LASSIC Media らしくメディア
決済システム連携開発の外注ガイド｜PSPと実装の進め方
LASSIC IT事業部｜元請（プライムベンダー）としてシステム保守・運用を受託
この記事のポイント
- 決済代行（PSP）を活用すると、カード情報非保持化とPCI DSS準拠の負担を大幅に軽減できます
- 決済連携の実装には複数の専門領域が絡むため、外注先の選定と要件定義の品質が開発コストを左右します
- 初期費用・月額費用・決済手数料の構造を把握したうえで、事業規模と方式を照らし合わせる判断が求められます
目次
決済システム連携開発とは何か
決済システム連携開発とは、ECサイトや業務サービスに対してクレジットカード・コンビニ払い・QRコード・口座振替など複数の決済手段を実装し、決済事業者（カードブランド・決済代行会社）のシステムと自社サービスを接続する開発を指します。
単純なAPIキーの組み込みで完結するケースもありますが、事業規模が拡大するほど、複数の決済方式への対応・不正利用検知・障害時の切り戻し設計など、専門知識を要する領域が広がります。
特に2025年3月末を期限に経済産業省が全ECサイト事業者へEMV 3-Dセキュア（本人認証サービス）の導入を要請したことで*1、決済連携開発に求められるセキュリティ対応の水準は以前より高まっています。
クレジットカード・コンビニ・QR・口座振替——決済方式の種類と特徴
国内EC・サービスが対応を検討する代表的な決済方式は、大きく5つに分類できます。事業のターゲット層や取引単価によって最適な組み合わせは異なります。
| 決済方式 | 主な特徴 | 実装の留意点 |
|---|---|---|
| クレジットカード | 即時承認・継続課金（サブスク）対応が可能。 国内EC取引で広く使われています。 |
PCI DSS対応またはカード情報非保持化が必要。 PSP経由なら非保持化を容易に実現できます。 |
| コンビニ払い | 銀行口座・カードを持たない層にリーチ可能。 入金確認後に処理を進める後払い型です。 |
入金確認のWebhook連携や未入金キャンセル処理の設計が必要になります。 |
| QRコード決済 | PayPay・d払い・au PAYなどキャッシュレス推進の中心。 若年層・スマホユーザー向けに有効です。 |
ブランドごとにAPIが異なるため、統合型PSPを経由するのが一般的です。 |
| 口座振替（銀行振込） | BtoB請求や定期支払いに向いています。 手数料が比較的低い傾向があります。 |
銀行ごとの接続仕様や入金消し込みの自動化設計が複雑になる場合があります。 |
| BNPL（後払い） | 購入後に一定期間内に支払うサービス。 若年層への訴求効果が期待されます。 |
与信審査のAPIコールと決済完了通知の受け取り実装が必要です。 |
どの方式を組み合わせるかは、ターゲット顧客層・取引単価・月間取引件数・将来的な拡張計画を踏まえて要件定義段階で確定させます。後から方式を追加すると開発工数が増えるため、初期設計での網羅的な検討が大切です。
PSP（決済代行）と直接接続——2つの接続方式の違い
決済システムとの接続方式は、大きく「PSP（Payment Service Provider＝決済代行会社）経由」と「カードブランド・収納代行への直接接続」の2つに分かれます。
PSP経由では、Stripe・GMOペイメントゲートウェイ・SBペイメントサービス・PAY.JPなどの決済代行会社のAPIを通じて決済処理を行います。1つのPSPと契約するだけで複数のカードブランド・QRコード決済をまとめて利用できるうえ、カード番号を自社サーバーに一切保存しない「カード情報非保持化」をデフォルトで実現しやすいのが特徴です。
一方、直接接続はカードブランドや収納代行会社と個別に加盟店契約を結び、専用の接続仕様に準拠する方式です。月間取引件数や与信設定の柔軟性が求められる大規模EC事業者で採用されますが、PCI DSS準拠審査を自社で受ける必要があり、システム構築・維持コストが大きくなります。
