銀行水準のセキュリティを、エンドツーエンドで
このページでは、Capay Global がすべての決済、すべての送金、すべての記録をどのように保護しているかをレイヤーごとに説明します。ここに記載したすべての管理策は、現在本番環境で稼働しています。
最終レビュー: 2026年11月3日
ひと目でわかる信頼性
- 通信中のTLS暗号化
- 保存時のAES-256暗号化
- HSTSによるHTTPSの強制
- PCI DSS: 当社システムにカードデータなし
- SOC 1およびSOC 2の統制フレームワーク
- 二要素認証
- 行レベルのデータ分離
- 改ざん不可能な監査証跡
- メーカーチェッカー承認付きの送金
- KYB、AML、制裁リストスクリーニング
- 包括的なセキュリティレビュー、2026年10月
数字で見るセキュリティ
- 0
- 件のカード番号が当社システムに保存されたことがあります
- 100%
- のデータベーステーブルが行レベルセキュリティの対象
- 7
- 年間の追記専用監査保存
- 2
- 名の承認者がしきい値を超えるすべての送金に必要
- 300
- 秒で書類リンクが失効
- 400
- 日分のエッジアクセスログをフォレンジック用に保持
証明の方法：監査、修正、テスト、再監査
私たちはペネトレーションテストから始めません。まず本番環境全体を監査し、監査で見つかった問題を修正し、独立したチームに侵入を試みてもらい、最後に再監査して修正が有効であることを確認します。
- 01
13 レイヤーにわたる本番監査
稼働中のプラットフォームを全面的にレビュー：認証、データベース、API、資金の流れ、ホスティング、デプロイ、監視、復旧など。2026 年 10 月に完了しました。
- 02
監査で見つかった問題の修正
重大および高リスクの指摘は当日の夜に修正し、検証しました。残る各項目には担当者がいて、資金とアクセスを守るものから順に対応しています。
- 03
外部ペネトレーションテスト
独立したセキュリティ企業が当社の許可を得てプラットフォームを攻撃し、修正で見落とした点を探します。お客様は NDA のもとで報告書の概要を請求できます。
- 04
第 2 回監査
13 レイヤーの監査を再度実施してすべての修正が有効であることを確認し、このページのスコアカードを更新します。
本番スコアカード：13 レイヤー
現在プラットフォームの各レイヤーを保護しているもの。2026年10月の本番環境監査で確認済みです。
- 01
認証とアクセス
加盟店とスタッフ向けの二要素認証、ロールベースの権限、既定で拒否するサインイン制御。
- 02
データベースとデータ分離
すべてのテーブルに行レベルセキュリティを適用し、各事業者は自社のデータしか読めません。特権関数はすべて、呼び出し元のロールを最初に確認します。
- 03
API と Webhook
ハッシュ化された API キー、キー単位および IP 単位のレート制限、IP 許可リスト、署名付きでリプレイ対策済みの Webhook。
- 04
資金の完全性
複式簿記の台帳、必ず貸借が一致する仕訳、すべての資金処理での冪等性、送金の 2 名承認。
- 05
暗号化とシークレット
通信時は TLS、保存時は AES-256、シークレットはどのアプリケーションも読み取れず、どのログにも表示されないロックされたテーブルに保管。
- 06
ホスティングとエッジ
Cloudflare の背後に AWS CloudFront、プライベートストレージのみ、HSTS と厳格なブラウザヘッダーによる HTTPS の強制。
- 07
デプロイと変更管理
安全チェックを組み込んだスクリプト化されたリリース、リリースごとのライブ確認、安全に再実行できるマイグレーション。
- 08
監視とアラート
プロバイダーのヘルスチェック、ウォレット残高アラート、台帳チェック、サーキットブレーカー、公開ステータスページ。
- 09
ログと監査証跡
7 年間保管される追記専用の監査ログ、すべての API 呼び出しに付くリクエスト ID、400 日間保管されるエッジのアクセスログ。
- 10
スケーリングと耐障害性
レート制限、キルスイッチ、サーキットブレーカーにより、障害のある決済レールだけを停止し、他は止めません。
- 11
復旧と照合
毎晩の台帳チェック、決済が保留のまま残らないよう自動でステータスを再確認、二重請求を決して起こさない安全な再試行。
- 12
インシデント対応
重大度レベル、指名された役割、数秒でチャネルを停止できる緊急停止スイッチ、顧客への通知を定めた書面のインシデント対応計画。
- 13
