Microsoftアカウントのアプリパスワードは、2026年時点でも完全には不要になっていません。結論から言うと、2段階認証を有効にした個人用Microsoftアカウントで、確認コードやモダン認証に対応しない古いアプリ・機器を使うときに、まだ必要になるケースがあります。Microsoft公式でも、Xbox 360、Outlook 2010以前、メール送信機能付きセキュリティカメラのような古い環境を、アプリ パスワードの対象として案内しています。(マイクロソフトサポート)
一方で、iOSメール、Apple Mail、Thunderbird、現行のOutlookのように、Outlook.com として追加したり OAuth2/Modern Auth に切り替えたりできるアプリでは、アプリパスワードを作るより設定を直す方が正解です。Outlook.com側も、POP/IMAP/SMTPで OAuth2/Modern Auth を前提にしており、古い基本認証の延命策としてアプリパスワードに頼る使い方は、かなり狭い例外になっています。(マイクロソフトサポート)
Microsoftアカウントのアプリパスワードがまだ必要か、先に結論
- まだ必要になりやすい
2段階認証を有効にしたあと、古いアプリや機器で「正しくないパスワード」と出るときです。Microsoftは、Xbox 360や一部の古いメールアプリ、メール送信機能付きスマートデバイスを典型例として案内しています。(マイクロソフトサポート) - 不要なことが多い
iOSメールやApple MailをOutlook.comとして追加できる、ThunderbirdでOAuth2を選べる、現行OutlookでOutlook.comを直接追加できる場合は、アプリパスワードより再設定が先です。(マイクロソフトサポート) - アプリパスワードでは救えないことがある
Microsoftは2024年6月10日更新の案内で、9月16日以降はBasic認証で Outlook.com に接続できなくなると説明しています。さらに、別の現行サポート記事では2026年3月1日以降、ActiveSync 16.1未満のデバイスは接続できないと案内しています。古いクライアントの延命策として、アプリパスワードを期待しすぎない方が安全です。(マイクロソフトサポート) - 会社・学校アカウントは別ルール
組織アカウントでは、管理者がアプリ パスワード自体を無効化していることがあります。アプリ パスワードが表示されないなら、その組織では使えません。(マイクロソフトサポート)
まずはこの順で切り分ける
判断の目安
- 個人用Microsoftアカウントか、職場・学校アカウントか
この記事の中心は、@outlook.com@hotmail.comなどの個人用Microsoftアカウントです。職場・学校アカウントは管理者設定と認証方式が別で、同じ「アプリ パスワード」でも判断基準が変わります。(マイクロソフトサポート) - 2段階認証を有効にしているか
個人用Microsoftアカウントでは、2段階認証を有効にしていないとアプリ パスワードセクションは表示されません。逆に、2段階認証を有効にしたあとでだけ古いアプリが失敗するなら、アプリパスワードが必要なサインです。(マイクロソフトサポート) - アプリ側に
Outlook.comまたはOAuth2の選択肢があるか
あるなら、まずそちらを使います。Outlook.com側はPOP/IMAP/SMTPでもOAuth2/Modern Authを前提にしており、Apple MailやThunderbirdでもモダン認証へ寄せる手順が案内されています。(マイクロソフトサポート)
Microsoftアカウントでアプリパスワードがまだ必要な典型例
Microsoft公式が明示しているのは、2段階認証を理解できない古いアプリ・機器です。具体的には、Xbox 360、Office 2010以前のOutlook、メール送信機能付きセキュリティカメラのようなスマートデバイスが挙げられています。こうした機器は確認コード入力やOAuthのサインイン画面を出せないため、通常のパスワードの代わりに、長いランダム文字列のアプリパスワードを一度だけ入力して使います。(マイクロソフトサポート)
見落としやすいのが、パスワードレスにしても古い機器の都合は消えないことです。Microsoftは、パスワードレス運用でもXbox 360、Outlook 2010、セキュリティカメラなどには引き続きアプリパスワードが必要になると案内しています。つまり、パスワードレスは日常のサインインを安全にする仕組みであって、古い機器の認証方式まで自動で新しくしてくれるわけではありません。(マイクロソフトサポート)
不要なのにアプリパスワードを作りがちなケース
iPhoneのメール・Apple Mail
iOSメールアプリやApple Mailは、アカウントを Outlook.com として追加すれば、サインイン要求の承認で設定できる案内になっています。パスワードプロンプトや接続エラーが出る場合でも、Microsoftは「基本認証として構成された可能性が高いので、アカウントを削除して Outlook.com として追加し直す」手順を案内しています。先にアプリパスワードを作るより、設定方法を直す方が近道です。(マイクロソフトサポート)
Thunderbird