| 比較軸 | PSP（決済代行）経由 | 直接接続 |
|---|---|---|
| 初期導入の手間 | PSP審査のみで対応可能 | カードブランドごとに個別審査・契約 |
| カード情報非保持化 | PSP側で対応済み（トークン化・リダイレクト型） | 自社でPCI DSS準拠またはトークン化を実装 |
| 対応決済手段の幅 | 1契約で複数ブランド・QR等をまとめて利用可能 | ブランドごとに個別対応が必要 |
| 手数料水準 | PSPのマージンが乗る（事業者により異なる） | ブランド手数料のみ（大量取引で有利な場合も） |
| 主な採用規模 | 中小〜中規模EC・SaaS事業者に適しています | 月間取引件数が非常に多い大規模事業者向けです |
一般的なEC・SaaS事業者の場合、PSP経由が開発・運用の総コストを抑えやすい選択肢です。直接接続は取引量が増え、手数料差が導入・維持コストを上回ると判断できる段階で検討するのが現実的です。
カード情報非保持化とPCI DSS——外注前に押さえるセキュリティ要件
決済連携開発で最も重要な前提知識が、カード情報非保持化とPCI DSS（Payment Card Industry Data Security Standard＝クレジットカード業界の国際セキュリティ基準）です。
割賦販売法に基づいてとりまとめられた「クレジットカード・セキュリティガイドライン」では、EC加盟店はカード情報を自社サーバーで保持しない仕組みを構築するか、PCI DSSに準拠することが求められています*1。PSPが提供するトークン決済・リダイレクト型フォームを活用すれば、カード番号は自社サーバーを経由せずにPSP側で処理されるため、カード情報非保持化を実現しやすくなります。
PCI DSS v4.0.1（2024年公表の最新版）は、カード会員データを保存・処理・伝送するすべての組織を対象とした国際標準です*2。12の要件（ネットワークセキュリティ・アクセス制御・暗号化・脆弱性管理など）への準拠が求められており、年間取引件数規模に応じて審査方法が異なります。PSP経由の非保持化対応をとることで、加盟店としての準拠負担を大幅に軽減できます。
また2025年3月末を期限に、EMV 3-Dセキュア（本人認証サービス）の全ECサイトへの導入が経産省から要請されました*1。3-Dセキュアの実装は、PSP側の機能を呼び出すAPI設計と、認証完了後の決済フロー設計を含むため、外注先がこの要件を熟知しているか確認することが大切です。
- カード情報非保持化：自社サーバーにカード番号・有効期限・セキュリティコードを保持しない設計
- PCI DSS v4.0.1：12要件への準拠。PSP経由の非保持化で加盟店側の準拠範囲を縮小できます
- EMV 3-Dセキュア：2025年3月末までに全ECサイトへの導入を経産省が要請
- 脆弱性診断：カード情報が通過するWebシステムの定期的な診断が求められます
セキュリティ要件を満たさない設計で本番稼働した場合、カード番号漏えい時の損害賠償やブランドペナルティが発生するリスクがあります。外注先に対し、セキュリティ要件の実装経験と審査対応実績を事前に確認することが重要です。
初期費用・月額費用・手数料——費用構造の考え方
決済システム連携開発にかかる費用は、大きく「開発費用」「PSPの初期費用・月額費用」「決済手数料」の3層に分けて整理します。
開発費用は、要件定義・設計・実装・テスト・PSP審査対応・本番稼働支援の工数によって決まります。対応する決済方式の数、既存システムとの連携難易度、セキュリティ要件の水準によって変動するため、複数の外注先に見積もりを依頼して比較検討することをおすすめします。
PSPの初期費用と月額費用は、事業者・契約プランによって異なります。初期費用がゼロのプランもあれば、審査費用・導入費用が発生するプランもあります。PSP公式サイトでの確認と、実際の見積もり取得が必要です（本稿は市場参考の定性情報であり、一次資料ではありません）。
