定義
Card Vault（カード・ボールト） とは、クレジットカード情報をトークン化（Tokenization）して暗号化保管する、PCI DSS準拠のセキュアなデータ保管庫のことです。DTC・サブスクリプションECにおいて、顧客のカード番号（PAN）を自社サーバーに直接保存するのではなく、Vault内で発行されたトークンのみを保持することで、リピート購入や継続課金を安全に実現します。
具体的には、初回決済時にカード情報をVaultへ送信→Vaultが一意のトークン（例：tok_9f3a8b2c1d）を返却→以後の課金はトークン参照のみで実行、という流れになります。PANそのものはVault内でAES-256等で暗号化され、決済事業者（PSP）やカードネットワーク以外は復号できません。
类比（たとえ話）
Card Vaultは、「金庫付きの貸しロッカー」 に近い仕組みです。
- お客様が預けた「現物（カード番号）」は金庫の中に厳重に保管される
- 店側（加盟店）が受け取るのは「ロッカー番号（トークン）」だけ
- 毎月の引き落とし時は、店はロッカー番号を提示するだけでよく、中身を見る必要はない
- 万が一ロッカー番号が漏れても、それだけでは現金化できない（トークンは特定の加盟店・取引に紐付くため）
つまり「カード番号を自社で持たない」というスコープ縮小（Scope Reduction） の思想が本質です。
公式（計算式）
Card Vault導入によるPCI DSS対象範囲の縮小効果は、以下の式で近似できます。
PCI対象システム数 = 全決済関連システム − Vault委譲システム 削減率(%) = (1 − 委譲後対象数 / 委譲前対象数) × 100
具体例：
- 導入前：決済関連システム 24台、うちカード情報を扱う 18台
- 導入後：Vault委譲により、カード情報を扱うシステムは 3台 に削減
- 削減率 = (1 − 3/18) × 100 = 83.3%
また、トークン化による決済成功率は次のように評価されます。
決済成功率(%) = (成功トランザクション数 / 全トランザクション数) × 100
- 非トークン化（手入力）：87.2%
- Card Vault経由（ワンクリック）：96.5%
- 差分：+9.3ポイント（＝離脱率の大幅改善）
比較表
| 項目 | Card Vault（トークン化） | PAN直接保存 | 決済代行の自動保存 |
|---|---|---|---|
| PCI DSS対象範囲 | 最小（SAQ A-EP等） | 最大（SAQ D） | 小〜中 |
| リピート課金の実装難易度 | 低（トークン参照のみ） | 高（自社で暗号化管理） | 低 |
| カード更新（Account Updater）対応 | ○（Vault側で自動更新） | △（自社実装） | ○ |
| クロスボーダー対応 | ○（ネットワーク対応） | △ | ○ |
| 初期導入コスト | 中 | 高 | 低〜中 |
| セキュリティ事故リスク | 低 | 極めて高 | 低 |
| サブスク向け適合性 | ◎ | △ | ○ |
応用シーン
1. サブスクリプションEC（定期購入）
月次課金のたびにカード番号を再入力させる必要がなく、継続率（Retention）が平均+12〜18% 改善した事例が報告されています。
2. ワンクリック再購入（DTCリピート）
トークン参照により、チェックアウト離脱率を 最大32%削減。化粧品・サプリ・アパレルのDTCで特に効果的です。
3. カード有効期限切れ対策
Visa/MastercardのAccount Updaterと連携すると、期限切れ・再発行カードの自動更新成功率が約85〜92% に達し、不本意な解約（Involuntary Churn）を大幅に抑制できます。
4. 複数決済手段の一元管理
同一顧客のカード・ウォレット・BNPLを1つのVaultで管理し、決済失敗時のフォールバック（代替決済） を自動化できます。
5. グローバル展開
Stripe、Adyen、Braintree等のVaultはネットワークトークン（VTS/MDES）に対応し、越境ECでも現地カードの成功率を維持します。
よくある誤解
❌ 誤解1：「Vaultに入れればPCI DSS準拠は不要」
→ 正しくは対象範囲が縮小するだけ。トークンを扱う自社システムは依然としてSAQ A-EP等の準拠が必要です。
❌ 誤解2：「トークンはカード番号を暗号化しただけ」
→ トークンはPANと数学的に関連しないランダム文字列。仮に漏洩してもカード番号の復元は不可能です。
❌ 誤解3：「VaultはPSPに任せれば自社は何もしなくていい」
→ 顧客IDとトークンのマッピング管理、同意取得、GDPR/個人情報保護法対応は自社責任です。
❌ 誤解4：「トークンは永久に有効」
→ カード再発行・閉鎖時はトークンも無効化される場合があり、Account Updater連携が必須です。
❌ 誤解5：「導入すれば必ず成功率が上がる」
→ Vault自体は決済を実行しないため、PSPのルーティング最適化やリトライ設計と組み合わせて初めて効果が出ます。
関連用語
- Tokenization（トークン化）：PANを非機密のトークンに置換する技術
- PCI DSS：カード業界のデータセキュリティ基準
- Network Token（ネットワークトークン）：Visa/Mastercardが発行する高セキュリティトークン
- Account Updater：カード情報の自動更新サービス
- PSP（Payment Service Provider）：Stripe、Adyen等の決済事業者
- Involuntary Churn：決済失敗による意図しない解約
- SAQ（Self-Assessment Questionnaire）：PCI DSS自己評価アンケート
- 3D Secure 2.0：EMV 3DS、認証と frictionless 決済の両立
まとめ：Card Vaultは、DTC・サブスクECにおける「安全なリピート課金の心臓部」。トークン化によりPCI DSSスコープを最大80%以上削減しつつ、決済成功率を+9ポイント、継続率を+12〜18%押し上げる効果が期待できます。PSP選定時はAccount Updater対応とネットワークトークン対応を必ず確認しましょう。