Stripe のセキュリティ

Stripe ユーザーは、機密データの取り扱いに関して当社に信頼を寄せており、顧客データの管理に関しても安心して任せていただいております。決済インフラ企業として、Stripe のセキュリティーに対する姿勢は、グローバルな金融産業の厳格な基準を満たすために日々進化しています。

基準および規制の遵守

Stripe はクラス最高のセキュリティ慣行を使用して高レベルのセキュリティを維持しています。

PCI 認定

PCI 認証を受けた監査人によって Stripe が監査され、PCI サービスプロバイダーレベル 1 であると認定されました。これは決済業界において最も厳しい認証レベルです。この監査には、Stripe の Card Data Vault (カードデータボルト、CDV) と、実装コードによる安全なソフトウェア開発の両方が含まれています。

Stripe では、PCI 準拠のいくつかの側面を自動化する機能をユーザーに提供しています。

• ユーザーの実装方法を分析し、使用する PCI 検証フォームを動的に通知します。
• ユーザーが Stripe Elements、 Checkout、Terminal SDK、またはモバイルライブラリと統合する場合、ダッシュボード上で PCI 検証フォーム (自己評価質問票) の記入支援を提供します。
• PCI 準拠と、Stripe のさまざまなサポートに関するユーザーへの研修に役立つ PCI 準拠ガイドを発行しています。

System and Organization Controls (システムと組織の管理、SOC) レポート

Stripe のシステム、プロセス、コントロールは SOC 1 および SOC 2 法令遵守プログラムの一環として定期的に監査を受けています。SOC 1 および SOC 2 タイプ 2 レポートは毎年生成されており、リクエストに応じて提供できます。

米国公認会計士協会 (AICPA) の Trust Service Criteria (TSC) の監査基準審議会は、SOC 3 レポートを策定しました。 Stripe の SOC 3 は、セキュリティ、可用性、機密性に対する内部管理の公開報告書です。最新の SOC 3 レポートをご覧ください。

カード端末用 EMVCo 基準

Stripe Terminal は、カードと端末のセキュリティと相互運用性のための EMV® Specifications において EMVCo レベル 1 および 2 の認定を受けています。また、Terminal は PCI Payment Application Data Security Standard (PA-DSS) の認定も受けています。これは、サードパーティー向けの決済アプリケーションによる、禁止された機密データの保存を防止することを目的としたグローバル規模のセキュリティ基準です。

NIST サイバーセキュリティフレームワーク

Stripe の一連の情報セキュリティポリシーとその総合的な策定は、NIST サイバーセキュリティフレームワークに沿っています。Stripe のセキュリティ慣行は、オンデマンドのクラウドコンピューティングやストレージプラットフォームなどの安全な製品を提供する必要がある大手顧客 (Digital Ocean や Slack など) の基準を満たしています。

プライバシーとデータ保護

Stripe のプライバシー慣行は、Stripe が取得した CBPR および PRP 認定から証明されるように、CBPR および PRP システムに準拠しています。Stripe の認定ステータスを確認するには、こちら (CBPR) とこちら(PRP) をクリックしてください。また、Stripe は、アメリカ商務省が定めるEU・アメリカ間データプライバシーフレームワーク (「EU-U.S. DPF」)、EU-U.S. DPF のイギリスへの拡張、およびスイス・アメリカ間データプライバシーフレームワークにも準拠しています。Stripe の認定を確認するには、こちらをご覧ください。

We continuously implement evolving privacy and data protection processes, procedures, and best practices under all applicable privacy and data protection regimes. For more information, see the following resources:

• プライバシーポリシー
• プライバシーセンター
• データ処理同意書

Stripe 製品の保護

Security is one of Stripe’s guiding principles for all our product design and infrastructure decisions. We offer a range of features to help our users better protect their Stripe data.

