Stripe（ストライプ）と連携してクレジットカード決済可能にする

リウムスマイル！では、オンライン決済サービス「Stripe（ストライプ）」と連携することで、ホームページ上からクレジットカードによる支払いを受け付けることができます。

Stripeは、アメリカ発の決済プラットフォームで、初期費用なし・月額無料で始められ、必要なのは決済ごとの手数料のみ。銀行口座の登録や本人確認を行うだけで、簡単に利用を開始できます。

Stripeの導入には、「アカウントの作成」「本人確認」「必要な設定情報の取得」といったいくつかのステップがあります。

ここからは、リウムスマイル！と連携するために必要な設定手順を、順を追ってご説明していきます。

Stripeでコードを取得し、ホームページに設定する

ホームページ作成・カスタマイズ

Stripeアカウント登録

クレジットカード決済を利用するには、まずStripeのアカウントを作成し、初期設定を行う必要があります。

公式サイトにアクセスして、新規登録と本人確認を済ませましょう。

Stripe（ストライプ）

Stripeをご利用いただく前にご確認ください

Stripeのご利用には、決済ごとの手数料がかかります。
Stripeの利用規約を必ずご確認ください。
Stripeの審査により、ご利用いただけない場合があります。

また、インターネット上で商品やサービスを提供する場合、以下の表示が法律で義務付けられています。

特定商取引法に基づく表示
プライバシーポリシー・キャンセルポリシー

これらはStripeの利用審査時にも確認されます。事前にページを作成しておきましょう。

>>>参考「特定商取引法に関する表記ページを作成・編集する」
>>>参考「プライバシーポリシー・キャンセルポリシーページを編集する」

既にStripeアカウントをお持ちの方は、次のステップへお進みください。

Stripeのトップページで［今すぐ始める］をクリック

アカウント作成に必要な情報を入力する
［アカウントを作成］をクリック

入力したメールアドレス宛に届く確認メール内の［メールアドレスを確認する］ボタンをクリックし、本人確認を行う

本人確認が完了すると、テストモード（サンドボックス）のダッシュボードが表示されます。

右上の［本番環境を有効化］をクリックする

以下の情報を順に登録する

ビジネスタイプ（個人事業主、法人など）
運営者の個人情報（氏名・住所など）
事業の詳細（提供サービスの内容など）
割賦販売法に基づくコンプライアンスに関する質問への回答

※割販法に基づき、コンプライアンス関連の質問に回答する必要があります。

各項目の回答は、以下を参考にしてください。

自社のサーバー上にカード番号を保存するか、電話でカード番号を収集するなどの方法で、自社 (またはお客様の代理の会社) で顧客のカード番号を直接管理する予定はありますか？

「いいえ」

自社 (またはお客様の代理の会社) で、3Dセキュアなどの本人確認対策を導入する予定はありますか？

「はい」

自社 (またはお客様の代理の会社) で、決済ごとにカードのセキュリティコードの入力を求めるようにする予定はありますか？

「はい」

自社 (またはお客様の代理の会社) で、不正な配送先住所を検出するための対策を講じる予定はありますか？

「いいえ」

過去 5 年間に特定商取引法に違反したことがありますか？もしくはこれまでに消費者契約法違反による敗訴判決を受けたことがありますか？

この質問はあなた(の団体)がこれまでの事業活動にて違反をしたことは無いか？をヒアリングするものです。

これら違反に類する指摘を受けたことがあるかどうか回答してください。

入金用口座の登録やアカウントのセキュリティ設定を行い、画面の案内に沿って必要な手続きを進める
すべての情報を入力したら、最後に内容を確認し、画面下部の［送信］をクリックして申請を完了させる

以上の手続きが完了し、Stripeの審査に通ってアカウントが有効化されると、実際の決済を受け付けることができるようになります。

セキュリティ・チェックリストに基づく対策措置状況申告書

Stripeでは、2024年4月1日以降に作成された新たなStripeアカウントを対象にセキュリティチェックリストの記入が必須となりました。以下に記載例をあげておきます

最終的な判断はStripe社にて行われる為、以下の回答で100％アカウント作成が可能であるかは保証いたしかねますので、ご理解ください。Stripe社の判断の他、各クレジットカード会社の判断でも利用の可否が変わることもあります。ご不明な点は直接Stripe社へご確認ください。

