EchoScan プラットフォーム

EchoScan は、重要なアクセスや保護対象の業務操作に、デバイス識別とアクセスリスクの判断材料を加えます。ブラウザ側では現在の環境を収集してサーバー発行の imprint を受け取り、導入先のバックエンドでは正式な Report を照会し、アカウント、取引、利用資格、追加認証の情報と組み合わせます。

保護対象の操作が EchoScan を通る流れ

導入先の管理者が Console で Browser Environment を作成し、正確な Allowed Origins を設定します。
導入先サイトが公開可能な environmentId を使って Browser Verifier を実行します。
Browser Verifier は送信完了後に { imprint } だけを返します。
サイトはログイン、登録、特典付与などの保護対象操作と一緒に Imprint を自社バックエンドへ送ります。
バックエンドは Secret API Key で Report API v1 を照会し、自社の許可、追加認証、確認、拒否のポリシーを適用します。

この流れにより、公開用のブラウザ導入識別子と、保護されたサーバー認証情報を分離できます。最終的な業務判断も導入先システムの管理下に置かれます。

Browser Verifier は導入先サイト内で動作します。ブラウザ、デバイス、ネットワーク環境の複数シグナルを読み取り、暗号化したリクエストを送信し、サーバー発行の Imprint を受け取ります。environmentId はブラウザコードに配置できます。EchoScan はこの ID から Browser Environment を特定し、リクエスト Origin を正確な Allowlist と照合します。

Secret API Key と Workspace ID はブラウザコードに置きません。Environment ID には Report の照会権限も、保護されたサーバーリクエストの認証権限もありません。

導入先バックエンドの役割

導入先バックエンドは保護対象操作と一緒に imprint を受け取り、サーバー環境またはシークレット管理基盤から Secret API Key を読み込み、統一 Report Endpoint を照会します。risk.status は、アカウント作成時期、決済状態、利用資格の履歴、リクエスト頻度、既存の認証結果と合わせて評価できます。

EchoScan は導入先の最終 recommended_action を返しません。登録、ログイン、特典付与、高額取引では、同じリスク状態でも必要な対応が変わります。業務情報を最も多く持つ導入先システムが最終判断を行います。

Report API v1 の返却内容

Lite と Pro は同じ Report Endpoint を使います。Secret API Key のプランが返却内容の深さを決めます。

Lite は Device ID、seen_before、access_count、全体の risk.status、ブラウザ、OS、基本的なネットワーク結果を返します。
Pro は risk.reasons、初回・前回の確認時刻、ネットワーク詳細、5 分、1 時間、24 時間のアクティビティを追加し、History も利用できます。
公開される risk.status は PASS、SUSPICIOUS、DECEPTIVE です。

Report は業務連携向けの安定したフィールドを公開します。検出器名、内部証拠、しきい値、重み、回避条件は公開契約に含まれません。

この流れを利用するチーム

EchoScan は、既存バックエンドへデバイスとアクセスリスクの情報を追加したい SaaS、AI ツール、API プラットフォーム、オンラインサービスに適しています。重複登録、複数アカウント、自動化、高リスクなネットワークアクセスを確認するセキュリティチームやリスク管理チームにも利用できます。

導入先サイトのエンドユーザーに EchoScan へのログインは不要です。Browser Environment の作成、Secret API Key の管理、利用量の確認、プラン管理を行う開発者と管理者は Console にログインします。

公開 Scan と本番導入

一般の訪問者はアカウントを作成せずに公開 Scan を実行できます。現在のブラウザ環境をファーストパーティ画面で確認する機能です。

本番導入では導入先サイト内で環境を収集し、導入先バックエンドから正式な Report を照会します。接続を始める際は開発者向け導入ガイドをご覧ください。

開発者からよくある質問

完全な Report をブラウザへ直接返さない理由は何ですか？

Report の照会には Secret API Key が必要で、デバイス、ネットワーク、最近のアクティビティなど、サーバー側のポリシーで扱う情報が含まれます。導入先のバックエンドで照会することで、認証情報を保護し、アカウントや取引、追加認証の情報と組み合わせて判断できます。

Environment ID を公開でき、API Key を秘密にする理由は何ですか？

Environment ID は許可済みのブラウザ導入先を識別し、正確な Allowed Origins と照合するために使います。Report を読む権限はありません。Secret API Key は Report と History の保護された照会を認証するため、サーバー環境またはシークレット管理基盤だけに保存します。

Lite と Pro は別の Report エンドポイントを使いますか？

同じ Report API v1 エンドポイントを使います。認証済み Secret API Key のプランによって返却される情報の深さが決まります。