CDK ドメインリファレンス

このドキュメントは、k-ID Compliance Development Kit（CDK）で使用されるすべてのドメインの包括的な一覧を提供します。セキュリティ戦略として許可リスト（Allowlist）を採用している場合、適切に機能させるために、これらのドメインを Content Security Policy（CSP）に含めてください。

ドメインカテゴリ

CDK は、検証方法に応じてさまざまなサードパーティサービスを利用します。以下は目的別に整理したドメイン一覧です：

カテゴリ	ドメイン	用途
顔年齢推定	*.privately.swiss	プライバシー保護型の顔分析サービス
	*.faceassure.com	顔認証および年齢推定
	cdn.jsdelivr.net	JavaScript ライブラリと依存関係
	fonts.cdnfonts.com	カスタムフォントリソース
ID ドキュメント検証	*.dcams.app	書類撮影・検証サービス
	dcamsclientlogos.s3.us-east-2.amazonaws.com	クライアントブランディング用アセット
クレジットカード検証	*.stripe.com	決済処理およびカード検証
一般的な検証ページ	fonts.googleapis.com	Google Fonts
	*.gstatic.com	Google の静的コンテンツ配信
	*.k-id.com	k-ID 中核サービスおよびウィジェット

CSP 構成

frame-src ディレクティブ

CDK ウィジェットをアプリケーションに埋め込めるようにするには、次の CSP の frame-src ディレクティブをコピー＆ペーストしてください：

    Content-Security-Policy: frame-src 'self' *.privately.swiss *.faceassure.com cdn.jsdelivr.net fonts.cdnfonts.com *.dcams.app dcamsclientlogos.s3.us-east-2.amazonaws.com *.stripe.com fonts.googleapis.com *.gstatic.com *.k-id.com;

実装上の注意

ワイルドカードドメイン

いくつかのドメインはサブドメインに対応するためにワイルドカード（*）を使用します。CSP 実装がワイルドカードのマッチングを適切にサポートしていることを確認してください。

環境に関する考慮事項

• テスト環境: 記載のすべてのドメインはテスト・本番の両環境で必要です
• 地域差異: 一部のサービスは地域固有のサブドメインを使用する場合があります

トラブルシューティング

CDK ウィジェットで問題が発生した場合：

1. ブラウザの開発者ツールで CSP 違反を確認する
2. すべてのワイルドカードドメインが正しく構成されていることを確認する
3. CSP の構文が正しいことを検証する
4. 互換性を確認するために異なるブラウザでテストする

セキュリティに関する考慮事項

注意

CSP によるドメインの許可リスト化は、サードパーティのウィジェットやサービスを統合する際にアプリケーションを保護するためのアプローチの一つに過ぎません。現代の Web セキュリティは多層かつ多様な戦略で構成されています。最新のセキュリティベストプラクティスを確認し、ユースケースや脅威モデルに最も適したセキュリティモデルを検討することを推奨します。

ドメイン許可リスト方式で CDK の機能を利用する場合、常に以下を実施してください：

• CSP 構成を定期的に見直し・更新する
• 不正なドメインリクエストを監視する
• 機能を維持しつつ、可能な限り CSP を厳格に保つ
• CSP の変更後は十分にテストする

追加リソース

k-ID ウィジェットの実装や CSP 構成の詳細については：

• k-ID API ドキュメント
• Content Security Policy ガイド