GLOSSARY
カード情報の非保持化
（かーどじょうほうのひほじか）カード情報の非保持化とは、自社システムでカード情報を保持・処理・通過させない構成にすることです。
なぜ求められるのか
カード情報を自社で持つと、漏えいしたときの被害と責任が極めて大きくなります。国内では、EC事業者は非保持化またはPCI DSS準拠のいずれかを求められています。
非保持化のほうが現実的な選択肢とされるのは、PCI DSSへの準拠には継続的な監査と運用体制が必要になるためです。
実現する方法
代表的なのはトークン方式です。カード番号を決済代行側で別の文字列に置き換え、自社にはその文字列だけが渡ります。
リダイレクト方式やJavaScript型もあります。いずれも「自社の画面でカード番号を受け取らない」ことが要件です。入力欄を自社で持っていないかを確認してください。
メルカートの場合
メルカートは、カード情報の非保持化に対応した決済連携を標準としています。共通基盤で対応するため、事業者ごとに個別対応する必要はありません。
よくある質問
非保持化とPCI DSS準拠、どちらが必要ですか？
いずれかを満たす必要があります。非保持化のほうが運用負担は軽くなります。
定期購入でも非保持化できますか？
できます。トークンを保持し、次回以降の課金に利用する方式が一般的です。