SECURITY
セキュリティへの取り組み
お客様の個人情報とお支払いを守るため、どのような対策をしているかをまとめたページです。 専門用語はできるだけ使わず、「何をして、なぜ安心できるか」を説明します。
ひとことで言うと
日本の「クレジット取引セキュリティ対策協議会」が定めるセキュリティ・チェックリストを参考に、 お支払い・ログイン・運営画面・データの保管について、複数の層で対策を重ねています。 決済は Stripe に任せ、当サイトではカード情報を保持しません。
お支払いの安全
カード情報は当サイトでは保存しません。お支払いは Stripe の専用ページで処理し、結果だけを安全な経路で受け取ります。
- カード番号・セキュリティコードは EC_Merch のサーバーに送りません
- Stripe Checkout（Stripe 公式の決済画面）でお支払い
- 支払いの成功・失敗は記録として残し、注文やプランに反映
- 不正な連続決済を防ぐため、決済開始の回数に上限を設けています
- 本人確認（3Dセキュアなど）は Stripe 側の仕組みで実施
ログインとアカウント
会員ログインがあるため、パスワードの強度やログイン試行の制限、新しい環境からのログイン通知などを行っています。
- パスワードは12文字以上を推奨（登録・変更時にチェック）
- 短時間に何度もログインを試みると、しばらく制限されます
- ログインに何度も失敗すると、一定時間ロックされます
- これまでと違う端末・環境からログインしたときは、メールでお知らせします
- ログインの成功・失敗は記録し、運営側で確認できるようにしています
サイト全体の保護
通信の暗号化、不正な埋め込みの防止、エラー内容の出し過ぎ防止など、ブラウザとサーバーの両方で守りを重ねています。
- 本番環境では HTTPS（鍵マーク）のみでアクセス
- 他サイトへの意図しない埋め込みを防ぐ設定
- システム内部の詳細が漏れないよう、エラー表示を控えめに
- 入力内容はサーバー側でもう一度チェックしてから保存
運営者（管理）画面の保護
商品管理や注文確認など、運営者だけが使う画面は、一般のお客様とは別の強い守りをかけています。
- 管理画面の住所（URL）は推測しにくいものに変更可能
- 管理画面には、ID・パスワードに加えて二段階認証（ワンタイムコード）が必要
- サーバー側でも、追加のパスワード（ベーシック認証）を要求
- ログイン失敗が続くと、管理者アカウントをロック
お支払いの流れ（安全面）
商品購入・プラン購入とも、次の流れで処理します。
1. 注文内容を保存
何をいくらで買うかを、先に当サイトのデータベースに記録します。
2. Stripe の画面へ移動
カード入力は Stripe の公式ページで行います。当サイトにはカード番号は届きません。
3. 結果を安全に受け取る
Stripe から「支払いが完了した」という通知を受け取ります。なりすまし防止のため、送信元と金額を確認します。
4. 注文・プランに反映
成功した場合だけ、注文状況やプランの有効化を進めます。失敗時はそのまま記録します。
支払いの仕組みの詳しい説明はStripe解説ページをご覧ください。
チェックリストとの対応（概要）
オンラインでクレジットカード取引を行う事業者向けのセキュリティ・チェックリストに沿って、主な項目を実施しています。
| 項目 | 状況 | 内容（わかりやすく） |
|---|---|---|
| 管理者画面の保護 | 実施済み | アクセス制限・二段階認証・ログイン失敗時のロック |
| 重要データの置き場所 | 実施済み | 顧客情報や設定ファイルは公開フォルダに置かない |
| Webアプリの脆弱性対策 | 実施済み | 安全な作り方での開発・入力チェック・定期的な更新 |
| サーバーのウイルス対策 | 運用で実施 | サーバー側のウイルス対策ソフトの導入・更新（インフラ運用） |
| クレジットカードの不正利用対策 | 実施済み | Stripe の仕組み＋決済回数の制限・エラー内容の非表示 |
| 不正ログイン対策 | 実施済み | ログイン制限・記録・新環境からのログイン通知 |
お客様にお願いしたいこと
運営側の対策に加えて、次の点にご協力いただけると、より安全にご利用いただけます。
- パスワードは他のサービスと使い回さない
- 「新しい端末からログインしました」というメールに心当たりがなければ、すぐにパスワードを変更する
- ブラウザのアドレスバーに鍵マーク（HTTPS）があることを確認する
- 不審なリンクからログインしない
新しい端末からのログイン通知メールが届いた場合は、身に覚えがなければすぐにパスワードを変更し、 必要に応じて運営までお問い合わせください。
継続的な改善
セキュリティは一度設定すれば終わりではなく、ソフトウェアの更新、サーバーの見直し、 必要に応じた専門家による診断などを継続して行います。 お客様に関係のない内部の仕組みについても、より安全な方式へ段階的に改善していく方針です。