パスワードマネージャー乗り換え｜エクスポートで移せない6つとCSV平文の注意点

※本記事はアフィリエイト広告（PR）を含みます。

パスワードマネージャーの乗り換えは、手順だけを見ればとても短く終わります。旧サービスからエクスポートし、新サービスへインポートする。それだけです。

つまずくのは、その2手順の外側です。エクスポートに含まれないデータがあること、作業の途中でパスワードが暗号化されていないファイルになること、そして移行を機に整理しないと、使っていない登録や使い回しがそのまま新しい環境へ引き継がれることです。

この記事では、乗り換えを始める前に確認しておきたい項目を、エクスポート形式・2FA（二段階認証）の扱い・重複や古いパスワードの整理という3つの軸で整理します。特定の製品をすすめる内容ではなく、どのサービスからどのサービスへ移る場合でも共通して確認できる形にしています。

作業の順番を先に決める

思いついた順に手を動かすと、後から取り返しがつかない箇所が出ます。先に順番を決めてください。

1. 現状を把握する：登録件数、共有している項目、2FAを入れている項目を数える
2. 整理する：不要な登録を消し、重複をまとめる（エクスポートより前）
3. エクスポートする：形式を選び、ファイルの置き場所を決める
4. インポートする：新サービスへ取り込む
5. 検証する：件数と実際のログインを確認する
6. 後始末する：ファイルを消し、旧サービスを閉じる

整理を2番目に置いているのには理由があります。多くのサービスのインポート機能は、重複を検出しません。Bitwarden のヘルプは「インポートは重複を確認しません。同じファイルを複数回インポートしたり、すでに保管庫にある項目をインポートしたりすると、重複した項目が作成されます」と明記しています。汚れたまま移せば、汚れたまま増えます。

確認1：エクスポート形式によって移せる範囲が変わる

「エクスポート」とひとくくりにされますが、形式ごとに運べる情報量がまったく違います。

形式	特徴	向いている場面
CSV	対応サービスが最も多い。一方で記録できる項目が少ない	ID・パスワード・URLだけを確実に移したいとき
JSON（平文）	カード情報や本人確認情報など、CSVでは落ちる項目まで含められる	同系統のサービス間、または情報量を優先するとき
JSON（暗号化）	ファイル自体が保護される。取り込み側の対応が必要	バックアップとして保管する必要があるとき
ZIPなど添付込みの形式	保管庫に添付したファイルを含められる。対象範囲に制限がある場合がある	免許証の控えなどを添付している場合
アプリ間の直接転送	ファイルを作らずに移す。対応サービスと対応OSが限られる	両サービスが対応していて、平文ファイルを作りたくないとき

実例を挙げると、1Password のサポートページは、CSV でのエクスポートは「ログイン項目とパスワード項目のみ」であり、セキュリティの質問、リンクされた項目、カスタムフィールドは含まれないと説明しています。カスタムフィールドに二段階認証のバックアップコードを入れている人は、その注意書きの対象です。Bitwarden も、カード、本人確認情報、パスキー、SSHキーは JSON 形式のエクスポートでしか含まれないとしています。

また、暗号化エクスポートには別の落とし穴があります。Bitwarden のヘルプは、アカウントに紐づく暗号化エクスポートは他のアカウントへはインポートできず、アカウントの暗号化キーをローテーションすると復号できなくなると案内しています。「安全だから暗号化」で選ぶ前に、その用途が移行なのか保管なのかを分けて考えてください。

ファイルを作らない移行という選択肢

FIDO Alliance は2024年10月に、資格情報を事業者間で移すための Credential Exchange Protocol（CXP）と Credential Exchange Format（CXF）の作業草案を公開しました。「平文で転送されない形で、既定として安全に」資格情報を移すことを目的としたもので、1Password、Apple、Bitwarden、Dashlane、Google、Microsoft などが参加しています。ただし公開時点では作業草案であり、実装向けではないと明記されています。

お使いの2つのサービスがすでにこの種の直接転送に対応しているなら、平文ファイルを一度も作らずに済みます。乗り換え先を決める前に、両方のヘルプで対応状況を確認する価値があります。