コンプライアンスとプライバシー
事業者の稼働前に KYB、AML、制裁スクリーニングを実施し、継続的に監視。当社システムにはカードデータを一切保持しません。
決済のすべてのステップを保護
顧客の携帯電話からお客様の残高に至るまで、ひとつの決済を追い、各ステップをどの統制が守っているかをご覧ください。
- 1
顧客が支払う
TLSで配信されるホスト型チェックアウトまたは決済リンク上で。カード番号がCapay Globalに届くことはなく、モバイルマネーの承認は顧客自身の携帯電話で行われます。
- 2
お客様の連携がAPIを呼び出す
ハッシュ化されスコープを限定したキーで認証し、キー単位およびIP単位でレート制限。すべてのリクエストは冪等性キーとリクエストIDを伴い、カード形式のデータはエッジで拒否されます。
- 3
台帳が記録する
プロバイダーを呼び出す前にインテント行が存在し、入金はクライアントからではなく、そのインテントから導出されます。各仕訳は貸借が一致しなければならず、合わなければデータベースが拒否します。
- 4
プロバイダーが確認する
コールバックは生のボディに対して定数時間比較で署名検証され、リプレイに対して重複排除され、何かが適用される前にプロバイダー自身の記録が再取得されます。
- 5
お客様が送金する
受取人はスクリーニングされ、しきい値を超える送金は二要素のステップアップ認証を伴う2人目の承認者を待ち、送金先は承認後に固定され、サーキットブレーカーが障害を起こしたレールを停止します。
- 6
すべてを把握できる
二要素認証の背後にあるダッシュボードアクセス、行レベルセキュリティによる事業者ごとのデータ分離、お客様のシステムへの署名付きWebhook、そして編集できない監査証跡。
多層防御、4つの層
各層は、その上の層が破られる可能性を前提としています。リクエストが資金に触れるには、4つすべてを通過しなければなりません。
- 01エッジ
- CloudflareとAWS CloudFront
- すべての接続でTLS
- HSTSによるHTTPSの強制
- オリジンアクセス制御、公開バケットなし
- 厳格なブラウザヘッダー
- アクセスログを400日間保持
- 02アプリケーション
- SHA-256でハッシュ化されたAPIキー
- キー単位およびIP単位のレート制限
- すべての資金操作における冪等性
- 入口でのカードデータガード
- 署名付きでリプレイ保護されたWebhook
- 実際のプロバイダーから分離されたサンドボックス
- 03データ
- すべてのテーブルに行レベルセキュリティ
- 保存時のAES-256暗号化
- ゼロアクセスのシークレットテーブル
- 追記専用の監査ログ
- 7年間の保存
- 非公開の書類ストア、300秒リンク
- 04資金
- 最小通貨単位の複式簿記台帳
- 貸借一致の仕訳を強制
- 二要素ステップアップ付きのメーカーチェッカー
- キルスイッチとサーキットブレーカー
- すべてのウォレットのフロート監視
- 夜間の照合センチネル
通信中と保存時の暗号化
- すべての接続でTLS: ブラウザ、API、Webhook、プロバイダー接続。すべてのCapay GlobalドメインでHTTP Strict Transport SecurityによりHTTPSが強制されます。
- データベースとオブジェクトストレージの保存時AES-256暗号化。インフラプロバイダーのハードウェアベースの鍵管理によって管理されます。
- シークレット(プロバイダー認証情報、Webhookシークレット、冪等性キー)は、どのアプリケーションロールも読み取れないゼロアクセスのテーブルに格納され、すべてのログと監査行から秘匿されます。
- 審査書類は、事業者自身のフォルダーに範囲を限定した非公開バケットに保管され、300秒の署名付きリンクを通じてのみ開かれます。
PCI DSS: カード会員データを保持しないプラットフォーム
- 当社はカード番号やCVVを受信、保存、処理、送信することが一切ありません。入口ガードがすべてのAPIボディ内のカード形式データを拒否し、データベーストリガーが決済受付、送金、返金においてそれを拒否します。
- カード決済が提供される場合、パートナーのPCI DSS適用範囲内で運用されるホスト型ページで実行されます。Capay Globalが扱うのはマスクされた参照のみです。
- バーチャルカードはライセンスを持つパートナーを通じて発行され、完全なカード番号が当社システムに保存されることはありません。
資金の整合性
- 最小通貨単位の複式簿記台帳: すべての資金移動は一意の参照を持つ貸借一致の仕訳であり、データベーストリガーが貸借の合わない仕訳をすべて拒否します。
