アカウントを安全に保つ方法

このページで学べること

APIキー、ユーザーアクセス、多要素認証（多要素認証）の設定を確認して、Klaviyoアカウントとデータの保護に役立てる方法をご確認ください。

これらの設定は定期的に見直してください。特に、ウェブサイトのトラフィックやブランドからのメッセージ配信が増加する期間の前には確認してください。

始める前に

まず、次の2つのセキュリティチェックから始めてください：

1. 公開 API キーと非公開 API キーのセキュリティ チェックアップ
2. ユーザーレビューとアクセス確認

保護したいKlaviyoアカウントで、次の確認を完了してください。APIキー、ユーザー、またはアカウント全体のセキュリティ設定を管理できない場合は、アカウントのオーナーまたは管理者にサポートを依頼してください。ウェブサイトのコードを管理していない場合は、開発者と連携してください。

公開 API キーと非公開 API キーのセキュリティ チェックアップ

アカウントの API キーにアクセスするには：

1. 左下隅のアカウント名をクリックします。
2. 設定 > APIキーを選択します。

公開キー（サイト ID とも呼ばれます）はこのページの最初のセクションにある表にあり、秘密キーは Private API Keys とラベル付けされた 2 つ目の表に一覧表示されています。

• 公開APIキー
  公開APIキー（サイトIDとも呼ばれます）は、Klaviyoアカウントを識別します。Klaviyo JavaScriptライブラリおよびクライアントサイドのAPI呼び出しで使用してください。ウェブサイトの公開コードに表示されることを想定しています。
• 非公開APIキー
  割り当てられたスコープ（権限）に基づき、Klaviyo内のリストなどのデータを読み取ったり変更したりするためのアクセス権を付与するキーです。非公開APIキーはパスワードのように扱ってください。安全な場所に保管し、公開コードで決して公開しないでください。
  非公開APIキーは「pk_」で始まります。新しいキーには、ランダムな文字の前にアカウントIDも含まれます。例：pk_ABC123_0123456789abcdef0123456789abcdef01。既存のキーの一部では、アカウントIDのない古い形式が使用されています。
  

すべてのクライアント側コードが公開 API キーを使用していることを確認してください

Learnq、klOnsite、または Klaviyo オブジェクトを使用してカスタムコードを書いたことはありますか？または、クライアントサイド API エンドポイントを呼び出すコードを書いたことはありますか？または、Klaviyo.js を手動でインストールしましたか？上記のいずれかに該当する場合、これらのケースで公開 API キーのみを使用していることを確認することが重要です。

カスタムコードを含むサイトの各ページを確認することをおすすめします。まずはホームページから始めることができます：

1. ウェブサイトを開きます。
2. 右クリックして、ページのソースを表示を選択します。
3. ブラウザの[検索]コマンドを使用して、ページソース内で「pk_」を検索してください。
4. 非公開キーが company_id、「token」の値、またはまれにアカウントの値として使用されていないことを確認してください。
5. 非公開 API キー（値が “pk_” で始まる）が見つかった場合は、非公開 API キーが公開された場合の対応について、以下のセクションを確認してください。

非公開 API キーが流出した場合の対処法

公開APIキーではなく非公開APIキーが使用されていた場合は、速やかに露出したキーを置き換えて削除してください。ウェブサイトのコード内で置き換えても、そのキーは無効化されません。削除すると、アプリケーションがそのキーで認証を継続できなくなるため、それらのアプリケーションには置き換え用のキーが必要になります。

1. 後で識別できるように、公開されたキーを安全に記録してから、ウェブサイトのクライアント側コード内のキーを公開APIキーに置き換えてください。
2. 公開された秘密鍵を使用しているすべての外部連携とアプリケーション（カスタムのサーバーサイドコードを含む）を特定してください。
3. 公開されたプライベートAPIキーを使用する各外部連携とアプリケーションについて、 プライベートAPIキーを作成 を選択して、 アカウント設定 で新しいキーを作成してください。
4. わかりやすいプライベートAPIキー名を入力し、外部連携に必要なアクセスレベルを選択してください。特定のAPIスコープへのアクセスを制限するには、カスタムキーを選択し、外部連携に必要な権限のみを付与してください。[作成]をクリックします。
5. 確認ページでキーをコピーをクリックし、ページを閉じる前にキーを安全な場所に保存してください。完全なキーは再度表示できません。
6. 影響を受ける各外部連携またはアプリケーションを、新しい非公開APIキーに更新し、動作することを確認してください。非公開キーは、公開ウェブサイトのコードではなく、サーバー側の設定に保管してください。
   • この操作は取り消せません。削除を確定する前に、キーの名前と末尾の文字を確認してください。
7. 設定 > APIキーに戻ります。名前と、テーブルに表示されている末尾4文字を使用して、露出しているキーを見つけてください。アクションメニューを開いて削除を選択し、確認ダイアログで削除をクリックします。

公開されたキーを削除すると、アカウントへのアクセス権が取り消されます。削除前に発生したアクセスや変更は取り消されません。

APIキーのセキュリティの詳細については、アカウントのAPIキーを管理する方法をご覧ください。

ユーザー管理とデータアクセスの確認

アカウント内のさまざまな機能と情報に誰がアクセスできるかを理解することが重要です。アカウントにアクセスできるすべてのユーザーを確認するには：

1. 左下隅のアカウント名をクリックします。
2. 設定 > ユーザーを選択してください。

アカウント内のユーザーとそのアクセスレベルを定期的に確認してください。次の3つのアクティビティは、アカウントのセキュリティ確保に役立ちます：

アカウントのオーナーは削除できません。アカウントでSCIMを使用してIDプロバイダー（IdP）経由でユーザーを管理している場合は、Klaviyoで削除する前にIdPからユーザーを削除してください。

• ユーザーの確認
  すべてのユーザーを確認し、アクセスが不要になったユーザーがいないか特定してください。非アクティブタブが表示されている場合は、アクティブと併せて確認してください。ユーザーの横にあるアクションメニューを開いて、ユーザーを削除（招待が保留中の場合は招待をキャンセル）を選択し、確認ダイアログでユーザーを削除をクリックします。アクセス権を削除する一般的な理由は次のとおりです。
  • 社内でのロール変更
  • 従業員の解雇
  • サードパーティベンダーの契約期限。
• ロールの確認
  各ユーザーが業務に必要な権限のみを持っていることを確認してください。各静的ユーザーロールに含まれる権限の詳細については、ユーザー管理と権限を参照してください。
• 多要素認証
  多要素認証では、ワンタイムコードなどの確認ステップをユーザー名とパスワードに追加します。これにより、誰かがパスワードを入手した場合でも、不正アクセスのリスクを軽減できます。アカウント内のユーザーに多要素認証を必須にするには：
  1. [設定]>[セキュリティ]の順に進みます。
  2. 多要素認証の方法で、アカウント内のすべてのユーザーに必須をオンにしてください。要件がすでに適用されている場合は、オンのままにしてください。
  3. 要件を有効にした場合は、確認ダイアログで有効にするをクリックしてください。

ユーザー名とパスワードでサインインしていて、多要素認証を設定していないユーザーは、次回ログイン時に設定を求められます。新規ユーザーは登録中に設定を求められます。必須のシングルサインオン（SSO）でサインインするユーザーは、SSOの認証要件に従います。

その他のリソース