判断はお客様に委ねる、ホスト型本人確認

チェックとシグナル

ホスト型フローは、担当者が確認するためのチェック結果を生成します。結果は確認に役立つシグナルです。結果を自動で決めるものではなく、不正を確実にブロックするものでもありません。

開発者向け

以下はすべて、お客様のサーバーからの通常のHTTPS通信で利用できます。詳細はドキュメントをご覧ください。

確認を開始する3つの方法

• サーバーからホスト型セッションを作成. サーバーがAPIでリンクを作成し、Noxticaがページをホストします。
• Backofficeから招待. 組織内の担当者が、コードを使わずBackofficeでリンクを作成します。
• サーバーから直接APIを利用. ホスト型リンクを使わないサーバー間のルートです。現在、独自画面から確認用の書類をキャプチャする方法はありません。顧客自身が書類をキャプチャする必要がある場合は、ホスト型セッションをご利用ください。

セッションを作成

本人確認の権限を持つサーバーキーで認証します。キーはサーバー上で管理してください。再試行でセッションが重複作成されないよう、Idempotency-Keyを送信してください。

curl -sS https://collect.noxtica.com/v1/kyc/sessions \
  -H "Authorization: Bearer $NOXTICA_SERVER_KEY" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: $(uuidgen)" \
  -d '{"subjectRef":"cust_example","returnUrl":"https://merchant.example.com/verification/return"}'

レスポンス

リンクはこのレスポンスで一度だけ返されます。秘密情報として扱い、ログに記録しないでください。有効期限はエポックミリ秒です。

{
  "ok": true,
  "sessionId": "00000000-0000-4000-8000-000000000001",
  "url": "https://verify.noxtica.com/s/EXAMPLE_TOKEN",
  "expiresAt": 1790848845000,
  "domainId": null,
  "requestId": "req_example"
}

状態を確認

作成したセッションは、期限切れの場合も常に200を返します。待ち時間を徐々に延ばしながらポーリングし、最終状態になったら停止してください。

GET https://collect.noxtica.com/v1/kyc/sessions/00000000-0000-4000-8000-000000000001
Authorization: Bearer $NOXTICA_SERVER_KEY

Webhookイベント

イベントは、Backofficeで登録したエンドポイントに署名付きHTTPSで配信されます。イベントは通知であり、判定ではありません。

イベントのサンプル

値はすべて合成データです。イベントに顧客参照情報は含まれません。セッションIDを使ってイベントと顧客を照合してください。

{
  "id": "00000000-0000-4000-8000-000000000001:endpoint_example",
  "type": "kyc.session.completed",
  "created_at": 1790762445000,
  "tenant_id": "tenant_example",
  "data": {
    "schemaVersion": "1",
    "sessionId": "00000000-0000-4000-8000-000000000001",
    "status": "completed",
    "verificationId": "verification_example",
    "reasonCodes": ["provider_manual_review"],
    "occurredAt": 1790762445000,
    "deliveryId": "00000000-0000-4000-8000-000000000001:endpoint_example"
  }
}

すべての配信を検証

• 各配信にはX-Noxtica-Signature、X-Noxtica-Timestamp、X-Noxtica-Event、X-Noxtica-Deliveryヘッダーが含まれます。
• 署名は、タイムスタンプ、ピリオド、未加工のリクエスト本文を使ったHMAC-SHA256です。本文を解析する前に署名を検証し、許容するタイムスタンプの範囲はお客様側で設定してください。
• イベントは少なくとも1回配信されますが、順序は保証されません。X-Noxtica-Deliveryで重複を排除し、処理前にセッションの状態を確認してください。

SDKは不要です。ドキュメントにはcurl、Node.js、Pythonの例があります。

ドキュメントで詳しく見る

• 本人確認のインテグレーション
• イベントとWebhook
• サーバーAPIリファレンス：KYC
• 招待とホスト型ページの設定
• 直接API
• ライブネスとPADのポリシー
• FAQとトラブルシューティング
• Backofficeでの運用

よくある質問

関連ページ

• ホスト型本人確認の流れを見る
• 料金
• 企業・加盟店の確認（KYBとKYM）
• 確認データ：保存、アクセス、削除
• プライバシーポリシー
• セキュリティ