- すべての資金操作における冪等性: 事前予約行、一意の仕訳参照、プロバイダーへ送る同一キーにより、再試行で二重に課金や支払いが行われることは決してありません。
- 送金、調整、為替に対するメーカーチェッカー承認。承認者には二要素のステップアップ認証を適用します。
- すべての受付ポイントのキルスイッチ、送金失敗時のサーキットブレーカー、すべてのウォレットのフロート監視、そして帳簿を照合する夜間の台帳センチネル。
- サンドボックスは実際のプロバイダーに物理的に到達できません。
IDとアクセス
- 加盟店とスタッフ向けの二要素認証(TOTP)。ゲートはフェイルクローズであり、決して開いたままにはなりません。
- すべてのテーブルに行レベルセキュリティ: 事業者が読めるのは自身の行だけで、これはアプリケーションコードではなくデータベースが強制します。
- お客様のチーム(オーナー、財務、開発者、サポート)と当社のチームに対するロールベースの権限。すべての特権操作はまず権限を検証します。
- 漏えいパスワードチェック付きのパスワードポリシー、短寿命のワンタイムコード、レート制限付きのログイン、ログアウト時にキャッシュを消去して終了するセッション。
- 管理者の招待、ロール変更、無効化は監査され、即時に反映されます。
APIとWebhookのセキュリティ
- APIキーはSHA-256でハッシュ化。保存されるのはプレフィックスのみで、キーは作成時に一度だけ表示されます。
- キー単位およびIP単位のレート制限、任意のIP許可リスト、日次支出上限、国と決済手段の制限、ワンクリックでのローテーション。
- エージェントキーの本番資金操作機能は個別に有効化され、二要素認証の背後でのみ利用できます。
- 送信Webhookはタイムスタンプとリプレイ保護付きでHMAC署名されます。受信するプロバイダーのコールバックは生のボディに対して定数時間比較で検証され、状態を変更する前にプロバイダー側の正しい記録が再取得されます。
コンプライアンスプログラム
- 本番稼働前のKYB: 登記書類、実質的支配者、制裁リストスクリーニング、2名による承認。
- 明確な解決ワークフローを備えた継続的なAMLモニタリング、定期的なKYB更新、事業者ごとのリスク評価。
- 財務記録と監査ログは、データベースレベルで編集と削除を禁止する追記専用テーブルに7年間保存されます。
- SOC 1およびSOC 2のTrust Services Criteria(セキュリティ、可用性、機密性、処理のインテグリティ)、およびPCI DSSの「カード会員データ非保持」の姿勢に対応付けられた統制。
- 本番プラットフォーム(データベース、認証、Web配信、API、資金経路、ブラウザ)の包括的なセキュリティレビューを2026年10月に完了し、すべての指摘事項を修正または担当者に割り当てました。
インフラと運用
- サイトとアプリはCloudflareの背後のAWS CloudFrontから配信され、オリジンアクセス制御を備え、すべてのストレージバケットは非公開です。
- 厳格なブラウザヘッダー: フレーム埋め込み禁止、Content-Security-Policy frame-ancestors none、Permissions-Policy、クロスオリジンopener分離。
- フォレンジックのためにエッジアクセスログを400日間保持。すべてのAPI呼び出しにリクエストID、IP、ユーザーエージェントを記録。
- ビルドごとの依存関係監査、公開ステータスページ、すべてのプロバイダーに対するヘルスチェック、運用チームへのインシデントアラート。
データの保管場所
あらゆるセキュリティ審査で問われるデータ所在地の質問への明確な回答です。
プラットフォームのデータベースと書類
当社のデータベースプロバイダーを通じて Amazon Web Services でホストされ、保存時は AES-256 で暗号化されています。
ウェブサイト、ダッシュボード、チェックアウト
Cloudflare の背後にある Amazon CloudFront のエッジネットワークから世界中に配信され、お客様の顧客の近くでページが読み込まれます。エッジに顧客記録は保存されません。
決済パートナー
決済の完了に必要な情報は、その決済を処理する認可済みのモバイルマネー、銀行、カードのパートナーとのみ共有されます。
当社チームによるアクセス
顧客記録を開けるのは、ロールベースの権限を持つ認可されたスタッフのみです。すべての特権操作は編集できない監査ログに記録されます。
