> ## Documentation Index
> Fetch the complete documentation index at: https://docs.rc.cleverhub.co/llms.txt
> Use this file to discover all available pages before exploring further.

# Hello Clever API のセキュリティのベストプラクティス

> Hello Clever が認証、HTTPS の暗号化、レート制限、キーの管理を通じて API を保護する方法と、連携を安全に保つ方法を解説します。

Hello Clever の API は、すべてのリクエストが認証され、すべての通信が暗号化され、すべての連携が不正利用に耐えられるよう、多層の保護を備えて構築されています。このページでは、Hello Clever API を支えるセキュリティの構成（認証、データの暗号化、レート制限、サーバー間通信、ダッシュボードでのキーの管理、データプライバシーへの準拠）と、自社の連携で従うべき具体的なベストプラクティスを解説します。

## 安全な認証とアクセス制御

Hello Clever は、リソースへのアクセスを許可する前にすべての API リクエストを検証し、認可されたアプリケーションのみがデータとサービスを利用できるようにしています。

<CardGroup cols={2}>
  <Card title="APIキーとシークレットキー" icon="key">
    各 API クライアントには固有の APIキーとシークレットキーのペアが発行されます。これらは安全に保管し、認可されたシステムとのみ共有してください。
  </Card>

  <Card title="トークンベースの認証" icon="shield-check">
    Hello Clever は追加の層としてトークンベースの認証を使用しており、キーが意図せず露出した場合でも不正アクセスのリスクを低減します。
  </Card>

  <Card title="アクセス制御" icon="lock">
    権限は APIキーごとに設定されます。各キーは、明示的に認可されたエンドポイントとデータにのみアクセスできます。
  </Card>

  <Card title="IP ホワイトリスト" icon="server">
    機微なエンドポイントについては、事前に承認したサーバーの IP アドレスにアクセスを制限でき、連携における攻撃対象領域を狭められます。
  </Card>
</CardGroup>

## HTTPS とデータの暗号化

アプリケーションと Hello Clever のサーバー間で送信されるすべてのデータは、**HTTPS と SSL/TLS** によってエンドツーエンドで暗号化されます。

* **SSL/TLS による暗号化**により、取引データとアカウント情報は送信中も機密に保たれ、傍受されても読み取れません。
* **中間者攻撃への対策**：HTTPS により、権限のない第三者が通信中のデータを傍受または改ざんすることを防ぎます。

<Warning>
  平文の HTTP で API リクエストを送らないでください。Hello Clever のすべての API エンドポイントは HTTPS を必須としています。HTTP でのリクエストは拒否されます。
</Warning>

## レート制限とスロットリング

Hello Clever は、プラットフォームの安定性を維持し不正利用を防ぐため、すべての API クライアントにレート制限を適用しています。

* **リクエストの上限**：各クライアントには、利用状況に応じて1分あたりのリクエスト数の上限が割り当てられます。この上限を超えると一時的にスロットリングされます。
* **自動スロットリング**：レート制限を超えると、それ以降のリクエストは一時的に待機または拒否されます。これにより、1つのクライアントの高いトラフィックが他の利用者の体験を損なうことを防ぎます。
* **DDoS 対策**：すべてのクライアントにわたってリクエストの流量を制御することで、分散型サービス拒否攻撃のリスクを低減します。

<Note>
  `429 Too Many Requests` のレスポンスを受け取った場合は、直ちに再試行するのではなく、指数バックオフとリトライのロジックを連携に実装してください。
</Note>

## 安全なサーバー間通信

Hello Clever をサーバー間で直接連携する場合は、通信を安全に保つため次の慣行に従ってください。

* **APIキーを安全に保管する**：環境変数またはシークレット管理サービスを使用してください。ソースコードにキーをハードコードしたり、バージョン管理にコミットしたりしないでください。
* **すべての通信を暗号化する**：サーバー間のすべての呼び出しは HTTPS を使用する必要があります。Hello Clever は傍受を防ぐため、送信中の APIキーのデータを暗号化します。
* **IP ホワイトリストを使う**：特定の APIキーを既知のサーバーの IP 範囲に限定し、機微な操作の周囲にもう1つの境界を設けてください。

## 加盟店ダッシュボード：APIキーの保護

Hello Clever の Merchant Dashboard には、APIキーを管理・保護するためのツールが組み込まれています。

<AccordionGroup>
  <Accordion title="多要素認証 (MFA)">
    ダッシュボードへのアクセスには MFA が必要です。これにより検証の手順が追加され、アカウントの認証情報が漏えいした場合でも、権限のないユーザーが APIキーに到達することを防ぎます。
  </Accordion>

  <Accordion title="役割ベースのアクセス制御">
    チームメンバーに特定のロールと権限を割り当て、正当な必要のある担当者のみが APIキーを閲覧・管理できるようにしてください。管理者権限は最小限のチームに限定してください。
  </Accordion>

  <Accordion title="キーの管理とローテーション">
    ダッシュボードから直接、新しいキーの発行、既存のキーのローテーション、漏えいしたキーの失効ができます。定期的なローテーションにより、キーが漏えいした場合の露出期間を限定できます。
  </Accordion>
</AccordionGroup>

## データプライバシーと法令遵守

Hello Clever の API は、GDPR、CCPA、その他の適用されるデータ保護規制に従っています。

* **データの最小化**：Hello Clever は各 API の機能に必要なデータのみを収集し、侵害が発生した場合の露出を抑えます。
* **アクセス制御**：機微なデータは明示的な権限を持つ APIキーに限定され、過剰な権限によるアクセスを防ぎます。
* **監査ログ**：Hello Clever は法令遵守のモニタリングのために API リクエストのログを保持し、データへのアクセスを追跡・説明可能にしています。

## ベストプラクティスのチェックリスト

Hello Clever API との連携を安全に保つため、次の慣行に従ってください。

<Steps>
  <Step title="キーをシークレット管理サービスに保管する">
    APIキーとシークレットキーは、安全なシークレット管理サービス（AWS Secrets Manager、HashiCorp Vault など）に保管してください。平文の設定ファイル、ソースコード、公開リポジトリには決して保存しないでください。
  </Step>

  <Step title="APIキーを定期的にローテーションする">
    計画的にキーをローテーションし、漏えいの疑いがあるキーは直ちに失効させてください。
  </Step>

  <Step title="すべてのリクエストで HTTPS を使う">
    HTTP クライアントが HTTPS を強制し、TLS 証明書を検証していることを確認してください。平文の HTTP へのフォールバックを許す設定は無効にしてください。
  </Step>

  <Step title="API の利用状況をモニタリングする">
    API のアクセスログを定期的に確認し、異常なリクエスト量、想定外のエンドポイントの呼び出し、不正利用の兆候となり得る通常と異なる地域からのアクセスを検出してください。
  </Step>

  <Step title="エンドポイントへのアクセスを限定する">
    アプリケーションが実際に必要とする権限のみを要求してください。より狭い権限で足りる場合に、広範なアクセススコープを要求しないでください。
  </Step>
</Steps>


## Related topics

- [Hello Clever API の認証](/ja/api/authentication.md)
- [Payment Gateway のセキュリティ](/ja/security/payment-gateway-security.md)
- [本人確認 (KYC)](/ja/platform-overview/compliance/kyc.md)