確認2：エクスポートに含まれないものを先に洗い出す

「移ったつもりで消してしまった」が一番痛い失敗です。移行前に、次の項目が自分の保管庫にあるかを確認してください。

• 添付ファイル：形式によっては含まれません。個人保管庫のみ対応、といった制限がある場合もあります
• ゴミ箱の項目：エクスポートに含まれないのが一般的です。必要なものは先に復元します
• 共有機能で送った項目：Bitwarden の Send のような一時共有機能はエクスポート対象外です
• パスキー：JSON でしか出力されない、といった制限があります。Bitwarden は、エクスポートしたパスキーには使用のたびに増えるカウンターが含まれるため、長期的なバックアップとして使うべきではないとしています
• カスタムフィールド・メモ・セキュリティの質問：CSV では落ちることがあります
• フォルダやタグ、共有権限：構造そのものが再現されない場合があります

いずれも「一般にこうなりやすい」という傾向であり、最終的な仕様は移行元と移行先のヘルプで確認してください。確認の手間を惜しむと、後から気づいたときに旧サービスがすでに解約済み、という順番になりがちです。

確認3：書き出したファイルは、そのままでは誰でも読める

これが乗り換えで最も危険な瞬間です。各社のヘルプはいずれもはっきり警告しています。

• 1Password：「エクスポートされたデータファイルは暗号化されていません。平文で保存されます」「エクスポートしたデータファイルにアクセスできる人は誰でも、あなたのパスワードを読むことができます」
• Microsoft Edge：「CSV にエクスポートされたパスワードは保護されず、エクスポートされたファイルを見ることができるすべてのユーザーに表示されます。」
• Google（Chrome）：パスワードファイルを削除しない場合、そのデバイスを使えるユーザーなら誰でもファイルを開いて中身を見られる、と案内しています
• Bitwarden：「暗号化エクスポートを使用しない限り、エクスポートしたファイルをメールのような安全でない経路で保存・送信しないでください。使用後は直ちにファイルを削除してください」

取り扱いの実務ルール

1. 保存先をクラウド同期の外にする：デスクトップやドキュメントが OneDrive や iCloud Drive に同期されている環境では、保存した瞬間にクラウドへ複製されます。ダウンロードフォルダも同期対象になっていないか確認してください
2. メール添付・チャット送信・共有ドライブを使わない：自分宛てのメールも例外ではありません
3. 作業を中断しない：エクスポートからインポートまでを一気に終える予定を組みます。「明日続き」は放置と同義です
4. 終わったら確実に消す：Microsoft のヘルプは Shift+Delete による完全削除を案内しています。ゴミ箱に残った状態は削除ではありません
5. コピーの痕跡を確認する：クラウドのバージョン履歴、端末のバックアップ、表計算ソフトの「最近使ったファイル」など、意図しない複製が残っていないかを見ます
6. 共用PC・業務PCでやらない：管理者が中身を閲覧できる環境、資産管理ソフトがファイル操作を記録する環境では行わないでください

確認4：2FAの移行は、パスワードの移行とは別の作業

パスワードマネージャーの中でワンタイムパスワード（TOTP）を生成させている場合、ここが最大の作業量になります。

まず理解しておきたいのは、画面に表示されている6桁の数字は移せないという点です。移せるのは、その数字を生成する元になっている秘密情報（QRコード、または英数字の文字列）だけです。Bitwarden も 1Password も、QRコードの読み取りか、シークレットキーの手入力によって項目に登録する仕組みだと説明しています。移行先で TOTP を使いたければ、この元データが必要になります。

元データを手元に残していない場合、確実なのは各サービスの設定画面で二段階認証を登録し直すことです。手順としては次の形になります。

1. 重要度の高いアカウント（メール、銀行、決済、クラウドストレージ、SNS）を先に並べる
2. 旧環境がまだ動いているうちに、1件ずつ移行先で登録し直す
3. 登録直後に、実際にログインしてコードが通ることを確認する
4. 各サービスが発行するバックアップコードを取得し、保管する

順番が重要です。旧環境を消す前に、新環境で通ることを確認してください。メール自体に2FAをかけている場合、ここを飛ばすと復旧手段を同時に失います。

同じ保管庫に入れるかどうか

パスワードマネージャー内蔵の TOTP は便利です。自動入力の流れでコードまで入るため、手間はほとんどありません。一方で、パスワードと二段階認証の要素が同じ保管庫に収まることになります。保管庫そのものが破られた場合、2つの要素が同時に渡ることになる、という構造上のトレードオフは理解しておいてください。

IPA の不正ログイン対策の解説は、多要素認証について「仮にIDおよび1つ目のパスワードを不正利用されてもログインはできないことから、不正ログイン防止に効果がある」と説明しています。この効果を最大限に保ちたい重要アカウントだけ、別のアプリや物理キーに分けるという判断はあり得ます。乗り換えは、その方針を見直す良いタイミングです。