Thunderbirdは先進認証をサポートしており、Microsoftは [認証方法] を OAuth2 に変更する手順を案内しています。通常のパスワード のまま Outlook.com に接続しようとしているなら、アプリパスワードへ逃げる前に OAuth2 へ切り替えるべきです。(マイクロソフトサポート)
Outlook for Windows
Outlook.comをOutlookデスクトップで使う場合も、考え方は同じです。Microsoftの現行サポートでは、現在のMicrosoft 365サブスクリプション版Outlookと、Outlook 2021 LTSCのビルド11601.10000以降は Outlook.com への OAuth 接続をサポートしています。逆に、Outlook 2007/2010/2013/2016 MSI/2019 LTSC や、Outlook.comを POP/IMAPとして 構成したOutlookは OAuth 非対応です。こうした構成では、アプリパスワードよりも 新しいプロファイルを作って Outlook.com/Exchange 同期で追加し直す 方が本筋です。(マイクロソフトサポート)
いちばん混同しやすい仕様差
個人用Microsoftアカウントと職場・学校アカウントは別ルール
職場・学校アカウントのアプリ パスワードは、組織の管理者が許可していないと使えません。アプリ パスワード が表示されないなら、その組織では利用不可です。さらに、組織アカウント向けのMicrosoft公式では、「Office 2013クライアントは新しい認証プロトコルをサポートしており、2段階認証後でもアプリ パスワードは不要」と説明しています。(マイクロソフトサポート)
ここで厄介なのが、個人用の Outlook.com では話が違うことです。Outlook.com向けの別の公式記事では、Outlook 2013 は Outlook.com の先進認証をサポートしない側に入っています。つまり、検索結果で「Outlook 2013なら大丈夫」という説明を見つけても、それが会社アカウント向けの説明なら、個人のMicrosoftアカウントにはそのまま当てはまりません。ここを取り違えると、不要なアプリパスワード作成や、逆に必要なアップグレードの見逃しにつながります。(マイクロソフトサポート)
2026年時点で見ておきたい落とし穴
Outlook.comを手動でPOP/IMAP設定する場合、POP/IMAPアクセスは既定で無効です。さらに Outlook.com の POP/IMAP/SMTP は OAuth2/Modern Auth 前提で、パスワードが認識されない場合やスマートデバイス追加時にはアプリパスワードが必要になることがある、とMicrosoftは案内しています。つまり「手動設定だから、とりあえずアプリパスワード」ではなく、まずPOP/IMAPを有効化し、次にOAuth2対応かを確認し、それでも古いスマートデバイスだけが残るならアプリパスワードという順番で考えるべきです。(マイクロソフトサポート)
もうひとつ重要なのが、Basic認証の廃止とActiveSync 16.1未満の切り捨てです。前者ではBasic認証で Outlook.com に接続しようとすると接続できなくなり、後者では古いネイティブメールアプリや旧型デバイスの一部が、資格情報の正誤に関係なく接続できなくなります。こうなると、アプリパスワードは万能薬ではなく、アプリ更新や端末入れ替えの判断が必要です。(マイクロソフトサポート)
どうしても使うなら、Microsoftアカウントのアプリパスワードはこう使う
個人用Microsoftアカウントでアプリパスワードを作る条件は明確です。2段階認証を有効にしたうえで、サポートされていない古いデバイスを使っていること。作成は Microsoft アカウントの 高度なセキュリティ オプション にある アプリ パスワード から行い、生成された文字列を通常のMicrosoftアカウントのパスワード欄に入力します。必要に応じて複数のアプリパスワードを作成でき、基本的には一度入力すれば繰り返し不要です。(マイクロソフトサポート)
再入力を求められたときは、古い文字列を探し回るより新しいアプリパスワードを作り直す方が早いです。Microsoftも、アプリパスワードはサインインごとに一意で、覚える必要はなく、再度必要になったら新規作成でよいと案内しています。運用上は「どの機器用に作ったか」をメモに残し、普段使いのスマホやPCメールでは増やしすぎないのが無難です。(マイクロソフトサポート)
結局、次に何をすべきか
迷ったら、次の順で判断すると失敗しにくくなります。普段使いのメールアプリなら、まず Outlook.com / OAuth2 で再設定する。個人用か会社用かを切り分ける。どうしても古い機器だけが残るなら、その機器に限ってアプリパスワードを使う。 これが、いまのMicrosoftアカウント運用でいちばん現実的です。(マイクロソフトサポート)
日常のサインイン手段としては、アプリパスワードを増やすより、Microsoft Authenticator、Windows Hello、パスキーのような新しい方法へ寄せた方が安全です。Microsoftも個人用Microsoftアカウントでパスワードレスとパスキーの利用を案内しています。ただし、古い機器がある限りアプリパスワードは“例外処理”として残るので、常用の認証手段ではなく、古い機器をつなぐための暫定策と位置づけるのが適切です。(マイクロソフトサポート)
コメント