決済手数料（トランザクション手数料）は、決済1件あたりの取引金額に応じて発生します。クレジットカードの手数料率はカードブランド・PSP・加盟店規模・業種によって大きく異なるため、事前に各PSPへの見積もりで確認することが必要です。
| 費用区分 | 概要 | 確認ポイント |
|---|---|---|
| 開発費用（初期） | 要件定義〜本番稼働まで一式。 対応方式数・連携難易度で変動します。 |
複数社見積もりを取り、スコープと工数根拠を比較しましょう。 |
| PSP初期費用 | 審査・導入費用。 無料プランから有料まで事業者によって異なります。 |
PSP公式サイトや営業担当への確認が必要です。 |
| 月額固定費 | システム利用料・サポート費等。 事業者・プランで大きく異なります。 |
月額無料・最低利用料あり・取引量連動など契約形態を確認します。 |
| 決済手数料 | 取引1件ごとに発生するトランザクション手数料。 カードブランド・業種・規模で異なります。 |
月間取引見込みをもとにPSP各社へ見積もりを依頼します。 |
| 保守・運用費 | 障害対応・法令変更対応・機能追加の費用。 長期的なコスト試算に含める必要があります。 |
月額保守契約か都度対応かを外注先と契約前に合意します。 |
なお、決済手数料の具体的な料率は各PSP・カードブランドとの契約内容によって異なり、業種や月間取引量によっても変わります。公式サイトやサービス担当者への確認が必要であり、本稿の情報は一次資料ではありません。
連携実装の進め方——要件定義から本番稼働まで5ステップ
決済システム連携開発を外注する場合、以下の5ステップで進めるのが一般的です。各ステップで発注者側が確認・意思決定すべき事項を整理します。
ステップ1：要件定義——対応方式・非保持化方針・PSP選定
対応する決済方式の確定、カード情報非保持化の実装方針（トークン型・リダイレクト型の選択）、PSPの選定を行います。PSPによってAPIの仕様・対応ブランド・手数料体系が異なるため、候補の絞り込みはこの段階で行います。
発注者側が準備すべき情報は、月間取引件数見込み・想定ターゲット顧客層・既存システムの構成・将来的な拡張計画です。これらが不明確なまま開発に入ると、後から仕様変更が生じて工数が増えます。
ステップ2：設計・開発——API設計と非保持化アーキテクチャ
PSPのAPIドキュメントをもとに、決済フロー・エラーハンドリング・Webhook受信の設計を行います。カード情報非保持化の観点では、決済フォームをPSP提供のJavaScriptまたはiframeで実装し、カード番号が自社サーバーを経由しない経路設計が必要です。
また、3-Dセキュア認証フロー・与信確認・売上確定・返金・キャンセル処理など、決済のライフサイクル全体を網羅した実装が求められます。見落とされがちな点として、決済失敗時のリトライ設計や障害切り戻し手順の実装があります。
ステップ3：テスト——結合テストとセキュリティ検査
PSPが提供するテスト環境（サンドボックス）で網羅的な結合テストを行います。正常系だけでなく、残高不足・カード期限切れ・不正検知によるデクライン（承認拒否）など異常系のテストケースも必須です。
セキュリティ観点では、Webアプリケーション脆弱性診断（SQLインジェクション・XSS・CSRF等）を実施します。カード情報が通過するページは特にスコープに含める必要があります。
ステップ4：PSP審査対応と本番環境設定
本番稼働前に、PSPによる加盟店審査への対応が必要です。審査では事業内容・サービス規約・サイト構成・セキュリティ対策の説明を求められます。外注先が審査資料の作成支援や質疑回答の経験を持っているかを確認します。
審査に要する期間はPSPによって異なり、リリース計画に影響します。開発スケジュール策定時にPSP審査期間の余裕を持たせることが大切です。
ステップ5：本番稼働後の監視と保守