機密情報にかかわる操作の認証

The Stripe Dashboard supports several forms of multi-factor authentication (MFA) including: SMS, time-based one-time password algorithm (TOTP), hardware security keys, and passkeys. We also support single sign-on through Security Assertion Markup Language (SAML) 2.0, allowing customers to mandate sign-in requirements, configure access control, and instantly onboard team members through Just-in-Time account provisioning.

ユーザーからのサポートリクエストは、リクエストをダッシュボードから送信する (ログイン後) か、サポート応答が提案される前にアカウントのアクセス権を確認することにより、認証される必要があります。認証を求めることで、承認されていない人々に情報が提供されるリスクを最小限に抑えています。

アクセス制限と監査

ユーザーはダッシュボードから、さまざまな詳細なロールを割り当てて従業員の特権アクセスを最小限に有効にし、制限付きアクセスキーを作成して、API キーの漏洩によるセキュリティと信頼性のリスクを軽減できます。

Users can also view audit logs of important account changes and activity in their security history. These audit logs contain records of sensitive account activity, like logging in or changing bank account information. We monitor logins and note:

• 同一または通常のデバイスによるものか
• 一貫した IP アドレスによるものか
• 支払いの失敗

Users can export historical information from the logs. For time-sensitive activities, such as logins from unknown IPs and devices, we send automatic notifications so that logs don’t need to be reviewed manually.

安全な接続のための HTTPS および HSTS

We mandate the use of HTTPS for all services using TLS (SSL), including our public website and the Dashboard. We regularly audit the details of our implementation, including the certificates we serve, the certificate authorities we use, and the ciphers we support. We use HSTS to make sure that browsers interact with Stripe only over HTTPS. Stripe is also on the HSTS preloaded lists for all modern major browsers.

All server-to-server communication is encrypted using mutual transport layer security (mTLS) and Stripe has dedicated PGP keys for users to encrypt communications with Stripe, or verify signed messages they receive from Stripe. Our systems automatically block requests made using older, less secure versions of TLS, requiring use of at least TLS 1.2.

ダッシュボードや API サブドメインを含む stripe.com ドメインは、Chrome 向けのトップドメインリストに含まれ、ホモグラフ攻撃に対する特別な保護を提供しています。これにより、Chrome で stripe.com に似せた偽造ページが作成されにくくなり (たとえば、strípe.com は Punycode (xn–strpe-1sa.com) としてレンダリングされます)、さらに Stripe の認証についてもフィッシングされにくくなります。

事前のインターネット監視

Stripe では、加盟店の API キーについてインターネットを積極的に監視します。侵害されたキーが見つかった場合は、適切なアクションを実行し、API キーを取り消す必要があることをユーザーに通知します。Stripe は GitHub Token Scanner を使用して、ユーザーの API キーが GitHub で漏洩したときに警告を受け取ります。ユーザーがアクセスしてしまう可能性がある外部のフィッシングページが見つかった場合、Stripe はそれらのページを削除させるためにベンダーと積極的に連携し、Google セーフブラウジングに報告します。

インフラのセーフガード

Stripe のセキュリティチームは、脆弱性をスキャンし、侵入テストとレッドチーム演習を実施することにより、定期的にインフラをテストしています。業界トップのセキュリティ企業を採用し、自社システムのサードパーティーのスキャンを実行して、見つかった問題をすぐに解決します。サーバーは、健全性を維持し、古くなった接続やリソースを破棄するために、頻繁に自動で交換されます。サーバーのオペレーティングシステムは、セキュリティの使用終了 (EOL) 日より前に余裕をもってアップグレードされます。

専用カードテクノロジー

Stripe encrypts sensitive data both in transit and at rest. The Stripe infrastructure for storing, decrypting, and transmitting primary account numbers (PANs), such as credit card numbers, runs in a separate hosting infrastructure, and doesn’t share any credentials with the rest of our services. A dedicated team manages our CDV in an isolated Amazon Web Services (AWS) environment that’s separate from the rest of the Stripe infrastructure. Access to this separate environment is restricted to a small number of specially trained engineers and access is reviewed quarterly.