パスキーを使っているアカウントがある場合は、保存先によって新しいパソコンへ引き継げるかどうかが変わります。保存先ごとの違いはパスキーは保存先しだいで、PCを買い替えると使えなくなるで解説しています。

ここまでは「自分が使う側」の二段階認証の話です。もし自分でWebサイトや会員向けサービスを運営していて、ログインする側にも二要素認証を用意したいのであれば、認証のしくみを自前で作らず外部サービスへ任せる方法もあります。WordPressの不正ログイン対策などに使えるValue-Auth（無料枠あり）のような本人認証サービスを使うと、SMSやメールのワンタイムパスワードを既存のログイン画面に足せます。対応している認証方式と料金体系は公式ページで確認してください。

※上記は広告（アフィリエイトリンク）です。料金・プラン・キャンペーン内容は変わることがあるため、申し込み前に公式ページで最新の条件を確認してください。

確認5：重複と古いパスワードは、移行前に減らす

前述のとおり、インポートは重複を検出しません。加えて、移行作業そのものが「全件を1度は見る」貴重な機会になります。次の観点で棚卸ししてください。

対象	判断	移行前の処理
もう使っていないサービス	退会済み・サービス終了	削除する（退会していないなら退会を検討）
同じサイトの重複エントリ	どれが現行か分からない	ログインできる1件に統合する
使い回しているパスワード	複数サービスで同一	重要な順に個別のものへ変更する
漏洩が報告されたパスワード	チェック機能が警告	移行前に変更する
URLが http:// の登録	古い登録の可能性	現行URLへ更新する
2FAを設定できるのに未設定	設定漏れ	移行後の作業として一覧化する

判断材料は、多くのサービスが用意している診断機能から得られます。Google のパスワード チェックアップは、「漏洩している」「脆弱である」「複数のアカウントで使用されている」の3点を一覧で示します。Bitwarden も、漏洩したパスワード、使い回し、脆弱なパスワード、http のサイト、二段階認証が未設定の項目を、それぞれレポートとして提供しています。

何を「弱い」と見なすか

整理の基準として、米国 NIST のガイドライン SP 800-63B が参考になります。同文書の 5.1.1.2 は、新しいパスワードを設定する際に、過去の漏洩データや辞書に載っている語、「aaaaaa」「1234abcd」のような反復・連続、サービス名やユーザー名に由来する語といった「よく使われる、予想される、または漏洩済み」の値と照合すべきだとしています。

同時に、次の2点も示されています。

• 大文字・小文字・記号の混在といった構成ルールを課すべきではない（SHOULD NOT）
• 定期的な変更を一律に要求すべきではない（SHOULD NOT）。ただし漏洩の証拠がある場合は変更を強制する（SHALL）

つまり整理の優先順位は、「記号が入っていない」ではなく「漏洩している」「使い回している」です。IPA も、パスワードは「できるだけ長く」「複雑で」「使い回さない」ものにすることを推奨し、複数サービス間での使い回しをしないことが重要だとしています。乗り換え時に全件を機械的に変更する必要はありません。

確認6：インポート直後の検証項目

取り込みが終わった時点では、まだ乗り換えは完了していません。旧環境を残したまま、次を確認してください。

• 件数：移行前に控えた登録件数と一致するか。Google パスワード マネージャーのように1回あたりの上限（3,000件）が設けられている場合もあり、大量登録では分割が必要です
• 重要アカウントの実ログイン：10件程度、実際にログインします。保存されているだけでは検証になりません
• TOTPの動作：コードが実際に受理されるか
• メモとカスタムフィールド：口座番号や設定値を書き込んでいた項目が空になっていないか
• 添付ファイル：件数と開けるかどうか
• 共有項目：家族やチームと共有していた項目の権限
• 自動入力：ブラウザ拡張機能、スマートフォンの自動入力設定が新しいアプリに切り替わっているか
• 文字化け：日本語のサービス名やメモが崩れていないか

この確認が終わるまで、旧サービスのデータは消さないでください。

確認7：旧環境の後始末まで含めて乗り換え

検証が終わったら、次の順で閉じます。

1. エクスポートファイルを削除する：ゴミ箱、クラウドのバージョン履歴、ダウンロード履歴まで確認します
2. 旧サービスのデータを削除する：Bitwarden のヘルプも、他のパスワードマネージャーやブラウザから移行した場合は、そちらのデータも削除することを検討するよう案内しています
3. ブラウザ保存を止める：ブラウザ側にも保存されている場合、二重管理になります。保存済みを削除し、新規保存の確認を無効にします
4. 旧アカウントを削除し、サブスクリプションを解約する：アプリを消しただけでは自動更新は止まりません
5. 端末からアプリを削除する：使っていないスマートフォンやタブレットも含めます

