決済用の Vault とは、機密性の高い決済の認証情報をビジネスに代わって保存する、安全なオフサイトシステムです。ビジネスは、これらの認証情報の代わりにトークンを受け取ります。トークンは、漏洩した場合のリスクがはるかに低い代用品ですが、ビジネスは引き続き顧客に請求したり、必要に応じて失敗した支払いを再試行したりできます。トークンの使用は急速に拡大しています。今後 5 年間で、世界中のネットワークトークン化された取引の数は、18.1% の年平均成長率 (CAGR) で増加すると予測されています。

以下では、Vault が実際にカードデータを保存して保護する方法、Payment Card Industry Data Security Standard (PCI DSS) 準拠とコンバージョンに与える影響、決済代行業者がすでに独自に行っているトークン化との違いについて説明します。

主なポイント

• 決済用の Vault は保存されたカード番号をトークンに置き換えるため、ビジネスのシステムでデータ侵害が発生しても、不正利用者が取引を成功させるために利用できる情報は何も公開されません。

• 通常、Vault に保存することで、ビジネスの PCI DSS 評価の負担が軽減され、登録済みカードによるサブスク、支払いの再試行、複数の決済代行業者にルーティングする機能がサポートされます。

• 代行業者が発行するトークンは通常、その 1 つのプロバイダーにロックされていますが、専用の Vault を使用すると、ビジネスは保存された認証情報を必要な場所に移動できます。

決済用の Vault とは？

決済用の Vault とは、カード番号や銀行口座の詳細などの機密性の高い決済の認証情報をビジネスに代わって保存する、安全なオフサイトシステムです。これらの認証情報がビジネス自身のサーバーに触れることはありません。顧客が決済時にカードを入力すると、Vault は番号をキャプチャして暗号化し、ビジネスがそれ以降のすべての取引で使用するトークンを返します。

決済用の Vault はカードデータをどのように保存および保護しますか？

Vault の主な役割は、生のカード番号をビジネスのシステムの他のすべてから分離しておくことです。

仕組みは以下のとおりです。

• キャプチャ時の暗号化: カード番号は、ディスクに書き込まれる前に Vault に入る際に暗号化されます。つまり、カード番号のプレーンテキストバージョンがビジネスの環境に存在することはありません。

• トークン化: Vault は、実際のカード番号との数学的な関連性がない文字列であるトークンを生成し、ビジネスが今後の取引のすべての参照に使用できるように、そのトークンをビジネスに送り返します。

• トークンマッピング: トークンとカードのマッピングを保持しているのは Vault のみです。ビジネスの独自のデータベース、顧客関係管理 (CRM)、およびサポートツールにはトークンが表示されるため、自社でデータ侵害が発生しても、不正利用者が取引を成功させるために使用できる情報は公開されません。

• アクセス制御とログ: Vault は、カードのトークン化を解除するすべてのリクエストを制限し、ログに記録します。システムアクセス権を持つ従業員であっても、監査対象となる明確な理由なしに生の番号を抽出することはできません。

• CVV の処理: ネットワークのルールでは、Vault がオーソリ後にカードセキュリティコード (CVV) を保存することは許可されていません。取引で必要な場合は、その都度新たに収集する必要があります。

• ネットワークのトークン化: 一部の Vault はネットワーク発行のトークンとも連携し、紛失や有効期限切れでカードが再発行されると自動的に更新されます。これにより、カード詳細の有効期限切れや無効化による支払いの失敗を減らすことができます。

決済用の Vault を使用するメリットは何ですか？

決済用の Vault により、コンプライアンス負担が軽減されます。ビジネスが自社のシステムで生のカードデータを保存、処理、または送信しない場合、カード会員のデータを直接処理するビジネスに義務付けられているフルバージョンの PCI DSS 自己問診票 (SAQ) ではなく、通常は短いバージョンが適用されます。つまり、維持するセキュリティコントロールが減り、毎年のコンプライアンスの証明に費やす時間が減ることを意味します。

さらに、Vault を使用すると、次のようなプラクティスが可能になります。

• 登録済みカードによるサブスク: 初回以降のすべての取引には、カード自体ではなくトークンが使用されるため、ビジネスは顧客にカードの再入力を求めることなく、毎月請求を行うことができます。

• 失敗した支払いの再試行ロジック: 取引が失敗した場合、ビジネスは保存されている同じトークンを使用して再試行できます。多くの場合、背後では新しい有効期限またはカード番号でネットワークトークンがすでに更新されています。

• 複数の決済代行業者のルーティング: Vault は特定の 1 つの代行業者によって所有されているわけではないため、ビジネスは同じ保存済みトークンをさまざまなプロバイダーに送信して、オーソリ成功率を比較したり、システム停止が発生した場合に備えてバックアップを追加したりできます。

• リピーターの決済を迅速化: カードを Vault に保存すると、リピーターは何も入力せずに購入を完了できるようになるため、決済でのコンバージョンが容易になります。

