アカウントを安全に保つ方法

このページで学べること

Klaviyo アカウントとデータを可能な限り安全に保つ方法をご確認ください。

コミュニケーションを設定し、ロールを適切に割り当てることは重要です。特に、サイトへのトラフィックやブランドからのメッセージングが増加している場合はなおさらです。

始める前に

確認すべき重要なセキュリティ チェックは 2 つあります：

1. 公開 API キーと非公開 API キーのセキュリティ チェックアップ
2. ユーザーレビューとアクセス確認

公開 API キーと非公開 API キーのセキュリティ チェックアップ

アカウントの API キーにアクセスするには：

1. 左下隅の組織名をクリックします。
2. [設定] > [API キー] を選択します。

公開キー（サイト ID とも呼ばれます）はこのページの最初のセクションにある表にあり、秘密キーは Private API Keys とラベル付けされた 2 つ目の表に一覧表示されています。

• 公開 API キー
  他のユーザーと共有して、API から特定の情報を取得できるようにする API です。公開 API キーは、アカウント識別子です。Klaviyo JavaScript ライブラリの設定および使用時は、非公開 API キーではなく公開 API キーを使用してください。
• プライベート API キー
  データを読み取り、機密性の高いオブジェクト（例：Klaviyo のリスト）を操作する API キー。非公開 API キーを非公開のままにしておくことが重要です。パスワードのように扱い、安全な場所に保管し、決して公開しないでください。,
  Klaviyo では、非公開 API キーはすべて接頭辞「pk_」で始まり、その後に 34 文字の英数字が続きます。たとえば、非公開キーは次のようになります：pk_abc123def456ghi789jkl0mno123pqrst4。
  

すべてのクライアント側コードが公開 API キーを使用していることを確認してください

Learnq、klOnsite、または Klaviyo オブジェクトを使用してカスタムコードを書いたことはありますか？または、クライアントサイド API エンドポイントを呼び出すコードを書いたことはありますか？または、Klaviyo.js を手動でインストールしましたか？上記のいずれかに該当する場合、これらのケースで公開 API キーのみを使用していることを確認することが重要です。

カスタムコードを含むサイトの各ページを確認することをおすすめします。まずはホームページから始めることができます：

1. ウェブサイトを開きます。
2. 右クリックして [ページソースを表示] を選択します。
3. 新しいページが開いたら、[編集] > [検索] > [検索...] を選択し、"pk_" を検索します。
4. 秘密鍵が company_id、"token" の値、またはまれにアカウントの値として使用されていないことを確認してください。
5. 非公開 API キー（値が “pk_” で始まる）が見つかった場合は、非公開 API キーが公開された場合の対応について、以下のセクションを確認してください。

非公開 API キーが流出した場合の対処法

公開 API キーではなく非公開 API キーが使用されていた場合：

1. プライベート API キーを記録し（後で必要になります）、パブリック API キーに置き換えてください。これにより、Klaviyo プラットフォーム内でコードが想定どおりに動作するようになります。
2. 不正な露出から会社と顧客データを保護するために、露出したキーを削除して置き換えてください。
3. カスタムコードを含め、保有している可能性のあるすべてのプライベートキー外部連携とアプリケーションを特定します。
4. 公開されているプライベート API キーを使用する各外部連携およびアプリケーションについて、[プライベート API キーを作成] を選択し、 アカウント設定 で新しいキーを作成します。
5. キーには、すばやく識別できるように意味のあるラベルと、具体的なスコープを付けてください。
6. 外部連携ごとに一意のプライベート API キーを作成したら、新しいプライベート API キーで外部連携を更新します。
7. 露出したキーを使用していたすべての外部連携を更新したら、露出したキーにカーソルを合わせてから、[削除] をクリックしてください。
   • 削除ボタンを選択したときに確認が表示されないため、削除するキーを正しく選択するようご注意ください。

削除すると、公開された秘密鍵経由の不正アクセスからデータを保護できたことになります。

API キーのセキュリティの詳細については、アカウントの API キーを管理する をご覧ください。

ユーザー管理とデータアクセスの確認

アカウント内のさまざまな機能と情報に誰がアクセスできるかを理解することが重要です。アカウントにアクセスできるすべてのユーザーを確認するには：

1. 左下隅にある組織名に移動します。
2. [設定] を選択します。

アカウント内のユーザーとそのアクセスレベルを定期的に見直すことは、重要なセキュリティ活動です。アカウントを保護するのに役立つアクティビティは 3 つあります：

• ユーザーレビュー
  アカウント内のすべてのユーザーを確認し、アクセスが不要になったユーザーを特定します。メールの横にある [X] を選択して、アクティブである必要がなくなったユーザーを削除します。アクセスを削除する主な理由は以下のとおりです。
  • 社内でのロール変更
  • 従業員の解雇
  • サードパーティベンダーの契約期限。
• ロールのレビュー
  各ユーザーが適切な権限を持ち、職務の遂行に必要なデータと機能にのみアクセスできるようにしてください。どのユーザーロールがアクセスできるかについては、ユーザー管理と権限をご覧ください。
• 多要素認証
  多要素認証は、通常のユーザー名とパスワードに加えてワンタイムパスワードを要求することで、アカウントに追加のセキュリティ層を付与します。これは、パスワードの推測やフィッシング攻撃から保護するもので、一般的なセキュリティのベストプラクティスです。Users タブ（Settings > Users）で、Require two-step authentication for all users オプションをオンに切り替えます。その後、まだ設定していないユーザーは、アカウントに対して多要素認証を設定する必要があります。

その他のリソース