本番稼働後は、決済エラー率・承認率・応答時間のモニタリングを継続する必要があります。決済システムは法改正（割賦販売法改正・PCI DSS改訂）への対応も発生するため、保守契約の範囲を明確にしておくことが重要です。
PSPのAPI仕様変更や新機能リリースへの追従対応も、長期的な保守コストに含まれます。本番稼働後のサポート体制を外注先と事前合意しておきましょう。
外注先の選び方——決済実績・セキュリティ対応・保守体制で判断する
決済システム連携開発の外注先を選ぶ際に確認すべき判断軸は、主に3点です。
判断軸1：決済連携の開発実績と対応PSP経験
過去に類似の決済連携開発を担当したか、具体的な対応PSP（Stripe・GMO PG・SBペイメント等）の経験があるかを確認します。PSPごとにAPIの設計思想・認証仕様・エラーコード体系が異なるため、実経験の有無は開発品質と工期に直結します。
「決済連携の実績があるか」だけでなく、「どの規模・どの方式の実装経験があるか」を具体的に確認することをおすすめします。
判断軸2：セキュリティ要件への対応力
カード情報非保持化の設計経験、PCI DSS準拠支援の実績、脆弱性診断の提供可否を確認します。決済開発はセキュリティ要件が厳しく、実装ミスが情報漏えいリスクに直結します。Webアプリケーション脆弱性診断を実施できる体制を持つか、またはパートナー企業を通じて対応可能かを事前に把握します。
PSP審査時に求められるセキュリティ対策説明書の作成支援を行った実績があるかも確認ポイントです。
判断軸3：本番稼働後の保守・法令対応体制
決済システムは本番稼働後も継続的なメンテナンスが必要です。PSP仕様変更への追従・割賦販売法改正対応・PCI DSS改訂対応を担う体制があるかを確認します。
保守契約の内容（月次対応件数・応答時間・法改正対応の含む/含まないの範囲）を書面で合意してから発注することが重要です。口頭合意は後になって認識齟齬が生じます。
内製と外注のリスク比較——決済開発を自社で完結させる難しさ
決済システム連携開発を内製で完結させるには、PSP APIの実装知識・セキュリティ設計・PCI DSS・割賦販売法の理解・PSP審査対応・本番監視・保守対応の各スキルを社内で揃える必要があります。これらをすべて網羅したエンジニアを1名確保することは容易ではなく、チーム構成によっては複数名の工数が必要になります。
また、決済機能はサービスの収益に直結するため、障害時の影響が大きくなります。決済エラーや承認拒否の増加が続くと、ユーザーの離脱・売上損失・PSPからのペナルティに発展するリスクがあります。内製で開発を進める場合でも、セキュリティ診断や審査対応は外部専門家を活用することが現実的です。
| 観点 | 内製対応 | 外注（専門ベンダー） |
|---|---|---|
| 必要な専門知識 | PSP API・セキュリティ設計・割賦販売法・PCI DSS等の横断知識が必要 | 外注先が保有。自社は要件と判断を担当 |
| 開発期間 | 習熟コストが上乗せされ、経験者がいない場合は期間が延びやすいです | 実績のある外注先なら工数見積もりの精度が高くなります |
| セキュリティリスク | 知識不足による実装ミスが情報漏えいリスクに直結します | 経験のある外注先は典型的なミスを回避しやすい傾向があります |
| PSP審査対応 | 初回審査は担当者が一から学習する必要があります | 審査経験のある外注先はドキュメント準備を支援できます |
| 法改正・仕様変更対応 | 追従コストを社内で継続的に確保する必要があります | 保守契約で継続対応を依頼できます |
内製か外注かの二択ではなく、設計・レビューを外注先主導で進めつつ、実装の一部を社内エンジニアが担う形のハイブリッドも選択肢の一つです。重要なのは、セキュリティ要件とPSP審査対応を経験豊富な外部パートナーが担保する体制を確保することです。
まとめ：外注成功の3つの判断軸
