カード決済まわりの選び方

カード決済を扱うとき、実装の巧拙よりカード情報をどこで受け取るかが決定的に効く。ここを誤ると、決済機能の実装より監査対応のほうが重くなる。

🔴
カード番号を自社サーバーに通さない構成にしてください

自前でカード情報を受け取ると PCI DSS の適用範囲が一気に広がり、要求される管理水準が跳ね上がります。各社が提供するトークン化の仕組み（フロントエンドで直接トークンを作り、サーバーはトークンだけ受け取る）を使うのが前提です。これは規模を問わず守るべき原則です。

3D セキュアと離脱

本人認証（3D セキュア）を挟むと、利用者は一度カード会社の画面へ遷移する。この途中で離脱されると、フロントエンドは決済結果を受け取れない。決済の確定は Webhook で受け取るのが正しく、画面上の表示は暫定として扱う。この設計にしていないと「決済は成立しているのに注文が記録されていない」という最悪の状態が起きる。

手数料と入金サイクル

料率だけでなく、入金までの期間を事業計画に入れる必要がある。決済完了と入金には数日から1か月の差があり、小規模事業者ほどこの時間差が資金繰りに効いてくる。また返金・チャージバックが発生したときの手数料の扱いも、サービスによって条件が異なる。

国内特有の決済手段

カード以外に、コンビニ決済や銀行振込が要件に入ることがある。これらは即時決済ではなく、入金確認までに時間差が生じる。カード決済の感覚のまま業務フローを設計すると、「支払い済み」の判定タイミングで齟齬が出る。対応する決済手段ごとに、確定のタイミングを整理しておきたい。