セキュリティ対策

このドキュメントでは、加盟店としてオンラインで支払いを受け取る際の責任、またOpn Paymentsが提供するセキュリティ対策について説明します。さらに、Opn Paymentsが遵守する、トークン化、暗号化、PCI DSS準拠などの重要なコンセプトを含む、セキュリティ対策の概要を記しています。

こちらのドキュメントをご覧になり、ご不明な点があればOpn Paymentsサポートまでご連絡ください。

クレジットカード情報をデバイスから送信する

Opn Paymentsは、PCI DSS 3.2.1の準拠認定を受けています。PCI DSSは、クレジットカードの情報が、安全な環境下で、処理、保存、および送信されることを保証する業界のセキュリティ基準です。

PCI DSSに準拠するには、クライアント側のライブラリまたはプラグインのいずれかを使用して、ユーザーのクライアントデバイスから、暗号化されたVaultサーバに、クレジットカードの情報を直接送信する必要があります。

このライブラリは、バックエンドサーバーで使用するワンタイムパスワードを返し、課金の作成やその他の操作を実行します。このをとる場合、実際のクレジットカード情報がサーバー上を通過することはありません。

販売先がPCI DSS準拠の加盟店である場合は、この限りではありません。PCI DSSに準拠する加盟店がクレジットカード情報を直接処理する場合、Opn Payments側に通知していただく必要があります。

ユーザのブラウザで決済を受け取る場合、Omise.jsで作成された決済フォームを使用してください。ユーザの携帯電話で決済を受け取る場合は、iOSまたはAndroid SDKを使用してください。プラグインを使用している場合は、ソースコードを変更しないでください。

クレジットカード情報の偶発的な取得を回避する

機密性の高いクレジットカード情報が誤って取得されることがないよう、次の点にご注意ください。

決済フォームを作成する場合、クレジットカード情報を含むパラメータが誤ってサーバーに送信されたり、サーバーログに保存されたりしないようご注意ください。

決済ページでのトラッキングを無効にしてください。MixpanelやGoogle Analyticsなどの分析ツールは、機密情報を含むデータを収集し、その情報を第三者に送信することがあります。

HTTPSをウェブサイトで有効にする

決済ページだけでなく、ウェブサイト全体にHTTPSを使用するよう強くお勧めします。

決済ページでHTTPSを有効にすることで、顧客の機密データを保護し、アカウント情報の漏洩を防止します。そうすることで顧客の信頼が向上しますので、結果的に販売の促進へつながります。検索エンジンは、HTTPS対応サイトを上位にランク付けします。

Transport Layer Security(TLS)は、SSLの後継バージョンです。ウェブサーバーでHTTPSを有効にするには、TLS(バージョン1.2以降)およびサポート済みの暗号を使用する必要があります。

SSLサーバーの証明書取得にはLet's Encryptを使用することをお勧めします。

HTTPSは、webhookエンドポイントURLにも必要です（有効になっている場合）。

サポート済みのTLS暗号

サポート済みのTLS暗号は次の通りです。

• ECDHE-ECDSA-AES128-GCM-SHA256
• ECDHE-RSA-AES128-GCM-SHA256
• ECDHE-ECDSA-AES128-SHA256
• ECDHE-RSA-AES128-SHA256
• ECDHE-ECDSA-AES256-GCM-SHA384
• ECDHE-RSA-AES256-GCM-SHA384
• ECDHE-ECDSA-AES256-SHA384
• ECDHE-RSA-AES256-SHA384

安全性が低い他のTLS暗号は、サポートされていない場合があります。

シークレットキーの安全な保管・利用方法

各アカウントにはパブリックキーとシークレットキーがあります(API認証を参照)。パブリックキーは、クレジットカードのトークン化など、安全性が保証されている限られた目的でのみ使用可能です。

シークレットキーを使用すると、課金の作成、返金手続き、送金、顧客情報のダウンロードなど、すべてのAPI操作を実行できます。シークレットキーの機密性を保つため、またセキュリティ上の観点から、次の点にご注意ください。

• コードリポジトリ上でシークレットキーを保管しないでください。環境変数の保存に対応しているクラウドサービスを利用してください(Herokuのサンプルドキュメントを参照)。
• アカウントを他の人と共有しないでください。当該アカウントへの外部からのアクセスを確認するには、https://dashboard.omise.co/sessions をご覧ください。
• ダッシュボード、ウェブサイト、または他のEコマースを管理するバックエンドでは、常に強力なパスワードと2段階認証(2FA)を使用してください。

シークレットキーに問題が発生した場合、ダッシュボード上で速やかにキーを更新してください。

アカウントの安全性を確認するため、トラブルが発生した場合はOpn Paymentsまでご報告ください。

不正行為を最小限に抑えるには

Opn Paymentsの不正防止システムでは、エンドユーザーが使用しているブラウザから必要な情報を取得し、それぞれの決済方法ごとのリスクスコアを算出しています。

Omise.jsは、決済フォームやクレジットカード情報を安全に取得するだけでなく、顧客のクライアントIP、ブラウザのユーザーエージェント、不正防止システムで使用されるブラウザー履歴などの追加情報も収集します。

例えば、IPアドレスがホスティングサーバーやTorネットワーク、あるいは公開プロキシに属している場合、エンドユーザーが特定しにくく透明性が低いため、不正利用の可能性が高いと考えられます。一方、IPアドレスがADSLユーザーに属していて、エンドユーザーがカードを利用した国と一致する場合は、不正利用の可能性は低いため、リスクスコアは低くなります。

この不正防止システムを最大限に活用するため、特に米国およびカナダの顧客に関しては、前もって請求先住所の情報を取得し、charge.ip、charge.description、customer.emailなどの推奨パラメーターを提供してください。

購入に関する追加情報(商品の数、商品の分類や配達日など)と顧客に関する情報(顧客の実際のIPアドレスなど)を提供すると、データが送られ、不正防止システムがより正確に機能するようになります。

ログを監視する

業種、業態によっては不正取引発生率が他よりも高い傾向がみられます。禁止されている商品一覧をご参照ください。

発送の必要がなく、即ダウンロード可能なデジタルコンテンツやモバイル入金はその一例です。返金や取引キャンセルが発生した時には既にコードが利用済みのものだった、といった事例が報告されています。

もしビジネスの一部がこのカテゴリに該当する場合は、直ちに措置をとれるようログを確認しておくことをお勧めします。ログの確認はダッシュボードの [ログ] からアクセスできます。

常に最新版を利用する

セキュリティの脅威は常に進化していますが、Opn Paymentsのセキュリティは、定期的にライブラリの新しいバージョンをリリースすることで、バグや潜在的な脆弱性を排除しています。

ソフトウェアを最新の状態に保つようにしてください。オンラインで安全に支払いを受け取るための最新の推奨事項については、こちらのサイトをご確認ください。

次のステップ

• セキュリティの概要
• 不正取引対策