Stripe セキュリティチェックリストの書き方

最終更新日：2026年7月15日

Stripe アカウントの登録後、日本の事業者には「セキュリティチェックリスト」という質問票への回答が求められます（クレジット取引セキュリティ対策協議会が定めるもので、オンラインでカード決済を受け付けるすべての日本の事業者が対象です）。Stripe ダッシュボードの「要対応（Actions required）」に表示されます。

大前提：あなたのストアは shadowing.work プラットフォーム上にあり、カード情報の入力は Stripe の決済ページ（Stripe Checkout）でのみ行われます。カード番号が当プラットフォームのサーバーを通ることはありません。質問票の「システム」に関する項目は、プラットフォームの実装をそのまま答えれば実態と一致します — 以下の回答はその実態を記したものです。

はじめの質問（連携方法）

質問	回答
How do you plan to bill customers?（請求方法）	Other (for example, Stripe Checkout, Payment Element) — 販売は Stripe Checkout（Stripe がホストする決済ページ）で行われます。
Do you sell your products or services on a website?	Yes — ウェブサイト欄にはご自身のストアフロント URL を記入します。

1. 管理画面のアクセス制限・パスワード管理

質問の趣旨	回答	根拠（プラットフォームの実装）
管理画面を IP 制限や Basic 認証などで保護しているか	はい	管理画面（スタジオ）にパスワードは存在しません。登録メールに届く一回限りのリンク／確認コードによる本人確認でのみログインでき、総当たりできる固定パスワードがそもそもありません。全体が Cloudflare の WAF（不正アクセス遮断）の背後にあります。
二要素認証・二段階認証を使っているか	はい	ログインは毎回、登録メールへのワンタイムコード送付＝所持確認による二段階の検証です。
ログイン失敗 10 回以内でロックされるか	はい	確認コードは 5 回間違えると失効し、メールでの再発行が必要になります。コードの送信回数にも制限があります。

2. データディレクトリの公開設定

質問の趣旨	回答	根拠
重要ファイルを公開ディレクトリに置いていないか	はい（置いていない）	公開ディレクトリ自体が存在しません。音声・動画・データはすべて非公開のオブジェクトストレージに保管され、権限を確認したうえでアプリ経由でのみ配信されます。
アップロードできるファイル種別を制限しているか	はい	アップロードできるのは教材用の音声と動画のみです。保存先はウェブサーバーの公開領域ではなくオブジェクトストレージで、アップロードされたファイルがサーバー上で実行されることはありません。

3. ウェブアプリケーションの脆弱性

質問の趣旨	回答	根拠
脆弱性診断を定期的に行い、対処しているか	はい	プラットフォームはコード変更ごとのセキュリティレビューと、依存ライブラリの脆弱性監視を継続的に実施しています。
SQL インジェクションや XSS への対策	はい	データベースへの問い合わせはすべてパラメータ化（プレースホルダ）され、画面出力は自動エスケープされます。
開発時のセキュアコーディング・ソースコードレビュー	はい	入力値の検証を含むソースコードレビューを実施しています。

4. ウイルス対策ソフト

この項目はご自身が業務に使うパソコンについて答えるものです。Windows セキュリティ（Defender）や macOS 標準の保護機能が有効で、自動更新になっていれば「はい」と答えられます。念のためお使いの端末の設定をご確認ください。

5. カードテスティング（不正なカード有効性テスト）対策

「はい」と回答できます。質問票の注記にもあるとおり、Stripe がカード有効性テストの試行を自動的に制限するため、Stripe で決済を処理する場合は対策の 1 つ以上を実施していることになります。プラットフォーム側でも bot 対策と試行回数の制限を行っています。

6. ログインセキュリティ（1 つ以上のチェックが必要）

次の 3 つにチェックを入れれば、いずれも実態と一致します。

ログイン試行回数の制限（Limited number of login attempts and throttling） — 確認コードは 5 回で失効、送信回数にも制限があります。
ログイン時のメール通知（Email/SMS notification at login） — ログイン自体が登録メールへのコード送付なので、ログイン操作は必ず本人のメールに届きます。
その他の対策（Other countermeasures） — 固定パスワードを持たないパスワードレス方式、Cloudflare WAF、bot 対策（Turnstile）。

委託（Outsourcing）

欄	記入内容
Who is implementing security measures on behalf of your company?	Contractor(s)（委託先）を選択
Contractor business name	`shadowing.work（サイトの構築・運用・セキュリティ対策全般）`
Application service provider name	`shadowing.work`
PCI DSS audit Qualified Security Assessor (QSA)	`not applicable` — 欄の注記どおり、委託先・ASP が PCI DSS 監査の対象でない場合は「not applicable」と記入します。カード情報は Stripe の決済ページで直接処理され、当プラットフォームはカード情報を保持・処理しません。

最後に

質問票の文言や構成は Stripe 側で変わることがあります。このページにない質問が出た場合や、判断に迷う場合は、実態と異なる回答はせず、下のボタンからお問い合わせください。

解決しないことがありますか？

ガイドに載っていないこと・うまくいかないことは、お気軽にご連絡ください。

メールで問い合わせる