■導入する方法について詳細をお知らせください

顧客にどのように決裁を行いますか？

＞その他（例えば、Stripe Checkout や Payment Element）

■自社のウェブサイトで商品またはサービスを販売していますか。

＞はい

■1. 管理者画面のアクセス制限と管理者のID/PW管理

管理者のアクセス可能なIPアドレスを制限する。IPアドレスを制限できない場合は管理画面にベーシック認証等のアクセス制限を設ける。

＞はい

取得されたアカウントを不正使用されないよう二段階認証または二要素認証を採用する。

＞はい

※リウムスマイル！では管理画面ログイン時の2要素認証を用意しています。必要に応じて2要素認証が可能です。

管理者画面のログインフォームでは、アカウントロック機能を有効にし、10回以下(PCIDSS ver4.0基準)のログイン失敗でアカウントをロックする。

＞はい

■2. データディレクトリの露見に伴う設定不備への対策

公開ディレクトリには、重要なファイルを配置しない。（特定のディレクトリを非公開にする。公開ディレクトリ以外に重要なファイルを配置する。）

＞はい

WebサーバやWebアプリケーションによりアップロード可能な拡張子やファイルを制限する等の設定を行う。

＞はい

■3. Webアプリケーションの脆弱性対策

脆弱性診断またはペネトレーションテストを定期的に実施し、必要な修正対応を行う。

＞はい

SQLインジェクションの脆弱性やクロスサイト・スクリプティングの脆弱性対策として、最新のプラグインの使用（当該脆弱性が無いものが望ましい）やソフトウェアのバージョンアップを行う。

＞はい

Webアプリケーションを開発またはカスタマイズされている場合には、セキュアコーディング済みであるか、ソースコードレビューを行い確認する。その際は、入力フォームの入力値チェックも行う。

＞はい

■4. マルウェア対策としてのウイルス対策ソフトの導入、運用

マルウェア検知/除去などの対策としてウイルス対策ソフトを導入して、シグネチャーの更新や定期的なフルスキャンなどを行う。

＞はい

■5. 悪質な有効性確認、クレジットマスターへの対策

＞はい

■6. 不正ログイン対策

以下の各セクションから少なくとも1つを実装する必要があります。

会登録時

＞不審なIP アドレスからのアクセス制限

＞会員登録時の個人情報確認（氏名・住所・電話番号・メールアドレス等）

ログイン認証時

＞不審なIP アドレスからのアクセス制限

属性変更時

＞不審なIP アドレスからのアクセス制限

■委託先情報

貴社に代わってどなたがセキュリティ対策を実行しますか？

＞委託先企業

委託先企業名

＞有限会社リウム

ASPカート事業者名

＞ASPカートを利用していません

PCI DSS準拠の審査を行ったQSA (Qualified Security Assessor)

