「クレジットカード情報の非保持化、トークン決済で本当に実現できる？」
「PCI DSS 認証の取得範囲をトークン決済で縮小できるって本当？」
「リカーリング(継続課金)とトークン決済はどう組み合わせる？」
トークン決済 (トークナイゼーション) は、クレジットカード情報を「意味を持たないランダムな文字列 (トークン)」に置き換えて決済を行う方式です。事業者のサーバーには実際のカード番号ではなくトークンのみが保存されるため、万一サーバーが侵害されても実害が出ない安全な仕組みとして、改正割賦販売法の「非保持化」要件への現実解となっています。本記事では、トークン決済の仕組み、EC 事業者のメリット、リカーリングとの組合せ、選定時のポイントまで 2026 年最新情報で解説します。
決済の導入や見直しでお悩みではありませんか？審査に強いJPCCが、あなたの事業に合った決済導入を無料でご相談に乗ります。
トークン決済とは？基本的な仕組み
トークン決済は、PSP (決済サービスプロバイダ) がカード情報を預かり、事業者には「トークン」と呼ばれる代替番号だけを返す方式です。トークンとカード情報の対応関係は PSP が安全な環境で管理します。
処理の流れ
- 顧客が決済画面でカード情報を入力
- カード情報は事業者を経由せず PSP に直接送信
- PSP がカード情報をトークンに変換
- 事業者にはトークンのみが返却される
- 事業者は次回以降の決済もトークンを使って実施
カード情報を扱う場所が PSP の管理する PCI DSS 準拠環境内に限定されるため、事業者側のセキュリティ負担が大幅に軽減されます。
トークンと暗号化の違い
暗号化は鍵を持っていれば元のカード情報に復号できます。一方トークンは PSP の対応表がなければ元のカード情報を復元できないため、より強固です。トークンが漏洩しても、PSP のシステムを侵害できなければ実害が出ません。
EC 事業者のメリット
1. PCI DSS 認証範囲の劇的な縮小
カード情報を事業者サーバーで一切扱わないため、PCI DSS の準拠対応範囲を「ほぼゼロ」にできます。本来であれば 12 要件・約 400 項目の対応が必要ですが、トークン化により大幅縮小可能です。年間維持コスト 100〜500 万円が不要になるケースも珍しくありません。
2. 改正割賦販売法の非保持化要件を自然に達成
割賦販売法 で求められる「カード情報の非保持化」を、追加の対応なく満たせます。改正法施行 (2018 年) 以降、EC 事業者はこの非保持化または PCI DSS 準拠が必須となっており、ほとんどの事業者は非保持化 (トークン決済) を選択しています。
3. リカーリング決済 (継続課金) との高い親和性
サブスクや会費の継続課金で、トークンを保存しておけば毎回カード情報を入力させる必要がありません。さらに、カード再発行で番号が変わってもトークンは変わらないため、解約や決済失敗のリスクが低減します。リカーリング決済 との組合せは特に重要です。
4. 情報漏洩リスクの大幅低減
事業者のサーバーやデータベースにカード情報がないため、内部不正・サイバー攻撃・物理盗難のいずれでもカード情報流出は発生しません。チャージバック リスクの予防にもつながります。
EMV 3-D セキュアとの組合せで強力なセキュリティに
トークン決済は「情報漏洩を防ぐ仕組み」、EMV 3-D セキュア は「本人確認を強化する仕組み」です。2 つを組み合わせることで、以下のフレームワークが完成します。
- カード情報自体は事業者を通過しない (トークン化)
- 決済時の本人認証で「カード保有者である」ことを確認 (3-D セキュア)
- 異常な決済パターンを検知して阻止 (AI 不正検知)
クレジットカード・セキュリティガイドライン 6.0 版 (2025 年 3 月公表) では、この多層防御アプローチが推奨されています。
トークン決済の主要 PSP と選定ポイント
2026 年現在、国内で利用可能なトークン決済対応 PSP は以下のような企業が代表的です。
- GMO ペイメントゲートウェイ
- SB ペイメントサービス
- 株式会社 DG フィナンシャルテクノロジー (旧ベリトランス)
- Stripe Japan
- Square Japan
- JPCC
選定の 5 つの軸
- 対応カードブランド: Visa/Master/JCB/AMEX に加え、UnionPay や Diners まで網羅できるか
