Cloudflare Workers Passkey：認証コスト0円

サービス成長のブーメラン：Auth SaaSの請求額爆発

スタートアップや開発チームが新しいサービスをローンチする際、最初に導入するものの一つがAuth0、Clerk、Firebase Authといった外部認証SaaS（Software as a Service）です。

パスワードの暗号化やソーシャルログイン（Google、Apple）、MFA（多要素認証）を自作するリスクを避け、迅速にプロトタイプを立ち上げるには最適な選択肢です。しかし、サービスが成長し、月間アクティブユーザー（MAU）が1万人、10万人を超えた瞬間、Auth SaaSは恐ろしい**「クラウド料金の爆発」**として跳ね返ってきます。

[Auth SaaSの一般的なコスト構造（2026年基準）]
- Auth0: B2C Pro Plan 基本 $23/月 + MAU 1万人超過時 ユーザーあたり $0.07 (10万 MAU時 月 $6,300+)
- Clerk: Pro Plan 基本 $25/月 + MAU 1万人超過時 ユーザーあたり $0.02 (10万 MAU時 月 $1,800+)
- Firebase Auth: Phone Auth および SMS インフラ 件あたり $0.01~$0.06 発生
---------------------------------------------------------------------
結果: ユーザー登録が増えるほどユーザーあたりのマージンが削られる深刻な構造的問題

さらに深刻な問題は、ユーザーログインのたびに外部Auth SaaSサーバー（米国や東欧のホスティング）を往復するため、**100ms〜300ms以上のネットワーク遅延（RTT）**が追加され、アプリケーションの初期読み込みが遅くなる点です。

2026年現在のモダンなWebおよびモバイルエコシステムは、指紋/FaceIDベースの Passkey (WebAuthn / FIDO2) パスワードレス認証を標準として受け入れています。そして Cloudflare Workersのエッジサーバーレスランタイムと Web Crypto API (crypto.subtle) を組み合わせることで、外部Auth SaaSに1ドルも支払うことなく、世界中どこでも5ms未満の遅延とインフラ費用0円の次世代認証システムを自作できます。

本記事では、Auth SaaSの課金モデルの限界から、Passkey（WebAuthn）認証パイプラインの内部動作原理、Cloudflare Workers + KV + D1 + Web Cryptoを連携した実践コード、セキュリティ検証モジュールまで詳しく解説します。

Auth SaaS vs Cloudflare Native Passkey アーキテクチャ比較

Passkey (WebAuthn) の動作原理：チャレンジベースの公開鍵暗号

Passkeyは、ユーザーのデバイス（iPhone、Android、Mac、Windows）内のセキュリティチップ（Secure Enclaveなど）を活用します。サーバーはパスワードを保存する代わりに、ユーザーの 公開鍵（Public Key） のみをデータベース（Cloudflare D1）に保管します。

+-----------------------------------------------------------------------------------+
| Passkey (WebAuthn) ログインフロー                                                   |
+-----------------------------------------------------------------------------------+

[ユーザー (指紋/FaceID)]     [Cloudflare Workers エッジ]         [Cloudflare D1 DB]
         |                              |                                |
         |--- 1. ログインリクエスト --->|                                |
         |                              |--- 2. ランダム Challenge 生成 ->| (Workers KVに保管)
         |<-- 3. Challenge 返却 --------|                                |
         |                              |                                |
  (セキュリティチップでチャレンジに署名)       |                                |
         |                              |                                |
         |--- 4. 署名(Signature) 送信 ->|                                |
         |                              |--- 5. 保存された公開鍵を取得 -->|
         |                              |--- 6. Web Crypto 署名検証      |
         |<-- 7. 認証成功 (JWT発行) ----|                                |

1. Challenge 発行: サーバーがランダムなチャレンジ（Challenge）を生成し、2分間有効となるようWorkers KVに保存します。
2. デバイス署名: ユーザーが指紋やFaceIDで本人確認を行うと、デバイスの秘密鍵（Private Key）でチャレンジに署名します。
3. Web Crypto 署名検証: サーバーはD1に保存されたユーザーの公開鍵を用いて、その署名が有効かを crypto.subtle.verify() で検証します。
4. JWT セッション発行: 検証が成功すると、HTTP-Only CookieまたはBearer JWTトークンを発行します。

