会社情報

PayToMeのセキュリティ：データを守る取り組み

PayToMeのセキュリティを分かりやすく説明します。HTTPS、厳格なヘッダー、トラッカーなし、パスキーなどのサインイン、Stripeの決済、脆弱性の報告方法です。

2026年11月5日更新 · 執筆：PayToMe Editorial

PayToMeのセキュリティは、シンプルな考え方から始まります。いちばん安全なデータは、そもそも収集しないデータです。このページでは、このウェブサイトの訪問者を守るために今日行っていること、アカウントと決済の扱い、問題を報告する方法を説明します。PayToMeは公開ベータ版です。まだ保護が整っていない箇所では、そのことをお伝えします。

PayToMeのセキュリティ：今日実施していること

暗号化された接続

ウェブサイトは、HTTPSで配信しています。HTTP Strict Transport Security（HSTS）ヘッダーも送信しており、ブラウザに、今後このサイトへアクセスするときはHTTPSを使うよう指示しています。

厳格なブラウザ保護

厳格なContent Security Policy（CSP）とその他のセキュリティヘッダーを送信しています。CSPは、ページが使用できるスクリプト、スタイル、接続を制限するため、悪意のあるコードが埋め込まれようとしたときの被害を減らせます。このサイトは、第三者のスクリプトを一切読み込みません。

Cookieもトラッカーもありません

ウェブサイトがCookieを設定することはなく、アクセス解析や広告のトラッカーも動かしていません。漏えいしたり、販売されたり、悪用されたりするトラッキングスクリプトは存在しません。

作成ツールのデータはブラウザの中にとどまります

請求書作成ツールや延滞料金計算ツールなどの無料ツールは、お使いのブラウザ上で動作します。入力した内容は、取引先の名前、明細、金額を含め、私たちのサーバーには送信されません。すべてのツールはツール一覧のページでご覧いただけます。

ニュースレターのデータ

ニュースレターは任意です。登録された場合、メールアドレス、登録した時刻、登録したページを保存します。ウェブサイトはCloudflareでホスティングされており、Cloudflareはニュースレターの登録情報を保持するデータベースも運用しています。メールはResendを通じて送信されます。この2社は、私たちに代わってデータを処理します。保存する内容とその理由は、プライバシーポリシーで説明しています。

ニュースレターのフォームの不正利用を抑えるため、元のIPアドレスではなく、IPアドレスのソルト付きハッシュを保管しています。

サインイン

app.paytome.siにはアカウントがあります。サインインは、パスキー、ウォレット、またはメールアドレスに送るコードで行います。パスキーを使えば、推測やフィッシングで盗まれるパスワードがありません。パスキー、ウォレットのリカバリーフレーズ、サインインコードをメールでお尋ねすることはありませんので、お尋ねするメッセージは疑ってください。

決済

決済はStripeが処理します。PayToMeはカード番号を保存しません。有料プランはStripeが請求するサブスクリプションで、いつでも解約できます。

安全なAI

Viaアシスタントは請求書を準備し、送信する前に確認を求めます。合計金額は、AIモデルではなく、PayToMeの請求書エンジンが計算します。Viaはベータ版で提供中です。

開発中のこと

以下は開発中で、まだ提供されていません。

モバイルアプリ。 開発中で、提供が始まったときにこのページを拡充してこれを対象に加えます。

SOC 2やPCI DSSなどの認証は、取得するまでは取得したと主張しません。

脆弱性の報告

セキュリティ研究者の方や、おかしな点に気づいた方からの報告を歓迎します。私たちの連絡先は、security.txtファイルの標準であるRFC 9116に従っており、/.well-known/security.txtで公開しています。

問題を報告するには、security@paytome.si宛てに、次の内容をメールでお送りください。

問題の説明と、その影響。
再現手順、または概念実証。
影響を受けるページのアドレスまたはコンポーネント。
返信をご希望の場合は、連絡方法。

基本ルール

テストは、ご自身のデータとセッションに対してのみ行ってください。他の人のデータにアクセスしたり、変更したり、削除したりしないでください。
サービス拒否のテストや、ニュースレターのフォームを使ったスパムの送信は行わないでください。
詳細を公開する前に、問題を修正するための妥当な時間をください。
誰に対しても、ソーシャルエンジニアリングを行わないでください。

これらのルールを守っていただいた場合、報告は善意によるものとして扱います。すべての報告に目を通し、確認できた問題に対応します。

バグバウンティは未実施です

PayToMeは現時点でバグバウンティプログラムを実施していないため、報告に対して報酬をお支払いすることはできません。感謝をお伝えすること、そしてご了承いただければ、問題の修正後にお名前を掲載することはできます。プログラムを開始する場合は、このページでお知らせします。

あなたにできること

私たちが送信する保護がきちんと働くよう、最新のブラウザをお使いください。
PayToMeからのものを名乗り、パスワードや支払い情報を求めるメールが届いた場合は、返信しないでください。security@paytome.siに転送してください。
作成ツールはデータをブラウザの中に保持するため、サイトデータを消去するかタブを閉じれば、データは消えることを覚えておいてください。

ご質問

ここで扱っていないことについては、お問い合わせのページをご覧になるか、会社概要のページで私たちの考え方をお読みください。