(プレスタショップ)WooCommerce(ウーコマース)セキュリティ対策このドキュメントでは、加盟店としてオンラインで支払いを受け取る際の責任、またOmiseが提供するセキュリティ対策について説明します。DSS準拠などの重要なコンセプトを含む、セキュリティ対策の概要を記しています。加盟店およびお客様へ、より安全な環境でOmiseをご利用いただいていただくため、以下の点にご留意の上、ご利用ください。最小限に抑えるにはログを監視する常に最新版を利用するこちらのドキュメントをご覧になり、ご不明な点があればOmiseサポートまでご連絡ください。3.2.1の準拠認定を受けています。DSSは、クレジットカードの情報が、安全な環境下で、処理、保存、および送信されることを保証する業界のセキュリティ基準です。DSSに準拠するには、クライアント側のライブラリまたはプラグインのいずれかを使用して、ユーザーのクライアントデバイスから、暗号化されたVaultサーバに、クレジットカードの情報を直接送信する必要があります。このライブラリは、バックエンドサーバーで使用するワンタイムパスワードを返し、課金の作成やその他の操作を実行します。このをとる場合、実際のクレジットカード情報がサーバー上を通過することはありません。DSS準拠の加盟店である場合は、この限りではありません。DSSに準拠する加盟店がクレジットカード情報を直接処理する場合、Omise側に通知していただく必要があります。ユーザのブラウザで決済を受け取る場合、Omise.jsで作成された決済フォームを使用してください。SDKを使用してください。プラグインを使用している場合は、ソースコードを変更しないでください。クレジットカード情報の偶発的な取得を回避する機密性の高いクレジットカード情報が誤って取得されることがないよう、次の点にご注意ください。決済フォームを作成する場合、クレジットカード情報を含むパラメータが誤ってサーバーに送信されたり、サーバーログに保存されたりしないようご注意ください。決済ページでのトラッキングを無効にしてください。Analyticsなどの分析ツールは、機密情報を含むデータを収集し、その情報を第三者に送信することがあります。HTTPSをウェブサイトで有効にする決済ページだけでなく、ウェブサイト全体にHTTPSを使用するよう強くお勧めします。決済ページでHTTPSを有効にすることで、顧客の機密データを保護し、アカウント情報の漏洩を防止します。することで顧客の信頼が向上しますので、結果的に販売の促進へつながります。検索エンジンは、HTTPS対応サイトを上位にランク付けします。Security(TLS)は、SSLの後継バージョンです。ウェブサーバーでHTTPSを有効にするには、TLS(バージョン1.2以降)およびサポート済みの暗号を使用する必要があります。Encryptを使用することをお勧めします。HTTPSは、webhookエンドポイントURLにも必要です(有効になっている場合)。サポート済みのTLS暗号サポート済みのTLS暗号は次の通りです。ECDHE-ECDSA-AES128-GCM-SHA256ECDHE-RSA-AES128-GCM-SHA256ECDHE-ECDSA-AES128-SHA256ECDHE-RSA-AES128-SHA256ECDHE-ECDSA-AES256-GCM-SHA384ECDHE-RSA-AES256-GCM-SHA384ECDHE-ECDSA-AES256-SHA384ECDHE-RSA-AES256-SHA384安全性が低い他のTLS暗号は、サポートされていない場合があります。各アカウントにはパブリックキーとシークレットキーがあります(API認証を参照)。パブリックキーは、クレジットカードのトークン化など、安全性が保証されている限られた目的でのみ使用可能です。シークレットキーを使用すると、課金の作成、返金手続き、送金、顧客情報のダウンロードなど、すべてのAPI操作を実行できます。シークレットキーの機密性を保つため、またセキュリティ上の観点から、次の点にご注意ください。コードリポジトリ上でシークレットキーを保管しないでください。環境変数の保存に対応しているクラウドサービスを利用してください(Herokuのサンプルドキュメントを参照)。アカウントを他の人と共有しないでください。ダッシュボード、ウェブサイト、または他のEコマースを管理するバックエンドでは、常に強力なパスワードと2段階認証(2FA)を使用してください。シークレットキーに問題が発生した場合、ダッシュボード上で速やかにキーを更新してください。アカウントの安全性を確認するため、トラブルが発生した場合はOmiseまでご報告ください。不正行為を最小限に抑えるにはOmiseの不正防止システムでは、エンドユーザーが使用しているブラウザから必要な情報を取得し、それぞれの決済方法ごとのリスクスコアを算出しています。Omise.jsは、決済フォームやクレジットカード情報を安全に取得するだけでなく、顧客のクライアントIP、ブラウザのユーザーエージェント、不正防止システムで使用されるブラウザー履歴などの追加情報も収集します。IPアドレスがホスティングサーバーやTorネットワーク、あるいは公開プロキシに属している場合、エンドユーザーが特定しにくく透明性が低いため、不正利用の可能性が高いと考えられます。IPアドレスがADSLユーザーに属していて、エンドユーザーがカードを利用した国と一致する場合は、不正利用の可能性は低いため、リスクスコアは低くなります。この不正防止システムを最大限に活用するため、特に米国およびカナダの顧客に関しては、前もって請求先住所の情報を取得し、charge.ip、charge.description、customer.emailなどの推奨パラメーターを提供してください。購入に関する追加情報(商品の数、商品の分類や配達日など)と顧客に関する情報(顧客の実際のIPアドレスなど)を提供すると、データが送られ、不正防止システムがより正確に機能するようになります。ログを監視する業種、業態によっては不正取引発生率が他よりも高い傾向がみられます。禁止されている商品一覧をご参照ください。発送の必要がなく、即ダウンロード可能なデジタルコンテンツやモバイル入金はその一例です。返金や取引キャンセルが発生した時には既にコードが利用済みのものだった、といった事例が報告されています。ビジネスの一部がこのカテゴリに該当する場合は、直ちに措置をとれるようログを確認しておくことをお勧めします。常に最新版を利用するセキュリティの脅威は常に進化していますが、Omiseのセキュリティは、定期的にライブラリの新しいバージョンをリリースすることで、バグや潜在的な脆弱性を排除しています。ソフトウェアを最新の状態に保つようにしてください。オンラインで安全に支払いを受け取るための最新の推奨事項については、こちらのサイトをご確認ください。国際タイ日本シンガポール日本語English。