銀行品質のメッセージング
を、規制下の金融機関に。

OTPのフローは、規制当局ごとの関連するSCAルールセット（チャネル制限、TTL上限、リプレイウィンドウ、バインディング要件など）を適用するコンプライアンスゲートを通過します。このゲートはコードではなく設定によって制御されるため、例えば2025年にSAMAがTTLを180秒に短縮した際も、顧客はシステムの再デプロイなしに新しい挙動を適用できました。監査証跡は、要求に応じて規制当局が承認する形式でエクスポート可能です。

TTLの期間内に、次の通信事業者ルートへ再ルーティングを行い、不正プロファイルが許可されている場合はチャネルをエスカレーション（SMS → WhatsApp Business → 音声IVR）します。また、認証サービスに対して「配信遅延/低下」のWebhookを送信し、アプリ内で代替手段を顧客に提示できるようにします。二重請求は発生しません。フェイルオーバー時にはOTP IDに基づいて重複排除が行われます。

標準的な送信元IDの登録は、UAE、KSA、バーレーン、カタールでは5〜10営業日、エジプトとヨルダンでは7〜15営業日です。当社は年次サイクルで規制当局と銀行ブランド名の事前承認を得ているため、再登録や軽微なバリエーションの登録は通常、同一週内に完了します。エンタープライズ契約では、緊急の送信元IDローテーション（インシデント対応）を24時間のSLAでサポートしています。

TLSのエッジからDLRのWebhookに至るまで、すべての送信において改ざん検知可能なログが生成されます。標準で90日間の保存期間を提供し、銀行向けティアでは7年間の保存に対応しています。また、Splunk、QRadar、Sentinel、ElasticへのSIEMエクスポートも可能です。不正と判定されたメッセージは、ルール評価ステージ内で隔離され、不正対策チームが購読する専用のWebhookに通知されます。

はい。リヤド（サウジアラビア）、ドバイ（UAE）、カイロ（エジプト）に、国内のエッジおよびストレージリージョンを運用しています。ルーティング、テンプレートレンダリング、ロギング、およびDLRのストレージはすべて国内（オンショア）に保持されます。国境を越えたレプリケーションは、ワークロードごとにオプトイン形式で行われ、デフォルトで有効になることはありません。データレジデンシーの証明書は、標準的な銀行コンプライアンスパッケージに含まれています。

テンプレートにはトークン化された参照のみが含まれ、生のPANやCVVは決して含まれません。ハンドオフペイロードには、会話ID、検証済みの顧客MSISDN、および銀行がホストするカードコントロール画面への署名付きディープリンクのみが含まれます。WhatsApp BusinessテンプレートはMetaおよび規制当局によって事前に承認されており、会話形式の返信はWebhookを介して貴社のコアシステムにルーティングされます。

標準的なスケジュール：第1週 — セキュリティレビュー、DPA、APIアクセストークンの発行、送信元IDの申請開始。第2〜3週 — 統合構築、不正ルールのインポート、ISO-20022 Webhookの接続。第4週 — 段階的な切り替え、レガシーベンダーとの並行稼働、SLAの適用開始。ほとんどの銀行は4週間以内に本番稼働しますが、複数の管轄区域にまたがる複雑な環境では6〜8週間を要します。