多くの企業は、決済の外観と流れを微調整しています。しかし、EC の不正利用は 2024年の443億ドルから 2029 年には 1,070 億ドルに増加すると予測されており、セキュリティ の重要性もそれと同等に高まるはずです。単一障害点が不正利用、チャージバック、または信頼の喪失を意味する場合、企業は取引プロセスのあらゆる部分にセキュリティを組み込む必要があります。

以下では、決済を安全にするために必要なことを、仕組みや顧客の視点を含めて説明します。

この記事の内容

• 「チェックアウトsecure」とはどういう意味ですか？
  
• セキュリティとスピード、使いやすさのバランスをどのように取っていますか?
  
• 安全な決済体験に欠かせない要素は何ですか?
  
• 失敗した取引や疑わしい取引にはどう対処すべきですか？
  

「チェックアウトsecure」とはどういう意味ですか？

「安全な決済」は、ブラウザバーの小さな南京錠だけを指すわけではありません。これは、決済フローの背後にあるシステム全体であり、機密データを保護し、不正利用を検出する仕組みです。

安全な決済の舞台裏で何が起こっているかは次のとおりです。

データは暗号化されます。誰かが決済情報を入力するたびに、そのデータはトランスポートレイヤーセキュリティ(TLS)暗号化を使用してスクランブルされるため、転送中に誰もデータを傍受することはできません。
- 機密性の高い詳細はトークンに置き換えられます。誰かがあなたのデータベースに侵入した場合、彼らは実際のクレジットカード番号の代わりにプレースホルダーのみを取得します。
- 不正利用検出はリアルタイムで機能します。 機械学習モデル は、各取引をスキャンして、場所の不一致、異常な支出パターン、ボットの行動などの疑わしいシグナルを探し、つじつまが合わないものはすべてフラグを立てるかブロックします。

これらのレイヤーが連携して、適切な人物が支払いを行い、その情報が保護されるようにします。

人々は購入するときに安心感を求めています。そのため、「セキュアチェックアウト」、鍵のアイコン、おなじみの決済ロゴなどの視覚的な手がかりが重要です。

セキュリティとスピード、使いやすさのバランスをどのように取っていますか?

セキュリティとユーザビリティの間の緊張感は、決済時に最も明確に現れます。セキュリティチェックを追加しすぎると、顧客が離れてしまう可能性があります。あまりに多くのことを剥ぎ取ると、不正利用の扉を開いたままにすることになります。チャレンジは、セキュリティと顧客体験を考慮した設計です。

以下で、実際にどのようなものなのかを説明します。

プロセスを無駄なくする

必要なものだけを求めてください。長い決済フォームはコンバージョンキラーです。デジタル商品を販売している場合は、配送先住所は必要ありません。請求書送付先住所がオーソリに必要ない場合は、スキップしてください。

決済フロー をできるだけ少ない画面に統合します。新しいページごとに、読み込み時間、潜在的なドロップオフ、および何かがうまくいかない可能性が生じます。

面倒な作業はバックグラウンドツールにお任せください

適応型不正利用検出を使用します。Stripe などの決済代行業者は、機械学習を使用してリアルタイムでリスクを評価します。正当な取引は即座に行われますが、疑わしい取引には検証のフラグが立てられます。インテリジェントに成長するためのルールを設定します。たとえば、高価値または高リスクのオンライン決済では自動的に3Dセキュアを要求しますが、リスクの低いは顧客を中断することなく通過させます。

認証がいつ、どのように行われるかを再考する

3Dセキュア2、3D セキュア 1 ではありません。最新バージョンでは、銀行が顧客に何も頼まずに取引を静かに検証する「フリクションレス認証」がサポートされています。認証が失敗した場合のフォールバックを必ず提供してください。3Dセキュアがトリガーされたのに銀行が認証を拒否した場合は、顧客をフローからバウンスするのではなく、別のクレジットカードを試してもらいます。

ワンクリック決済をサポート

Apple PayとGoogle Payは、デバイスレベルの認証(生体認証、パスコードなど)とトークン化された決済資格情報に依存しています。顧客はカード詳細を入力する必要はありません。

Link by Stripe のようなツールによる保存済み決済手段により、クレジットカードで支払うリピーターユーザーにとってプロセスが同じように便利になります。クレジットカードデータがトークン化され、安全に保管されている限り、安全性のトレードオフはありません。

モバイルファーストのデザイン

モバイル決済は、迅速で応答性が高く、タップしやすいものである必要があります。セキュリティ対策によって、作業が遅くなったり、レイアウトが壊れたりすることはありません。自動入力、クレジットカードのスキャン、および大きな入力はすべて変換イネーブラーです。不正利用チェックやトークン化によって生じるレイテンシーは、2秒の遅延でもモバイルの顧客を苛立たせる可能性があるため、最小限に抑える必要があります。