このすべてのプロセスにおいて、ネットワークを通過するパスワードや機密情報は一切存在しません。

ステップ1：ストレージ設計 (Cloudflare D1 + Workers KV)

Passkey認証のために、2つのストレージレイヤーを使用します。

• Workers KV: 2分後に自動有効期限切れ（TTL）となる使い捨てログインチャレンジの保管用（超高速な読み込み/書き込み）
• Cloudflare D1 (SQLite): ユーザーアカウント情報およびPasskey公開鍵（Credential ID, Public Key, Sign Counter）の永続保管用

D1 データベーススキーマ (schema.sql)

-- D1 Database Schema: schema.sql

-- ユーザーテーブル
CREATE TABLE IF NOT EXISTS users (
    id TEXT PRIMARY KEY,
    email TEXT NOT NULL UNIQUE,
    name TEXT NOT NULL,
    created_at INTEGER NOT NULL
);

-- Passkey 資格情報(Credentials) テーブル
CREATE TABLE IF NOT EXISTS passkey_credentials (
    id TEXT PRIMARY KEY,               -- Credential ID (Base64URL)
    user_id TEXT NOT NULL,
    public_key TEXT NOT NULL,          -- COSE / WebCrypto 互換公開鍵 (Base64)
    counter INTEGER NOT NULL DEFAULT 0,-- クローン攻撃防止用署名カウンター
    transports TEXT,                   -- 'internal', 'hybrid', 'ble' など
    created_at INTEGER NOT NULL,
    FOREIGN KEY (user_id) REFERENCES users(id) ON DELETE CASCADE
);

CREATE INDEX IF NOT EXISTS idx_credentials_user_id ON passkey_credentials(user_id);

wrangler.jsonc のバインディング設定追加：

// wrangler.jsonc
{
  "$schema": "node_modules/wrangler/config-schema.json",
  "name": "edge-passkey-auth",
  "main": "src/index.ts",
  "compatibility_date": "2026-01-01",
  "compatibility_flags": ["nodejs_compat"],

  // 1. チャレンジ一時保管用 KV
  "kv_namespaces": [
    {
      "binding": "AUTH_KV",
      "id": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
    }
  ],

  // 2. ユーザーおよび公開鍵永続保管用 D1
  "d1_databases": [
    {
      "binding": "DB",
      "database_name": "passkey_db",
      "database_id": "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy"
    }
  ]
}

ステップ2：Web Crypto APIおよびPasskeyバックエンドの実装 (Hono.js)

SimpleWebAuthn コミュニティ標準ライブラリとCloudflare Nativeの crypto.subtle を組み合わせ、軽量なバックエンドを構築します。

パッケージのインストール

npm install hono @simplewebauthn/server jose

サーバーレス認証APIサーバー (src/index.ts)

// src/index.ts
import { Hono } from "hono";
import { cors } from "hono/cors";
import {
  generateRegistrationOptions,
  verifyRegistrationResponse,
  generateAuthenticationOptions,
  verifyAuthenticationResponse,
} from "@simplewebauthn/server";
import { SignJWT, jwtVerify } from "jose";

type Env = {
  Bindings: {
    AUTH_KV: KVNamespace;
    DB: D1Database;
    JWT_SECRET: string;
  };
};

const app = new Hono<Env>();

app.use("*", cors({ origin: "*", credentials: true }));

const RP_NAME = "EffiDev App";
const RP_ID = "effidev.dev"; // 実際の運用ドメイン
const ORIGIN = `https://${RP_ID}`;

// -------------------------------------------------------------------
// 1. Passkey 登録 (会員登録/デバイス追加) - Step 1: チャレンジ生成
// -------------------------------------------------------------------
app.post("/api/auth/register/options", async (c) => {
  const { email, name } = await c.req.json();

  // D1からユーザー取得または仮作成
  let user = await c.env.DB.prepare("SELECT * FROM users WHERE email = ?").bind(email).first();
  const userId = user ? (user.id as string) : crypto.randomUUID();

  if (!user) {
    await c.env.DB.prepare(
      "INSERT INTO users (id, email, name, created_at) VALUES (?, ?, ?, ?)"
    ).bind(userId, email, name, Date.now()).run();
  }

