証券口座や取引所をアプリに連携しても安全？

証券口座や暗号資産取引所をアプリに連携するのは、連携が読み取り専用で、パスワードや取引・出金ができるキーを渡さないなら、安全に行えます。確認したいのは3点です。ログインはアプリ内のフォームではなく金融機関の画面（OAuthやPlaidなどのサービス）で行うこと、取引所のAPIキーは参照権限だけにすること、いつでもアクセスを取り消せること。ポートフォリオを表示するのに必要以上のものを求めるアプリは、連携しないでください。

リスクがまったくない連携はありません。それぞれの仕組みと、確認すべき点を知っておきましょう。

アプリが口座に連携する3つの方法

1. IDとパスワードを渡す方法

以前のアグリゲーションサービスは、ログイン情報を預かって本人の代わりにログインしていました（スクレイピングと呼ばれる方式）。これでも動きますが、アプリはその口座でできることを何でもできるログイン情報を持つことになります。米国のFINRAは、投資家向けの注意喚起「Know Before You Share」でそのリスクを説明しています。

日本では、家計簿アプリなどが銀行と連携するための仕組みとして、電子決済等代行業の登録制度と銀行APIによる連携が整備されてきました。ただし、証券口座や暗号資産取引所がどの方式で連携するかはサービスによって違います。アプリごとに、どうやって連携するのかを確認しましょう。

2. トークンによる連携（OAuthとPlaid）

OAuthでは、証券会社のログインページに移動します。そこでログインし、アプリに見せてよい範囲を承認すると、証券会社はその範囲に限ったトークンをアプリに渡します。アプリがパスワードを見ることはなく、たいていは口座のセキュリティ設定からトークンを取り消せます。

Plaidのようなサービスは、多くのアプリの仲介役を務めています。金融機関を選び、Plaidか金融機関の画面でログインすると、アプリは要求したデータの種類にだけアクセスできるようになります。Plaidはデータの取り扱いと安全性のページで方針を説明しています。

3. APIキー（暗号資産取引所）

暗号資産取引所では、権限を細かく決めたAPIキーを作れます。取引所でキーを作り、権限を選んで、アプリに貼り付けます。

ここでは権限がすべてです。

• Coinbaseには権限のレベルがあります。認可に関するドキュメントでは、Viewは口座から資金を外に動かさないAPIへのアクセス、TradeとTransferは注文と送金を可能にする権限と説明されています。
• Krakenは、資金（照会、入金、出金）、注文と取引（照会、作成・変更、取消）、データについて権限を分けています。詳しくはKrakenのガイド「How to create an API key」にあります。

ポートフォリオ管理ツールに必要なのは読み取ることだけです。残高と取引履歴です。取引、出金、送金、入金の権限が必要になることはありません。

「読み取り専用」が本当に意味すべきこと

「読み取り専用」は、きちんと守られていてこそ意味があります。次の点を確認しましょう。

• アプリはキーの権限を確認していますか。 取引や出金ができるキーを拒否するのか、それとも参照専用のキーを作るよう頼んでいるだけなのか。
• あとからも確認していますか。 キーの権限は、作成後に変更できてしまいます。
• 証券口座では、どの種類のデータを求めていますか。 管理ツールには保有資産と取引履歴があれば十分です。お金を動かす機能は必要ありません。

連携する前のチェックリスト

1. どこでログインするか。 証券会社のサイト、Plaidの画面、取引所そのもので。アプリ内のフォームではなく。
2. キーや連携にどんな権限があるか。 参照のみ。取引、出金、送金、入金はなし。
3. ログイン情報はどう保管されるか。 保存時の暗号化と、誰がアクセスできるかの明確な説明があるか。
4. アクセスを取り消せるか。 アプリからも、証券会社や取引所からも。
5. 重要な操作に二段階認証が必要か。 証券口座の連携など。
6. データはどうなるか。 販売されたり広告に使われたりしないか。連携を解除したり退会したりしたら削除されるか。
7. アプリは「できないこと」を説明しているか。 「取引も送金もできません」とはっきり書いてあるのはよい兆候です。あいまいなセキュリティの宣伝文句は、具体的な説明の代わりにはなりません。
8. キーをさらに制限できるか。 取引所によっては、特定のIPアドレスやひとつのポートフォリオにキーを限定できます。