セキュリティ対策を戦略的に行う

セキュリティチェックが適切に適用されている場合、それはあなたが顧客保護を真剣に受け止めていることを示しています。しかし、理由もなくプロセス速度を低下させるステップは避けたいものです。

取引のリスクレベルが、適用するセキュリティの量を決定するようにします。すべての顧客を潜在的な犯罪者のように扱うよりも、決済の3%を選択的にチャレンジする方が良いでしょう。

表面積を減らすインフラストラクチャを選択する

決済Stripe Checkout は、バックグラウンドで暗号化、トークン化、および不正利用検出を処理できるため、顧客エクスペリエンスに集中できます。これにより、不正利用パターンや規制要件の進化に合わせて、決済を最新の状態に保つことができます。

安全な決済体験に欠かせない要素は何ですか?

安全な決済には、機密データを保護し、不正利用を減らすために連携する制御システムがあります。ここでは、すべてのビジネスが使用すべき基本的なコンポーネントをご紹介します。

TLS 暗号化

決済ページがハイパーテキスト転送プロトコルセキュア(HTTPS)経由で提供されていない場合、ページは保護されていません。HTTPS は TLS 暗号化を使用して、転送中のデータを保護します。これがないと、支払いの詳細が傍受されたり、改ざんされたりする可能性があります。最新のブラウザはすでに安全でないページにフラグを立てているため、顧客を説得して離脱させる可能性があります。

PCI DSS 準拠

PCI DSS(Payment Card Industry Data Security Standard)法令遵守は、カード支払いのベースラインです。トークン化とホスト型要素を使用すると、機密性の高いクレジットカードデータへの触れを避けることができ、法令遵守の範囲を大幅に狭めることができます。

安全な決済代行業者

あなたの決済代行業者 は、

• データの暗号化とトークン化 クレジットカード
  
• 組み込みの不正利用検出を提供
  
• 不審請求を申し立てる解決を支援する
  
• アカウントに対する強力なアクセス制御を実施する (2 段階認証など)
  

トークン化

トークン化は、生のクレジットカード番号を、決済代行業者のシステムの外部では意味のないランダムな識別子に置き換えます。この処理するにより、データベースが侵害された場合の爆発半径が小さくなり、キーを持たない人が実際のクレジットカード番号を解読することはほぼ不可能になります。

トークン化は必須です。プロバイダーのトークン化フローを使用し、機密データをインフラストラクチャから遠ざけます。

不正検出とリスクスコアリング

取引が表面的には有効であっても、それはまだ詐欺である可能性があります。そこで役立つのがリスクスコアリングです。優れた不正利用検出システムは、次のようなシグナルを使用して、各支払いをリアルタイムで評価します。

• ジオロケーションとデバイス指紋認証
  
• ネットワーク全体での購入履歴と行動
  
• ベロシティチェック(誰かが複数のトランザクションを行っている速度)
  

たとえば、Stripe Radar は、数十億件のトランザクションでトレーニングされた 機械学習 を使用して、疑わしい行動にフラグを立て、リスク レベルで在住ルールを作成できるようにします。すべてのエッジケースをブロックする必要はなく、リスクにさらされるケースだけをブロックする必要があります。

3Dセキュアサポート

3Dセキュア は、オンライン決済 の認証の 2 番目のレイヤーを追加します。顧客の銀行が取引にリスクがあると判断した場合、SMSやアプリ通知で送信されるコードなどの確認ステップをトリガーできます。

これは、EUやイギリスなど、強力な顧客認証(SCA)が施行されている地域で最も重要です。適切に使用すると、SCA責任をクレジットカード カード発行会社に転嫁します。

顧客への明確な信頼シグナル

あなたのサイトが彼らの財務情報を安全に保つという目に見える兆候は、顧客を安心させることができます。次のようなベストプラクティスがあります。

• 認識可能なペイメントプロバイダーバッジ (「Powered by Stripe」)
  
• 支払いフォームの近くに明確な言葉(「お客様のデータは暗号化され、安全です」)
  