All card numbers are encrypted at rest with AES-256. Decryption keys are stored on separate machines. We tokenize PANs internally, isolating raw numbers from the rest of our infrastructure. None of the Stripe internal servers and daemons can obtain plain text card numbers but can request that cards are sent to a service provider on a static allowlist. The Stripe infrastructure for storing, decrypting, and transmitting card numbers runs in a separate hosting environment, and doesn’t share any credentials with Stripe’s primary services including our API and website. It’s not just PANs that are tokenized this way; we treat other sensitive data, like bank account information, in a similar way.

コーポレートテクノロジー

Stripe は従業員のアクセス管理にゼロトラストアプローチを導入しています。従業員は SSO、ハードウェアベースのトークンを使用した 2 段階認証 (2FA)、Stripe が発行したマシンで認証を受けた暗号化による mTLS を使用して認証されます。ネットワークへの接続後、機密性の高い社内システムと、従業員の標準的な作業の範囲外の機能には追加のアクセス許可が求められます。

Stripe は監査ログを監視して異常を検出し、侵入と疑わしいアクティビティーを監視し、コードベース内の機密ファイルへの変更も監視します。すべての Stripe のコードは、複数の関係先の審査と自動テストを受けます。コード変更は、不変の改ざん検知ログに記録されます。Stripe は常に Stripe が発行するノート PC に関する情報を収集して、悪意のあるプロセス、不正利用のドメインへの接続、侵入者のアクティビティーを監視します。Stripe には、従業員のノート PC に対して許可するソフトウェアを許可リストに登録し、無許可のアプリケーションのインストールを防止する総合的なプロセスがあります。

セキュリティに対する姿勢のメンテナンス

当社の開発者は、プロジェクトのライフサイクルの早い段階でセキュリティ分野の専門家と協力します。セキュリティ審査処理の一環として、セキュリティの専門家がプロジェクトの実装の指針となる脅威モデルと信頼境界線を策定します。開発者はこれと同じプロセスを使用して、コードの機密性の高い要素に変更を加えます。

要求による専任の専門家

当社には、インフラ、オペレーション、プライバシー、ユーザー、アプリなど複数のセキュリティ分野に特化した専属のセキュリティーチームが多数存在します。セキュリティの専門家が常に待機し、年中無休で対応しています。Stripe は、ベストプラクティスの水準を常に引き上げ、サイバーセキュリティのリスクを最小限に抑えることに注力しています。

セキュリティは Stripe 従業員全員の責務

Stripe では、従業員全員に年 1 回セキュリティ教育の完了を義務付け、エンジニアには安全なソフトウェア開発に関するトレーニングを提供しています。また、従業員がフィッシング行為を認識し、適切なセキュリティチームに報告できるかどうかをテストするために、社内でフィッシングキャンペーンを実施しています。

アクセス制御を管理する

Stripe には、システムと情報にアクセス権を付与する公式プロセスがあります。アクティブではないアクセスを定期的に確認し、自動的に削除します。インフラの最も機密性の高い領域の操作には、審査担当者による審査が必要です。アクセス管理のベストプラクティスを有効にするために、セキュリティ専門家は、プリミティブを構築し、Stripe のチームが最小権限の原則を実装できるようにサポートします。リスクを最小限に抑えるために、Stripe には保持するデータを最小限に抑えながら、規制とビジネスの要件に準拠するデータ保持ポリシーがあります。

脆弱性の開示と報酬プログラム

We maintain a vulnerability disclosure and reward (“bug bounty”) program that compensates independent security researchers who help us keep our users safe. By submitting a security bug or vulnerability to Stripe through HackerOne, you acknowledge that you’ve read and agreed to the program terms and conditions. Refer to our policy on HackerOne for more information on how to participate in our bug bounty program.