問題が発生した場合
最初のアラートから最終レビューまで、セキュリティインシデントへの対応方法です。
- 01
検知
プロバイダー障害、ウォレット残高、台帳の不一致、異常な活動に関する自動アラートが運用チームに届きます。
- 02
封じ込め
キルスイッチとサーキットブレーカーが影響を受けた決済レールを数秒で停止し、漏えいしたキーやセッションは即座に無効化できます。
- 03
通知
影響を受けたお客様には、何が起きたか、どのような影響があるか、当社が何をしているかを、不当な遅延なく、法律で定められた期限内にお知らせします。
- 04
学習
重大インシデントはすべて、書面での振り返りと再発防止の修正をもって完了します。
書面のインシデント対応計画では、重大度レベル、役割、対応時間、顧客への通知を定めています。パートナーおよび法人のお客様は NDA のもとで写しを請求できます。
お客様にお願いしたいこと
セキュリティは共同作業です。3つの習慣が、お客様のアカウントをその土台のプラットフォームと同じ強さに保ちます。
- 1オーナーと財務担当から始めて、すべてのチームメンバーの二要素認証を有効にしてください。
- 2APIキーはコードではなくシークレットマネージャーに保管し、担当者が変わったらローテーションしてください。
- 3本番キーには送金の承認しきい値とIP許可リストを設定してください。
ポリシーと文書
統制を裏付ける文書を公開し、常に最新の状態に保っています。
セキュリティに関するよくある質問
私のデータは暗号化されていますか?
はい。Capay Globalへのすべての接続はTLSを使用し、データは保存時にAES-256で暗号化されます。シークレットはロックされたテーブルに保存され、ログに現れることはありません。
カード番号を保存していますか?
いいえ。Capay Globalはカード番号やCVVを受信、保存、処理、送信することが一切ありません。カードデータはAPIエッジとデータベース内で拒否され、カード決済はパートナーのPCI DSS適用範囲内にあるホスト型ページでのみ実行されます。
SOC 2とPCI DSSに準拠していますか?
当社の統制フレームワークはSOC 1およびSOC 2のTrust Services Criteriaに対応付けられており、プラットフォームはPCI DSSの「カード会員データ非保持」の姿勢で運用されています。パートナーと法人のお客様は、セキュリティ概要、統制マトリクス、プロバイダーの保証報告書を請求できます。
Capay Globalの誰かが私の資金を動かせますか?
単独の人物には不可能です。しきい値を超える送金にはお客様側の2人目の承認者が必要で、当社側の特権操作には権限と書面による理由が必要なうえ、決して編集できない監査記録が残ります。そして台帳は貸借の合わない資金移動をすべて拒否します。
脆弱性はどのように報告すればよいですか?
詳細を添えてサポートチームまでご連絡ください。すべての報告に受領をお知らせし、迅速に対応します。責任ある開示をお願いしており、善意の研究者を訴追することは決してありません。
ペネトレーションテストは実施済みですか？
当社は厳格な順序に従っています。まず本番環境の完全な監査（2026年10月に完了）、次に修正、続いて独立したペネトレーションテスト、最後に修正が維持されていることを確認する2回目の監査です。パートナーおよび法人のお客様は、NDA のもとで監査概要と、発行後にはペネトレーションテストの概要を請求できます。
データはどこに保管されますか？
プラットフォームのデータベースと書類は Amazon Web Services でホストされ、保存時は AES-256 で暗号化されています。ウェブサイトとチェックアウトページは、顧客記録を一切保存しないグローバルなエッジネットワークから配信されます。
責任ある開示
セキュリティ研究者の皆様を歓迎します。Capay Globalに脆弱性を発見したと思われる場合は、非公開でお知らせいただき、修正のための合理的な時間をください。すべての報告に対して受領をお知らせし、善意の研究を訴追することは決してありません。
- 1詳細を当社チームにお送りください：何を見つけたか、どこで、どう再現するか。
- 2受領を確認し、修正されるまで進捗をお知らせします。
- 3公開する前に、修正のための妥当な時間をください。
セキュリティ質問票を送りますか？
契約後ではなく、契約前にお送りください。このページとスコアカード、さらに NDA のもとで詳細なセキュリティ概要、管理策マトリクス、プロバイダーの証明書をもって回答します。