• カードネットワークやデジタルウォレットでお馴染みのロゴ
  

これらのシグナルは、基盤となるセキュリティがすでに設定されている場合でも、ためらいを減らし、コンバージョンを増やすのに役立ちます。

柔軟な支払いオプション

チェックアウトにより、お客様は支払い方法や使用するセキュリティ対策を制御できます。

• Apple PayやGoogle Payなどのデジタルウォレットは、トークン化された資格情報と生体認証を使用します。
  
• 口座振替 は顧客 オーソリを必要とし、多くの地域で強力な消費者保護を受けています。
  

一貫性と安定性を感じる決済体験

エクスペリエンス自体は、セキュリティのストーリーの一部です。決済ページの読み込みが遅い、壊れているように見える、またはサイトの他の部分と一致しない場合、バックエンドが気密であっても、顧客は販売を完了することを躊躇する可能性があります。

ビジュアルデザインの一貫性を保ち、レスポンシブレイアウトを使用し、耳障りなリダイレクトを避けます。

失敗した取引や疑わしい取引にはどう対処すべきか?

セキュリティ設定がどれほど強力であっても、すべての取引が成功するわけではなく、すべての取引が正当であるとは限りません。このような瞬間にどう対応するかは、それを防ぐ方法と同じくらい重要です。不正利用と顧客不満 (または収入の損失) という 2 つのリスクを同時に管理しています。

ここでは、両方のカテゴリにアプローチする方法をご紹介します。

正当な支払いが失敗した場合は、顧客が取引を完了するのを支援します

失敗したトランザクションの多くは修正可能です。有効期限切れクレジットカード、売上不足、または請求書の郵便番号の入力ミスが原因である可能性があります。

具体的な対策:

• 支払いが完了していないことをお客様に知らせます。支払いの失敗コード、それを平易な言葉で説明してください。「このクレジットカードはCVVが無効であるため拒否されました。詳細を確認するか、別の支払い方法をお試しください。」
  
• セッションを保持します。ユーザーに最初からやり直させないでください。カートの内容と事前入力されたフィールドはそのままにして、再試行を迅速化します。
  
• 代替案を提供する。1つの支払い方法が失敗した場合は、別の方法を提供します。クレジットカードが拒否された場合でも、Apple Pay、Google Pay、またはPayPalでの購入が完了する可能性があります。
  
• これらの障害をバックエンドから追跡します。支払いの失敗が繰り返されるパターン、一般的なエラーコード、または突然の急増を探します。可視性が高まれば高まるほど、再試行戦略とメッセージングをより適切に調整できます。
  

取引が疑わしいと思われる場合は、速度を落とす

不正な取引は、通常、何らかの形で見栄えが悪くなります。あなたの仕事は、危険信号を特定し、ブロック、検証、またはさらに調査するためのパスを作成することです。

https://stripe.com/resources/more/a-complete-list-of-decline-codes方法:https://stripe.com/resources/more/credit-card-declines

• 自動リスクスコアリングを使用します。Stripe Radar は、IP の勤務地、デバイス ID、試行の速度、ネットワーク全体の過去の動作などのシグナルを使用して、リアルタイムでリスクを評価します。
  
• スマートしきい値を設定します。非常に高いリスクスコアを持つ取引を自動ブロックします。リスクスコアが中程度のトランザクションを手動レビューにルーティングするか、追加の認証をトリガーします。
  
• 支払いを確定しますが、確認が完了するまで出荷またはサービスの有効化を保留します。
  
• 慎重に手を差し伸べてください。ボーダーラインのケースでは、簡単なメール(例:「この注文を確認していただけますか?」)で不確実性を解決できます。
  
• 繰り返しの試みで摩擦をエスカレートさせます。誰かが同じIPまたはクレジットカードで再試行して失敗した場合は、次の試行で3Dセキュアなどの2番目の要素が必要です。
  
• ボーダーラインの場合は、取引を完全にキャンセルする前に、顧客に自分自身を確認する機会を与えます。最初に支払いの失敗をして、後で頼むと、本当の販売を失う可能性があります。
  
• すべてをログに記録します。拒否、不正利用フラグ、および手動レビュー。これらのパターンは、不正利用戦略を微調整するのに役立ちます。
  

不審な注文をすべてブロックすることで、不正利用を減らすことができるかもしれませんが、収入を殺し、顧客体験を損なうことにもなります。より良い道は、データがそれを裏付ける場合に選択的に介入することです。

取引が不正であることが確認された場合は、保護措置を講じる

取引が不正であることを確認した場合は、次に何をすべきかを示します。

• すぐにキャンセルして返金する。これにより、チャージバック。
  
• 同様の試行を防ぐためにフィルターを追加します。クレジットカード フィンガープリント、IP、または メール ドメインがパターンを示している場合はブロックします。
  
• ペイメントプロバイダーのダッシュボードで取引を不正としてマークします。これにより、ビジネスの不正利用モデルをトレーニングし、環境内の他の人々を保護することができます。