本稿では、決済システム連携開発を外注するにあたって押さえるべきポイントを整理しました。要点を3つに集約します。
第一に、PSP（決済代行）経由の接続を選択することで、カード情報非保持化とPCI DSS準拠の負担を大幅に軽減できます。直接接続は大規模事業者向けの選択肢であり、多くの中小〜中規模事業者にとってPSP経由が現実的な出発点です。
第二に、EMV 3-Dセキュア対応を含むセキュリティ要件は、本番稼働前に外注先と合意する必要があります。経産省のクレジットカード・セキュリティガイドラインに基づく要件は継続的に更新されるため、法改正対応を含む保守体制を持つ外注先の選定が重要です*1。
第三に、費用は開発費・PSP初期費・月額費・決済手数料・保守費の5層で把握し、各PSPへの見積もりを取得したうえで総コストを比較検討します。決済手数料は事業者・契約内容によって異なるため、月間取引量の想定と合わせて見積もりを依頼することが大切です。
よくある質問
決済システムの連携開発はどのくらいの期間がかかりますか。
対応する決済方式の数・既存システムとの連携難易度・PSP審査期間によって異なります。PSP経由でシンプルなクレジットカード対応のみであれば、要件定義から本番稼働まで数ヶ月で完了するケースもあります。複数の決済方式・EMV 3-Dセキュア・口座振替を含む場合はより長い期間を見込む必要があります。外注先に対して、PSP審査期間を含めたスケジュール感を事前に確認することをおすすめします。
PSP（決済代行）の選び方で気をつけることはありますか。
対応ブランド・QRコード決済の種類・手数料体系・APIのドキュメント品質・技術サポート体制・月額費用の有無を比較することが大切です。手数料率は事業者・月間取引量・業種によって異なるため、候補のPSP各社に見積もりを依頼して比較します。また、自社サービスの利用規約やビジネスモデルがPSPの加盟店審査基準に適合するかを事前に確認しておくことで、審査で差し戻されるリスクを減らせます。
カード情報非保持化とPCI DSS準拠はどちらを選べばよいですか。
多くのEC・SaaS事業者にとって、PSP提供のトークン決済またはリダイレクト型フォームを活用したカード情報非保持化が現実的な選択肢です。非保持化対応によって加盟店としてのPCI DSS準拠範囲を縮小できます。PCI DSS準拠審査を自社で受けるのは、直接接続で大量取引を処理する大規模事業者や、カード情報を自社で処理する必要がある特定業種向けのシステムが中心です。要件定義段階で外注先とともに自社の要件を整理して判断することをおすすめします。
決済システム開発の外注費用はどのように見積もれますか。
複数の外注先に対して、対応方式・セキュリティ要件・既存システムとの連携スコープを明示したRFP（提案依頼書）を送付し、工数根拠付きの見積もりを取得することをおすすめします。費用は要件の複雑さによって変動するため、概算比較には同一スコープで複数社から見積もりを取得することが大切です。PSPの初期費用・月額費用・決済手数料は別途PSP各社へ確認が必要です（本稿は市場参考の定性情報であり、一次資料ではありません）。
本番稼働後に法改正があった場合、どのように対応すればよいですか。
割賦販売法の改正やPCI DSS改訂、経産省のセキュリティガイドライン更新が発生した際の対応は、保守契約の範囲として外注先と事前に合意しておく必要があります。対応の遅れは加盟店資格の停止や法的リスクにつながる場合があるため、法改正対応を保守範囲に含む外注先を選ぶことが、長期的なリスクを抑えることにつながります。
著者：テレリモ総研編集部 鈴木 亮佑
ご不明な点はお問い合わせフォームからもご連絡いただけます。
- *1 出典：経済産業省「クレジットカード・セキュリティガイドライン改訂について」（2025年3月改訂）
- *2 出典：PCI Security Standards Council「PCI データセキュリティ基準（PCI DSS）」（v4.0.1、2024年公表）