決済用の Vault と代行業者のトークン化はどのように異なりますか？

決済代行業者が発行するトークンは、通常、その代行業者のシステムにロックされています。つまり、そのトークンは、同じ代行業者を通じた将来の取引にしか使用できません。カード情報が他の場所にルーティングされた場合、ビジネスはそれを再度収集するか、顧客に再入力してもらう必要があります。

専用の決済用の Vault は、その制約を取り除きます。ビジネスは、自身が管理する環境にカードを 1 度保存し、元の認証情報、またはそこから派生したネットワークトークンを、取引に適した代行業者に転送します。コスト、オーソリ成功率、地域、システム停止はすべて、このルーティングの決定に影響しますが、トークンが 1 つの代行業者のクローズドシステム内にしか存在しない場合は、そのような決定は不可能です。

Vault を使用せずに 2 つの代行業者を並行してテストするビジネスには、互いに認識していない 2 つの別々のシステムに保持された 2 組の保存されたカードが必要です。Vault を使用すると、保存された 1 つの認証情報を、いずれの代行業者の独自のトークン形式にも縛られることなく、システム間で移動できます。

決済用の Vault のリスクと制限は何ですか？

決済用の Vault はビジネスのコンプライアンス負担を軽減しますが、いくつかの実際の制限も適用されます。Vault 自体が標的になる可能性があります。すべての顧客のカードデータは 1 か所に一元化されているため、Vault への攻撃が成功すると、甚大な結果をもたらします。また、ポータビリティが保証されているわけではありません。保存された認証情報を代行業者間で移動するには、暗号化された認証情報、ネットワークトークン、または転送用に構築された専用のアプリケーションプログラミングインターフェース (API) など、Vault と受信側の代行業者の両方が受け渡しに共通の形式をサポートしている必要があります。

実装にはエンジニアリングの時間もかかります。Vault を導入するビジネスは、生のカード番号ではなくトークンを中心に、決済フロー、サブスク請求のロジック、照合システムを再構築する必要があります。また、Vault は PCI DSS の適用範囲を狭めますが、ビジネスは依然として、確定時の安全な送信、Vault の管理ツールへの従業員のアクセス、およびベンダー自身のコンプライアンス体制をカバーするポリシーを必要としています。

決済用の Vault が自社のビジネスに適しているかどうかを確認するにはどうすればよいですか？

繰り返し請求は、決済用の Vault がビジネスに適していることを示す最も明確なシグナルです。1 回限りの支払いしか実行せず、顧客に再度請求する必要がないビジネスでは、Vault によって追加されるインフラストラクチャーは必要ない可能性があります。サブスクビジネス、入金を発行するプラットフォーム、および失敗した支払いを再試行するすべてのビジネスは、Vault を最大限に活用できる傾向があります。

代行業者の柔軟性ももう 1 つのシグナルです。すべての取引を 1 つのプロバイダーを通じて無期限に実行することに満足しているビジネスにはポータビリティは必要ありませんが、すべての顧客のカード詳細を再度収集することなく、複数の代行業者間でオーソリ成功率を比較したり、バックアップのプロバイダーを追加したり、条件を交渉したりしたいビジネスにとってはメリットがあります。

Stripe の Vault and Forward API は、まさにこのユースケースを中心に構築されています。これにより、ビジネスは決済手段を保存し、API を使用して保存されたこれらの認証情報を任意のサードパーティーの代行業者またはエンドポイントに送信できます。

Stripe Payments でできること

Stripe Payments は統合型のグローバル決済ソリューションを提供します。成長中のスタートアップから大企業まで、あらゆるビジネスがオンライン、対面、そして世界中で決済を受け付けられるよう支援します。

Stripe Payments の特徴

• 決済体験の最適化: 構築済みの決済 UI、125 種類以上の決済手段、Stripe が構築したウォレット「Link」により、スムーズな顧客体験を実現するとともに、開発時間を短縮します。

• 新市場へのスピーディーな展開: 195 カ国、135 以上の通貨で利用可能な越境決済オプションにより、世界中の顧客にリーチし、多通貨管理の複雑さとコストを軽減します。

• 対面とオンライン決済の統合: オンラインと対面のチャネルをまたいだユニファイドコマース体験を構築し、顧客とのやり取りをパーソナライズし、ロイヤルティを高め、売上拡大を促進します。

• 決済パフォーマンスの向上: コーディング不要の不正利用対策やオーソリ成功率を向上させる高度な機能など、カスタマイズ可能で設定しやすい決済ツールで売上を増加させます。

• 柔軟かつ信頼性の高いプラットフォームで成長を加速: 99.999% の過去稼働率と極めて高い信頼性を備え、ビジネスの成長に合わせて拡張可能なプラットフォームを活用できます。

Stripe Payments のオンラインおよび対面決済の詳細をご覧ください。または今すぐ使ってみることもできます。