読み取り専用の取引所APIキーを作る手順

Sonarでは不要です。取引所はPlaid経由で連携します。ほかのアプリでキーを求められた場合の一般的な手順は次のとおりです。メニューの名前は変わることがあるので、取引所の最新のヘルプに従ってください。

1. アカウント設定のAPIの項目を開きます。
2. 新しいキーを作り、アプリ名など見分けやすい名前を付けます。
3. 残高と取引履歴の参照権限だけを選びます。
4. 取引、出金、送金、入金はオフのままにします。
5. 選べる場合は、キーをひとつのポートフォリオやIPアドレスの一覧に限定します。
6. キーとシークレットはそのままアプリに貼り付けます。メモやメールに保存しないでください。
7. アプリを使わなくなったら、取引所でキーを削除します。

Sonarの口座連携

Sonarは設計上、読み取り専用です。具体的には次のとおりです。

• ウォレットは公開アドレスだけで連携します。Sonarが秘密鍵やシードフレーズを求めることはありません。仮想通貨ウォレットをアドレスで管理する方法を参照してください。
• 取引所（CoinbaseやKrakenなど）は、Plaidが対応していれば証券口座と同じくPlaid経由で連携します。Sonarは取引所のAPIキーを受け付けないので、作成・保管・漏えいするキーはありません。
• 証券口座はStarter、Standard、PremiumのプランでPlaid経由で連携し、取得するのは投資データ（保有資産、売買、配当、手数料）だけです。ログインはPlaidか証券会社の画面で行うので、パスワードがSonarに届くことはありません。証券口座や取引所の連携にはSonarアカウントの二段階認証が必要で、連携を解除するとPlaid上のSonarのアクセスも取り消されます。対応する金融機関は、お住まいの国でのPlaidの対応状況によります。証券口座のポートフォリオ管理を参照してください。
• データは販売せず、広告にも使いません。連携を解除すると、その口座のデータは削除され、アクセスは取り消されます。

Sonarが保存するもの、決して保存しないもの、脆弱性の報告方法はセキュリティページにあります。プランごとの連携口座数は料金ページをご覧ください。

読み取り専用でも残るリスク

読み取り専用にすれば、誰かがあなたの権限で取引や出金をするという最大のリスクはなくなりますが、すべてではありません。

• プライバシー。 アプリは保有資産と履歴を見られます。何を保存するかを説明し、データを販売しないサービスを選びましょう。
• アプリ側の情報漏えい。 保存しているものが流出する可能性があります。ログイン情報の暗号化と保存データの最小化で被害を抑えられます。
• フィッシング。 偽のアプリや取引所のサイトでログインさせようとする手口があります。ログイン情報を入れる前に、アドレスバーを確認しましょう。金融庁はSNS上の投資勧誘への注意喚起でも、よくある手口を紹介しています。
• 権限の強すぎるキーの放置。 使っていないAPIキーは定期的に見直して削除しましょう。

よくある質問

ポートフォリオアプリにお金を盗まれることはありますか？

本当に読み取り専用の連携なら、ありません。参照専用のAPIキー、ウォレットの公開アドレス、投資データに限った証券口座の連携では、注文も出金もできません。危険なのは、取引や出金の権限、パスワード、シードフレーズを求めるアプリです。

Plaidは安全ですか？

Plaidは多くの金融アプリで使われていて、アプリにパスワードを渡す代わりに、Plaidや金融機関の画面でログインします。ほかのサービスと同じく、アプリがどんなデータを求めているか、プライバシーポリシーに何が書かれているかを確認しましょう。Plaidは安全性のページで方針を公開しています。

APIキーのシークレットをアプリに渡してもいいですか？

参照専用のキーで、保管方法を説明しているアプリにだけ渡しましょう。取引や出金の権限があるキーを管理ツールに渡してはいけません。

キーが漏れたかもしれないときは？

すぐに取引所でキーを削除し、連携を続けたいなら新しい参照専用のキーを作ります。口座の最近の動きとセキュリティ設定も確認しましょう。

口座を連携しないといけませんか？

いいえ。CSVをインポートしたり、手でポジションを入力したりもできます。取引履歴をCSVで書き出す方法を参照してください。