- API ドキュメントの整備度: 開発工数に直結。サンプルコードが豊富な PSP が望ましい
- リカーリング機能の有無: 継続課金が必要なら必須機能
- EMV 3-D セキュア 2.x の標準対応: 別費用ではなく標準提供かを確認
- サポート体制とトラブル時の対応速度: 365 日対応の SLA があるか
選定時は 決済代行サービスの比較 もあわせてご検討ください。
業種別のトークン決済活用シーン
サブスク・継続課金事業
SaaS、動画配信、雑誌購読、フィットネスクラブなど月額課金事業ではトークン決済が必須。顧客のカード番号が変更されてもトークンは継続使用できるため、解約率や決済失敗率を大幅に低減できます。
EC サイト
2 回目以降の購入時にカード情報の再入力が不要になり、購買完了率 (コンバージョン) が向上します。Amazon の「ワンクリック購入」相当の体験を実現できます。
BtoB 取引・請求書発行
定期的な大口取引で、複数回の請求を同一トークンで処理可能。経理処理の効率化と決済失敗の予防につながります。
会員制サービス
美容室の月額会員、ジム会員、塾の月謝など、継続利用が前提の業種では、初回登録時のトークン発行で次回以降の決済をスムーズ化できます。
トークン決済導入の実務ステップ
トークン決済を導入する実務的な流れは以下の通りです。新規 EC 構築でも既存サイトの改修でも、基本的な手順は変わりません。
1. PSP の選定 (1〜2 週間)
必要決済手段、月次取扱規模、開発リソースから候補 PSP を 2〜3 社に絞り込み、見積取得と仕様比較を実施。
2. 契約・加盟店審査 (1〜3 週間)
カードブランドの加盟店審査が必要。業種・販売商品によっては追加書類の提出や追加審査が発生します。
3. API 連携実装 (2〜4 週間)
PSP の SDK / API を使って、決済画面・カード情報入力フォーム・トークン管理機能を実装。リカーリングを使う場合は顧客 ID とトークンの紐付け管理も必要です。
4. テスト環境での検証 (1〜2 週間)
サンドボックス環境で正常系・異常系の決済テスト。3-D セキュアの認証フロー、決済失敗時のリトライ処理、返金処理など、運用で発生し得るパターンを網羅的に確認します。
5. 本番リリース・並行運用
初期は既存決済と並行運用し、決済成功率や顧客の離脱率をモニタリング。問題なければ完全移行を実施します。
トークン決済の注意点
- PSP 変更時のトークン移行: 異なる PSP 間ではトークンに互換性がないため、PSP を切り替えると顧客にカード情報を再登録してもらう必要があります
- カード情報の更新は PSP 経由: 顧客のカード番号変更も PSP の管理画面 / API で行うため、独自の顧客管理画面が制限される場合あり
- 決済代行サービスの障害リスク: PSP に障害が発生すると決済が止まるため、SLA と障害対応体制の確認が重要
よくある質問
Q1. トークン決済を導入すれば PCI DSS 準拠は不要ですか？
事業者側のカード情報を扱う範囲がゼロになれば、自社で PCI DSS 認証を取得する必要は基本的にありません。ただし、決済画面のリダイレクト方式や API 連携の構成によっては一部要件が残るため、PSP に確認することが重要です。
Q2. トークン決済と非保持化は同じものですか？
非保持化を実現する複数の方式の一つがトークン決済です。リダイレクト型 (顧客が PSP のページに遷移して決済) も非保持化の手段ですが、UX 面でトークン決済の方が優れています。
Q3. トークン決済のコスト感は？
多くの PSP では決済手数料の中にトークン機能が含まれており、別途の月額費用は発生しないケースが大半です。詳細は 決済代行手数料の相場 をご参照ください。
Q4. トークン決済とリダイレクト型決済はどちらが良いですか？
UX を重視するならトークン決済 (自社サイト内で完結)、最も実装が簡単なのはリダイレクト型です。EC サイトの離脱率改善を狙うならトークン決済、初期コスト最小化ならリダイレクト型を選択します。
Q5. 既存システムを途中からトークン化できますか？
はい、可能です。既存の顧客カード情報を PSP に移行することで、段階的にトークン化できます。ただし PSP によって移行支援の手厚さが異なるため、契約前に確認が必要です。
