安全な認証とアクセス制御
Hello Clever は、リソースへのアクセスを許可する前にすべての API リクエストを検証し、認可されたアプリケーションのみがデータとサービスを利用できるようにしています。APIキーとシークレットキー
各 API クライアントには固有の APIキーとシークレットキーのペアが発行されます。これらは安全に保管し、認可されたシステムとのみ共有してください。
トークンベースの認証
Hello Clever は追加の層としてトークンベースの認証を使用しており、キーが意図せず露出した場合でも不正アクセスのリスクを低減します。
アクセス制御
権限は APIキーごとに設定されます。各キーは、明示的に認可されたエンドポイントとデータにのみアクセスできます。
IP ホワイトリスト
機微なエンドポイントについては、事前に承認したサーバーの IP アドレスにアクセスを制限でき、連携における攻撃対象領域を狭められます。
HTTPS とデータの暗号化
アプリケーションと Hello Clever のサーバー間で送信されるすべてのデータは、HTTPS と SSL/TLS によってエンドツーエンドで暗号化されます。- SSL/TLS による暗号化により、取引データとアカウント情報は送信中も機密に保たれ、傍受されても読み取れません。
- 中間者攻撃への対策：HTTPS により、権限のない第三者が通信中のデータを傍受または改ざんすることを防ぎます。
レート制限とスロットリング
Hello Clever は、プラットフォームの安定性を維持し不正利用を防ぐため、すべての API クライアントにレート制限を適用しています。- リクエストの上限：各クライアントには、利用状況に応じて1分あたりのリクエスト数の上限が割り当てられます。この上限を超えると一時的にスロットリングされます。
- 自動スロットリング：レート制限を超えると、それ以降のリクエストは一時的に待機または拒否されます。これにより、1つのクライアントの高いトラフィックが他の利用者の体験を損なうことを防ぎます。
- DDoS 対策：すべてのクライアントにわたってリクエストの流量を制御することで、分散型サービス拒否攻撃のリスクを低減します。
429 Too Many Requests のレスポンスを受け取った場合は、直ちに再試行するのではなく、指数バックオフとリトライのロジックを連携に実装してください。安全なサーバー間通信
Hello Clever をサーバー間で直接連携する場合は、通信を安全に保つため次の慣行に従ってください。- APIキーを安全に保管する：環境変数またはシークレット管理サービスを使用してください。ソースコードにキーをハードコードしたり、バージョン管理にコミットしたりしないでください。
- すべての通信を暗号化する：サーバー間のすべての呼び出しは HTTPS を使用する必要があります。Hello Clever は傍受を防ぐため、送信中の APIキーのデータを暗号化します。
- IP ホワイトリストを使う：特定の APIキーを既知のサーバーの IP 範囲に限定し、機微な操作の周囲にもう1つの境界を設けてください。
加盟店ダッシュボード：APIキーの保護
Hello Clever の Merchant Dashboard には、APIキーを管理・保護するためのツールが組み込まれています。多要素認証 (MFA)
多要素認証 (MFA)
ダッシュボードへのアクセスには MFA が必要です。これにより検証の手順が追加され、アカウントの認証情報が漏えいした場合でも、権限のないユーザーが APIキーに到達することを防ぎます。
役割ベースのアクセス制御
役割ベースのアクセス制御
チームメンバーに特定のロールと権限を割り当て、正当な必要のある担当者のみが APIキーを閲覧・管理できるようにしてください。管理者権限は最小限のチームに限定してください。
キーの管理とローテーション
キーの管理とローテーション
ダッシュボードから直接、新しいキーの発行、既存のキーのローテーション、漏えいしたキーの失効ができます。定期的なローテーションにより、キーが漏えいした場合の露出期間を限定できます。
データプライバシーと法令遵守
Hello Clever の API は、GDPR、CCPA、その他の適用されるデータ保護規制に従っています。- データの最小化：Hello Clever は各 API の機能に必要なデータのみを収集し、侵害が発生した場合の露出を抑えます。
- アクセス制御：機微なデータは明示的な権限を持つ APIキーに限定され、過剰な権限によるアクセスを防ぎます。
- 監査ログ：Hello Clever は法令遵守のモニタリングのために API リクエストのログを保持し、データへのアクセスを追跡・説明可能にしています。
ベストプラクティスのチェックリスト
Hello Clever API との連携を安全に保つため、次の慣行に従ってください。1
キーをシークレット管理サービスに保管する
APIキーとシークレットキーは、安全なシークレット管理サービス（AWS Secrets Manager、HashiCorp Vault など）に保管してください。平文の設定ファイル、ソースコード、公開リポジトリには決して保存しないでください。
2
APIキーを定期的にローテーションする
計画的にキーをローテーションし、漏えいの疑いがあるキーは直ちに失効させてください。
3
すべてのリクエストで HTTPS を使う
HTTP クライアントが HTTPS を強制し、TLS 証明書を検証していることを確認してください。平文の HTTP へのフォールバックを許す設定は無効にしてください。
4
API の利用状況をモニタリングする
API のアクセスログを定期的に確認し、異常なリクエスト量、想定外のエンドポイントの呼び出し、不正利用の兆候となり得る通常と異なる地域からのアクセスを検出してください。
5
エンドポイントへのアクセスを限定する
アプリケーションが実際に必要とする権限のみを要求してください。より狭い権限で足りる場合に、広範なアクセススコープを要求しないでください。