＞レベル3のため不要

APIキー取得とリウムスマイル！への登録

Stripeアカウントの作成が終わったら、次は「APIキー」を取得して、リウムスマイル！とStripeをつなぐ設定を行います。

APIキーとは、Stripeとリウムスマイル！を安全に連携させるための“認証コード”のようなものです。

このキーをリウムスマイル！に登録することで、Stripeの決済情報を正しく受け取れるようになります。

Stripeでは、本番環境用・テスト環境用それぞれに「公開可能キー」と「シークレットキー」が用意されています。

リウムスマイル！では、以下の4つの情報を設定する必要があります

（A）公開可能キー（本番環境用）
（B）シークレットキー（本番環境用）
（C）公開可能キー（テスト環境用）
（D）シークレットキー（テスト環境用）

まずは、本番用のキーを取得し、リウムスマイル！に登録していきましょう。

本番環境用のAPIキーを取得する

まずは、実際の決済に使用する「本番環境用のAPIキー」をStripeから取得します。

Stripeにログインし、左下のメニューから［開発者］をクリック
開発者メニューの中から［APIキー］を選択

上記のような本番環境用のAPIキーが表示されますので、

（A）本番用公開可能キー
（B）本番用シークレットキー

を後述するリウムスマイル！側のStripe決済連携設定画面に貼り付けます。

シークレットキーについて

シークレットキーは、 一度しか表示されず、後で確認することができませんので、しっかりコピーしてください。

後で確認しようとしてもセキュリティ保護のために、「sk_live...bkbk」のように、省略して表示されます。

もし、コピーなどに失敗した場合は、以下の手順でキーの再作成をする必要があります。

更新したいキーの右に表示された「…」をクリック
キーを取り消すを選択
古いキーの有効期限を選択し、パスワード認証を行う
新しいキーが発行されます

※キーを更新する場合には、以前のキーが使用できなくなることにご留意ください。

テスト環境用のAPIキーを取得する

実際の決済を行う前に、テスト環境でStripe決済が正常に動作するか確認することができます。

まずは、Stripeを「テスト環境」に切り替えましょう。

Stripe画面の左上に表示されているアカウント名（またはワークスペース名）をクリック
表示されたメニュー内の［サンドボックスに切り替える］をクリック
続いて表示されるオプションの中から［テスト環境］を選択

テスト環境に切り替わると、画面上部に「テスト環境」と書かれたオレンジのバーが表示されます。

この表示が確認できれば、テストモードに正しく切り替わっています。

テスト環境用のAPIキーが表示されますので、

（C）テスト用公開可能キー
（D）テスト用シークレットキー

を後述するリウムスマイル！側のStripe決済連携設定画面に貼り付けます。

APIキーについて

【テスト環境】と【本番環境】に張り付けるキー（文字列）は、それぞれ別のものです。

ここが間違っていると決済ができませんので、しっかり確認してくださいね！

リウムスマイル！にAPIキーを設定する

リウムスマイル！管理画面の上部紫色タブ［システム設定］-［EC 決済連携設定］-［Stripe決済連携設定］の順にクリック

【テスト環境】
Stripe管理画面でコピーしたテスト用キーの （C）公開可能キー（D）シークレットキー　を貼り付ける
【本番環境】
Stripe管理画面でコピーした本番用キーの （A）公開可能キー（B）シークレットキー　を貼り付ける
【決済フォームタイプ】
特別な要件がない場合は、「新標準」を選択する
【実行動作環境選択】
まずテストしてみたい方は「テスト環境」を選択する
実際に決済動作にする場合は、「本番環境」を選択する
画面最下部の［保存］をクリック

テスト環境について

「テスト環境」を選択すると、決済の動作テストモードとなり、実際の決済は実行されません。

まずは「テスト環境」で、一連の決済の流れをご自身でテストしてから、「本番環境」に切り替えることをオススメします。

「テスト環境」時には、以下のテスト用カード情報が利用できます。

テスト用カード情報
カード番号	4242 4242 4242 4242
有効期限	任意
セキュリティコード	任意

※テストを終えたら、必ずこの実行動作環境選択を「本番環境」に切り替えて保存してください。

「テスト環境」状態では、実際の決済手続きが行われません。

Webhookエンドポイントの登録・イベント設定

Webhookは、Stripeからリウムスマイル！に「決済が成功しました」などの通知をリアルタイムで届ける仕組みです。

この設定がないと、決済情報が正しく反映されません。以下の手順で必ず設定してください。

リウムスマイル！でWebhook URLを取得する

リウムスマイル！管理画面の上部紫色タブ［システム設定］-［EC 決済連携設定］-［Stripe決済連携設定］の順にクリック
WebhookエンドポイントURL欄に表示されているURLをコピーする

StripeでWebhook送信先を登録・イベントを選択する

Stripe管理画面の左下［開発者］をクリック
左側メニュー内の［Webhook］をクリック

［+送信先を追加する］をクリック

※すでにWebhook送信先を作成している場合は、対象のエンドポイントを選択し、右上の［送信先を編集］をクリックして編集してください。

参考:>>>既存存のStripeWebhookエンドポイントの設定を確認、更新する

以下の手順で、Stripeで受け取る通知（イベント）を設定します。

イベント一覧の中から［Customer］をクリック
※ Customer イベント：顧客情報に関するイベント（顧客登録や支払い方法の変更など）
表示された項目の上部にある［すべてのCustomerイベントを選択］にチェック
→ これにより、Customerカテゴリのすべてのイベントに自動でチェックが付きます。