つまずきやすい点

• CSVの文字コード：日本語が崩れる場合、文字コードの違いが原因のことがあります。表計算ソフトで開いて保存し直すと、かえって形式が壊れることがあるため、まずは移行先の対応形式を確認してください
• 改行を含むメモ：メモ欄に改行が入っていると、CSVの行が意図せず分割されることがあります
• URLの表記ゆれ：スキーム（https://）やサブドメインの違いで、自動入力が反応しない登録が出ます
• スマートフォン側の設定漏れ：PCで移行しても、スマートフォンの自動入力サービスが旧アプリのままだと、旧環境を消した時点で入力できなくなります
• マスターパスワードの控え：新サービスのマスターパスワードとリカバリー手段は、乗り換え当日に確定させ、パスワードマネージャーの外に保管します

まとめ：乗り換え前チェックリスト

• 移行元と移行先の対応形式を、両方のヘルプで確認したか
• エクスポートに含まれないもの（添付、パスキー、ゴミ箱、カスタムフィールド）を把握したか
• 不要な登録と重複を、エクスポート前に整理したか
• 漏洩・使い回しのパスワードを洗い出したか
• ファイルの保存先がクラウド同期の外にあるか
• 2FAの再登録が必要な項目を一覧化したか
• バックアップコードの保管先を決めたか
• 検証が終わるまで旧環境を残す計画になっているか
• エクスポートファイルの削除とサブスクリプション解約まで予定に入れたか

乗り換え作業そのものは1〜2時間で終わります。時間がかかるのは、その前後にある整理と検証です。逆に言えば、この2つを飛ばした乗り換えは、古い問題を新しい場所へ運んだだけになります。

参考情報・出典

• Export Vault Data | Bitwarden（エクスポート形式、JSON限定の項目、パスキーのカウンター、平文ファイルの取り扱い）
• Import Data to your Vault | Bitwarden（重複を検出しない仕様、インポート後のファイル削除）
• Vault Health Reports | Bitwarden（漏洩・使い回し・脆弱・http・2FA未設定のレポート）
• Integrated Authenticator | Bitwarden（TOTPシークレットの登録方法）
• Export data from 1Password | 1Password Support（CSVで移らない項目、平文であることの警告）
• Use 1Password as an authenticator for sites with two-factor authentication | 1Password Support（ワンタイムパスワードの登録方法）
• Chrome でパスワードとパスキーをインポートまたはエクスポートする – Google Chrome ヘルプ（CSV形式、3,000件の上限、ファイル削除の注意）
• Google アカウントの不正使用されたパスワードを変更する – Google アカウント ヘルプ（パスワード チェックアップの判定項目）
• Microsoft Edge でパスワードをエクスポートする | Microsoft Support（CSVが保護されないこと、完全削除の案内）
• NIST Special Publication 800-63B: Digital Identity Guidelines – Authentication and Lifecycle Management（5.1.1.2 漏洩リストとの照合、構成ルールと定期変更に関する記述）
• 不正ログイン対策特集ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構（パスワードの使い回し、多要素認証の効果）
• FIDO Alliance Publishes New Specifications to Promote User Choice and Enhanced UX for Passkeys（CXP/CXFの目的と作業草案としての位置付け、2024年10月14日公開）

参照日：2026年8月30日（日本時間）。各サービスの画面表示や仕様はバージョンにより変わることがあります。実際の操作前に、お使いのサービスの公式ヘルプで最新の記載を確認してください。

⚡ いま読まれているトレンド

• ドコモ「あんしんフィルター」の障害が続く｜設定が変えられない・アプリが使えないときの対処（Androidは窓口で暫定案内、iPhoneはプロファイル削除）
• 日本シリーズ2026はどこで見られる？｜第2戦〜第7戦のテレビ（TBS・NHK BS・日テレ・テレ朝）とネット配信（TVer・U-NEXT・Hulu・ABEMA）
• DEAN & DELUCAのチャリティートートバッグ2026｜先行販売の抽選は10月29日17時まで、発売は11月1日。アプリでのエントリーと当日の時間

→ トレンド記事をもっと見る