る。ただし、いったん保管庫に入れた情報は、VPN 契約が切れた後も引き続き取り出せるとされている。
つまり「VPN を契約したついでに、専業に迫るパスワード管理も手に入る」という構図だ。すでに ExpressVPN を使っている読者は、追加の出費なしで今回の新機能を試せる立場にいる。
IT小僧コラム 元金融系エンジニアの視点
金融システムの現場にいたころ、口を酸っぱくして言われたのが「障害の局所化」だった。どこか一つが壊れても、被害がそこで止まる作りにしておけ、という話だ。今回の共有機能に付いた「期限つき」「一度きり」「取り消し可」は、まさにこの発想に見える。渡したものが永遠に生き続けない、いざとなれば断ち切れる。これは、うっかり流出したときの被害を一区画に閉じ込めるための設計だ。
パスキーの本命化も同じ文脈で読める。記憶した文字列を人間が使い回すという、いちばん弱い部分を仕組みごと外してしまう。人はどうしても好きなチームの名前や誕生日を使いたがる。だったら、その弱点を持たせない方式に寄せていくほうが早い。金融の世界で「人の善意より仕組みの強さを信じろ」と教わったのと同じ理屈だ。
気になるのは、依存の集中だ。VPN も、メールも、本人確認も、そしてパスキーの保管まで一社に預けると、便利さと引き換えに「そこが落ちたら全部困る」状態に近づく。だからこそ、外部監査を定期的に通して記録を残す姿勢が要になる。詰め合わせにするなら、その分だけ透明性で信頼を買い戻す。ExpressVPN が今その道を選んでいるのは、理にかなっていると思う。
まとめ
今回の更新で、ExpressKeys は「VPN のオマケ」から「専業に迫る一本の道具」へと踏み出した。パスキー対応、安全な共有、直接インポート、そして第三者監査の公開。どれも、日常使いの本命に据えてもらうための布石だ。
王者 1Password の完成度はなお高い。それでも、すでに VPN を契約している人にとって、追加費用ほぼゼロで新機能が手に入る意味は小さくない。パスワード管理を何にするか迷っている読者は、まず手元の契約に何が付いているかを確かめてみるといい。答えは、すでに財布の中にあるかもしれない。
出典：ExpressVPN 公式ブログおよびキー製品ページ、Cure53 監査に関する各種テック系報道（SecurityBrief、TechNadu、Digital Reviews Network ほか）、1Password の料金に関する各種レビュー記事。2026年7月時点の情報。
