Stripe のセキュリティ
Stripe のセキュリティ対応についての詳細をご紹介します。
Stripe ユーザーは、機密データの取り扱いに関して当社に信頼を寄せており、顧客データの管理に関しても安心して任せていただいております。決済インフラ企業として、Stripe のセキュリティーに対する姿勢は、グローバルな金融産業の厳格な基準を満たすために日々進化しています。
基準および規制の遵守
Stripe はクラス最高のセキュリティ慣行を使用して高レベルのセキュリティを維持しています。
PCI 認定
PCI 認証を受けた監査人によって Stripe が監査され、PCI サービスプロバイダーレベル 1 であると認定されました。これは決済業界において最も厳しい認証レベルです。この監査には、Stripe の Card Data Vault (カードデータボルト、CDV) と、実装コードによる安全なソフトウェア開発の両方が含まれています。
Stripe では、PCI 準拠のいくつかの側面を自動化する機能をユーザーに提供しています。
- ユーザーの実装方法を分析し、使用する PCI 検証フォームを動的に通知します。
- ユーザーが Stripe Elements、 Checkout、Terminal SDK、またはモバイルライブラリと統合する場合、ダッシュボード上で PCI 検証フォーム (自己評価質問票) の記入支援を提供します。
- PCI 準拠と、Stripe のさまざまなサポートに関するユーザーへの研修に役立つ PCI 準拠ガイドを発行しています。
System and Organization Controls (システムと組織の管理、SOC) レポート
Stripe のシステム、プロセス、コントロールは SOC 1 および SOC 2 法令遵守プログラムの一環として定期的に監査を受けています。SOC 1 および SOC 2 タイプ 2 レポートは毎年生成されており、リクエストに応じて提供できます。
The Auditing Standards Board of the American Institute of Certified Public Accountants’ (AICPA) Trust Service Criteria (TSC) developed the SOC 3 report. Stripe’s SOC 3 is a public report of internal controls over security, availability, and confidentiality. View our recent SOC 3 report.
カード端末用 EMVCo 基準
Stripe Terminal is certified to the EMVCo Level 1 and 2 standards of EMV® Specifications for card and terminal security and interoperability. Terminal is also certified to the PCI Payment Application Data Security Standard (PA-DSS), the global security standard that aims to prevent payment applications developed for third parties from storing prohibited secure data.
NIST サイバーセキュリティフレームワーク
Stripe の一連の情報セキュリティポリシーとその総合的な策定は、NIST サイバーセキュリティフレームワークに沿っています。Stripe のセキュリティ慣行は、オンデマンドのクラウドコンピューティングやストレージプラットフォームなどの安全な製品を提供する必要がある大手顧客 (Digital Ocean や Slack など) の基準を満たしています。
プライバシーとデータ保護
The Stripe privacy practices comply with CBPR and PRP systems as evidenced by the CBPR and PRP certifications Stripe has obtained. See the status of our CBPR and PRP certifications. Stripe also complies with the US Data Privacy Framework (“EU-US DPF”), the UK Extension to the EU-US DPF, and the Swiss-US Data Privacy Framework as set forth by the US Department of Commerce. See our certifications.
We continuously implement evolving privacy and data protection processes, procedures, and best practices under all applicable privacy and data protection regimes. For more information, see the following Stripe resources:
Stripe 製品の保護
セキュリティは、すべての製品設計とインフラの決定における Stripe の基本理念の 1 つです。ユーザーが Stripe データをより適切に保護できるように、幅広い機能を提供しています。
機密情報にかかわる操作の認証
The Stripe Dashboard supports several forms of multi-factor authentication (MFA) including: SMS, time-based one-time password algorithm (TOTP), hardware security keys, and passkeys. We also support single sign-on through Security Assertion Markup Language (SAML) 2.0, allowing you to mandate sign-in requirements, configure access control, and instantly onboard team members through just-in-time (JIT) account provisioning.
You must authenticate user support requests by sending them from the Dashboard after login, or by verifying account access before we offer a support response. By requiring authentication, we minimize the risk of providing any information to non-authorized people.
アクセス制限と監査
From the Dashboard, you can assign different detailed roles to enable least-privilege access for your employees, and create restricted access keys to reduce the security and reliability risk of API key exposure.
You can also view audit logs of important account changes and activity in your security history. These audit logs contain records of sensitive account activity, such as logging in or changing bank account information. We monitor logins and note:
- 同一または通常のデバイスによるものか
- 一貫した IP アドレスによるものか
- 支払いの失敗
You can export historical information from the logs. For time-sensitive activities, such as logins from unknown IPs and devices, we send automatic notifications so you don’t need to review logs manually.
安全な接続のための HTTPS および HSTS
Stripe では、公開されているウェブサイトやダッシュボードなどのすべてのサービスに、TLS (SSL) による HTTPS の使用を義務付けています。Stripe では定期的に実装の詳細を監査していて、これには Stripe が提示する証明書、使用する認証局、サポートする暗号などが含まれます。HSTS を使用して、ブラウザーが Stripe と HTTPS 経由でのみ対話するようにしています。Stripe は最新の主要ブラウザーすべてに対して HSTS プリロードリストにも含まれています。
All server-to-server communication is encrypted using mutual transport layer security (mTLS) and Stripe has dedicated PGP keys for you to encrypt communications with Stripe, or verify signed messages you receive from us. Our systems automatically block requests made using older, less secure versions of TLS, requiring use of at least TLS 1.2.