  // 既存の登録済み Passkey 取得
  const credentials = await c.env.DB.prepare(
    "SELECT id FROM passkey_credentials WHERE user_id = ?"
  ).bind(userId).all();

  const excludeCredentials = credentials.results.map((cred) => ({
    id: cred.id as string,
    transports: ["internal" as const, "hybrid" as const],
  }));

  // WebAuthn 登録オプション生成
  const options = await generateRegistrationOptions({
    rpName: RP_NAME,
    rpID: RP_ID,
    userID: new TextEncoder().encode(userId),
    userName: email,
    userDisplayName: name,
    attestationType: "none",
    excludeCredentials,
    authenticatorSelection: {
      residentKey: "required",
      userVerification: "preferred",
    },
  });

  // KVにチャレンジ保存 (TTL: 2分)
  await c.env.AUTH_KV.put(`reg_challenge:${userId}`, options.challenge, { expirationTtl: 120 });

  return c.json({ options, userId });
});

// -------------------------------------------------------------------
// 2. Passkey 登録 - Step 2: デバイス署名検証および公開鍵のD1保存
// -------------------------------------------------------------------
app.post("/api/auth/register/verify", async (c) => {
  const { userId, response } = await c.req.json();

  const expectedChallenge = await c.env.AUTH_KV.get(`reg_challenge:${userId}`);
  if (!expectedChallenge) {
    return c.json({ error: "Challenge expired or invalid" }, 400);
  }

  // チャレンジを即時破棄
  await c.env.AUTH_KV.delete(`reg_challenge:${userId}`);

  const verification = await verifyRegistrationResponse({
    response,
    expectedChallenge,
    expectedOrigin: ORIGIN,
    expectedRPID: RP_ID,
  });

  if (!verification.verified || !verification.registrationInfo) {
    return c.json({ error: "Registration verification failed" }, 400);
  }

  const { credential } = verification.registrationInfo;

  // D1に公開鍵保存 (Base64エンコード)
  await c.env.DB.prepare(
    `INSERT INTO passkey_credentials (id, user_id, public_key, counter, created_at)
     VALUES (?, ?, ?, ?, ?)`
  ).bind(
    credential.id,
    userId,
    Buffer.from(credential.publicKey).toString("base64"),
    credential.counter,
    Date.now()
  ).run();

  return c.json({ success: true, message: "Passkey registered successfully" });
});

// -------------------------------------------------------------------
// 3. Passkey ログイン - Step 1: チャレンジ発行
// -------------------------------------------------------------------
app.post("/api/auth/login/options", async (c) => {
  const options = await generateAuthenticationOptions({
    rpID: RP_ID,
    userVerification: "preferred",
  });

  const sessionChallengeId = crypto.randomUUID();
  await c.env.AUTH_KV.put(`auth_challenge:${sessionChallengeId}`, options.challenge, { expirationTtl: 120 });

  return c.json({ options, sessionChallengeId });
});

// -------------------------------------------------------------------
// 4. Passkey ログイン - Step 2: 署名検証および超高速JWT発行
// -------------------------------------------------------------------
app.post("/api/auth/login/verify", async (c) => {
  const { sessionChallengeId, response } = await c.req.json();

  const expectedChallenge = await c.env.AUTH_KV.get(`auth_challenge:${sessionChallengeId}`);
  if (!expectedChallenge) {
    return c.json({ error: "Challenge expired" }, 400);
  }
  await c.env.AUTH_KV.delete(`auth_challenge:${sessionChallengeId}`);

  // D1から保存された Passkey 資格情報を取得
  const credRecord = await c.env.DB.prepare(
    "SELECT * FROM passkey_credentials WHERE id = ?"
  ).bind(response.id).first();

  if (!credRecord) {
    return c.json({ error: "Passkey not found" }, 404);
  }

  const publicKey = new Uint8Array(Buffer.from(credRecord.public_key as string, "base64"));

  // 署名検証
  const verification = await verifyAuthenticationResponse({
    response,
    expectedChallenge,
    expectedOrigin: ORIGIN,
    expectedRPID: RP_ID,
    credential: {
      id: credRecord.id as string,
      publicKey,
      counter: credRecord.counter as number,
    },
  });

  if (!verification.verified) {
    return c.json({ error: "Invalid signature" }, 401);
  }

