2025年

年末年始の休業日のお知らせ

2025年12月1日月曜日

下記期間を年末年始のお休みとさせていただきます。

2025年12月30日（火）～2026年1月5日（月）まで休業いたします。

2026年1月6日（火）より、開始となります。

何卒、宜しくお願いいたします。

Welcart に導入したZEUSのカード決済が通信エラーになる

2025年12月16日火曜日

先頃、お客様のWelcart(WordPressのECプラグイン)で、カート決済にZEUSの連携設定を試みたところ

「90100100 : 通信に失敗しました。」とアラートが出て、「カード情報または通信エラー」ということでした。

ところがFirefoxなどそのエラーが生じないブラウザもあり、調べてみると、Google Chromeでは「Sync XHR がほぼ禁止している」ということで

Permissions-Policy: sync-xhr=() があるとZEUSなどトークンを使った決済サービスなどが通信失敗になるとのこと。

それはWordPressのセキュリティを高めるためにとネットの情報で拾い、htaccessに書いていた「HTTPセキュリティヘッダ」の記述にありました。

# Security Headers
Header always set Strict-Transport-Security: “max-age=31536000” env=HTTPS
Header always set Content-Security-Policy “upgrade-insecure-requests”
Header always set X-Content-Type-Options “nosniff”
Header always set X-XSS-Protection “1; mode=block
Header always set Expect-CT “max-age=7776000, enforce”
Header always set Referrer-Policy: “no-referrer-when-downgrade”
Header always append X-Frame-Options SAMEORIGIN
Header always set Permissions-Policy “geolocation=(); midi=();notifications=();push=();
sync-xhr=();accelerometer=(); gyroscope=(); magnetometer=(); payment=(); camera=(); microphone=();usb=(); xr=();speaker=(self);vibrate=();fullscreen=(self);”
# End Security Headers

sync-xhr=() を削除するか sync-xhr=* に変更することで通信エラーはなくなります

Permissions-Policy: sync-xhr=() になっているHTTPセキュリティヘッダのサンプルはネットにたくさんあるので設置しようという、サイバー攻撃に対するセキュリティ意識が高いことに越したことはないのですが、WelcartやECサービスの運用などには気をつける必要があります。

プラグイン「Headers Security Advanced & HSTS WP」をインストール＆有効にすれば、自動でhtaccessにHTTPセキュリティヘッダを書いてくれますが、このプラグインの記述では sync-xhr=* になっているので気にせず安心して使えます。