ダッシュボードや API サブドメインを含む stripe.com ドメインは、Chrome 向けのトップドメインリストに含まれ、ホモグラフ攻撃に対する特別な保護を提供しています。これにより、Chrome で stripe.com に似せた偽造ページが作成されにくくなり (たとえば、strípe.com は Punycode (xn–strpe-1sa.com) としてレンダリングされます)、さらに Stripe の認証についてもフィッシングされにくくなります。
事前のインターネット監視
Stripe では、加盟店の API キーについてインターネットを積極的に監視します。侵害されたキーが見つかった場合は、適切なアクションを実行し、API キーを取り消す必要があることをユーザーに通知します。Stripe は GitHub Token Scanner を使用して、ユーザーの API キーが GitHub で漏洩したときに警告を受け取ります。ユーザーがアクセスしてしまう可能性がある外部のフィッシングページが見つかった場合、Stripe はそれらのページを削除させるためにベンダーと積極的に連携し、Google セーフブラウジングに報告します。
インフラのセーフガード
Stripe のセキュリティチームは、脆弱性をスキャンし、侵入テストとレッドチーム演習を実施することにより、定期的にインフラをテストしています。業界トップのセキュリティ企業を採用し、自社システムのサードパーティーのスキャンを実行して、見つかった問題をすぐに解決します。サーバーは、健全性を維持し、古くなった接続やリソースを破棄するために、頻繁に自動で交換されます。サーバーのオペレーティングシステムは、セキュリティの使用終了 (EOL) 日より前に余裕をもってアップグレードされます。
専用カードテクノロジー
Stripe encrypts sensitive data both in transit and at rest. The Stripe infrastructure for storing, decrypting, and transmitting primary account numbers (PANs), such as credit card numbers, runs in a separate hosting infrastructure and doesn’t share any credentials with the rest of our services. A dedicated team manages our CDV in an isolated Amazon Web Services (AWS) environment that’s separate from the rest of the Stripe infrastructure. Access to this separate environment is restricted to a small number of specially trained engineers and access is reviewed quarterly.
All card numbers are encrypted at rest with AES-256. Decryption keys are stored on separate machines. We tokenize PANs internally, isolating raw numbers from the rest of our infrastructure. None of the Stripe internal servers and daemons can obtain plain text card numbers, but they can request that cards are sent to a service provider on a static allowlist. The Stripe infrastructure for storing, decrypting, and transmitting card numbers runs in a separate hosting environment, and doesn’t share any credentials with primary Stripe services, including our API and website. We treat other sensitive data, such as bank account information, similarly to how we tokenize PANs.
コーポレートテクノロジー
Stripe takes a zero-trust approach to employee access management. Employees are authenticated with SSO, two-factor authentication (2FA) using a hardware-based token, and mTLS through a cryptographic certificate on Stripe-issued machines. After connecting to the network, sensitive internal systems and those outside the scope of the employee’s standard work require additional access permissions.
We monitor audit logs to detect abnormalities and watch for intrusions and suspicious activity, and also monitor changes to sensitive files in our code base. All of Stripe’s code goes through multiparty review and automated testing. Code changes are recorded in an immutable, tamper-evident log.
We constantly collect information about Stripe-issued laptops to monitor for malicious processes, connections to fraudulent domains, and intruder activity. We have a comprehensive process for allowlisting permitted software on employee laptops, preventing the installation of non-approved applications.
セキュリティに対する姿勢のメンテナンス
当社の開発者は、プロジェクトのライフサイクルの早い段階でセキュリティ分野の専門家と協力します。セキュリティ審査処理の一環として、セキュリティの専門家がプロジェクトの実装の指針となる脅威モデルと信頼境界線を策定します。開発者はこれと同じプロセスを使用して、コードの機密性の高い要素に変更を加えます。
要求による専任の専門家
当社には、インフラ、オペレーション、プライバシー、ユーザー、アプリなど複数のセキュリティ分野に特化した専属のセキュリティーチームが多数存在します。セキュリティの専門家が常に待機し、年中無休で対応しています。Stripe は、ベストプラクティスの水準を常に引き上げ、サイバーセキュリティのリスクを最小限に抑えることに注力しています。
セキュリティは Stripe 従業員全員の責務
We require every Stripe employee to complete annual security education, and we provide secure software development training to Stripe engineers. We run internal phishing campaigns to test everyone at Stripe on recognizing phishing attempts and flagging them to the appropriate security team.
アクセス制御を管理する
We have a formal process for granting access to systems and information, and we regularly review and automatically remove inactive access. Actions within the most sensitive areas of the infrastructure need a human review. To enable best practices for access control, our security experts build primitives to assist Stripe teams in implementing the principle of least privilege. To minimize our exposure, we have a data retention policy that reduces the data we keep while complying with regulatory and business requirements.
脆弱性の開示と報酬プログラム
We maintain a vulnerability disclosure and reward (“bug bounty”) program that compensates independent security researchers who help us keep our users safe. By submitting a security bug or vulnerability to Stripe through HackerOne, you acknowledge that you’ve read and agreed to the program terms and conditions. Refer to our policy on HackerOne for more information about how to participate in our bug bounty program.