  // クローン攻撃防止のための Counter 更新
  await c.env.DB.prepare(
    "UPDATE passkey_credentials SET counter = ? WHERE id = ?"
  ).bind(verification.authenticationInfo.newCounter, credRecord.id).run();

  // 5ms以内の超高速JWT発行 (Web Crypto連携 jose を使用)
  const secret = new TextEncoder().encode(c.env.JWT_SECRET || "fallback-secret-key-32-chars-min");
  const token = await new SignJWT({ userId: credRecord.user_id, role: "user" })
    .setProtectedHeader({ alg: "HS256" })
    .setIssuedAt()
    .setExpirationTime("7d")
    .sign(secret);

  return c.json({ success: true, token });
});

export default app;

ステップ3：フロントエンド (Web / Flutter) 連携

Webブラウザ連携コード

ブラウザ標準の @simplewebauthn/browser パッケージを活用すると、指紋/FaceID認証ポップアップをわずか1行で呼び出せます。

import { startRegistration, startAuthentication } from "@simplewebauthn/browser";

// 1. Passkey 会員登録
async function registerPasskey(email, name) {
  const optRes = await fetch("/api/auth/register/options", {
    method: "POST",
    headers: { "Content-Type": "application/json" },
    body: JSON.stringify({ email, name }),
  });
  const { options, userId } = await optRes.json();

  // ブラウザの指紋/FaceID生体認証ポップアップをトリガー
  const attResp = await startRegistration(options);

  const verifyRes = await fetch("/api/auth/register/verify", {
    method: "POST",
    headers: { "Content-Type": "application/json" },
    body: JSON.stringify({ userId, response: attResp }),
  });

  return await verifyRes.json();
}

// 2. Passkey 1秒で簡単ログイン
async function loginWithPasskey() {
  const optRes = await fetch("/api/auth/login/options", { method: "POST" });
  const { options, sessionChallengeId } = await optRes.json();

  // 生体認証を実行
  const asseResp = await startAuthentication(options);

  const verifyRes = await fetch("/api/auth/login/verify", {
    method: "POST",
    headers: { "Content-Type": "application/json" },
    body: JSON.stringify({ sessionChallengeId, response: asseResp }),
  });

  const { token } = await verifyRes.json();
  localStorage.setItem("access_token", token);
}

ベンチマークおよびコスト削減レポート

10万MAU（月間アクティブユーザー）を保有するモバイル/Webサービスを基準とした、従来のAuth0/Clerk SaaS対比でのCloudflare Native Passkeyシステムのコストおよびパフォーマンス指標の比較結果です。

コストおよびパフォーマンス比較表

Cloudflare Workersの無料プラン（1日10万リクエスト）およびPaidプラン（月額$5で1,000万リクエスト含む）を活用すれば、月間6,000ドル以上発生するAuth SaaSのコストを100%削減できます。

結論：2026年の自立したサーバーレスセキュリティアーキテクチャ

外部Auth SaaSはプロトタイプ開発時には非常に有用ですが、サービスが本格的な軌道に乗った瞬間、企業の利益率を圧迫する巨大なコスト負担となります。

Cloudflare Workersと Passkey (WebAuthn) の組み合わせは、以下のような次世代セキュリティ上のメリットをもたらします：

1. コスト0円のパイプライン：MAUの増加に伴う急速なSaaS手数料の爆発を完全排除
2. 5ms未満の超高速レスポンス：外部サーバーとの往復がない、世界300+のエッジデータセンターによる直接検証
3. 完璧な安全性：パスワード自体が存在せず、Web Crypto APIとセキュリティチップによるフィッシング攻撃の完全防御
4. データ所有権の確保：ユーザーアカウントおよび公開鍵データがSQLite D1に安全に保管され、ベンダーロックインを防止

外部認証サービスに毎月高額な請求を支払う代わりに、CloudflareエッジネイティブのPasskey認証パイプラインを構築し、最高水準のUXとインフラ効率性を同時に実現してみましょう。

関連記事: Drizzle ORM + Cloudflare D1：バンドル99%削減エッジSQLiteアーキテクチャで、エッジデータベーススキーマ構築ガイドもあわせて確認できます。