はじめかた

お話を伺う

最初に決めるのは4つです。あとから変えられますが、最初の1件を流す前に決めておくと手戻りがありません。

HANAUTA がこの内容で契約を登録します。あなたの側で入力するものはありません。

審査に使うチャンネルを決める

1. 審査に使うチャンネルを作ります。プライベートチャンネルを勧めます（審査カードには身分証へのリンクが載ります）
2. そのチャンネルで /invite @Humatch と打ち、アプリを入れます
3. 同じチャンネルで /ekyc-config bind と打ちます
4. 「✅ このチャンネルを審査の場にしました。ここに審査カードが届きます。」と返れば完了です。続けて「あなたを運用者として登録しました」と出ます（最初に打った人が、最初の運用者になります）

サーバーに2箇所書き、アプリで撮影画面を開く

あなたの側で書くのは、始めるところと受け取るところだけです。撮影画面・画像の保管・審査の場は Humatch が持ちます。

1. 始める（サーバー）

利用者が本人確認を始めたら、サーバーからセッションを作ります。返ってきた url をアプリへ渡します。

POST https://api.humatch.vows-match.com/v1/verification_sessions
Authorization: Bearer <API キー>
Content-Type: application/json

{ "assurance_level": "document", "client_reference_id": "user_abc123" }

→ 201 { "id": "vs_…", "url": "https://api.humatch.vows-match.com/s/…", "expires_at": "…" }

2. 開く（アプリ）

url をアプリ内の Web 画面（WebView）で開きます。撮影画面はカメラを使うので、次の2点だけ確かめてください。

URL は既定で15分（最長7日まで指定可）有効で、提出した時点で無効になります。期限が切れたら新しいセッションを作ってください。

3. 受け取る（サーバー）

審査が済むと、登録した届け先へ署名付きの POST が届きます。署名を確かめてから本文を使ってください。

// Node.js の例。生の本文（JSON に直す前）で計算する
const [t, ...sigs] = req.headers['x-kyc-signature'].split(',');
const ts = t.slice(2);                                   // "t=1757308800" → "1757308800"
if (Math.abs(Date.now() / 1000 - Number(ts)) > 300) reject();   // 5分の窓
const expected = crypto.createHmac('sha256', SECRET).update(`${ts}.${rawBody}`).digest('hex');
const ok = sigs.some(s => crypto.timingSafeEqual(Buffer.from(s.slice(3)), Buffer.from(expected)));
// ok なら本文の data.object を使う。X-Kyc-Event-Id で二度目以降を捨てる

本文の形・種類・エラーの形は API のしくみ の第4節にあります。

日々の運用

審査カードの見方

Slack から使える操作（運用者だけ）

変えられないもの（契約で決めるもの）

本人確認の強さ・画像を持つ期間・取り出しの可否・取り出し元の IP・運用者の一覧は、Slack からは変えられません。HANAUTA に連絡してください。

HANAUTA に審査を任せる場合

審査を HANAUTA の担当者が行う契約では、二（Slack にアプリを入れる）と三（チャンネルを決める）は要りません。 審査カードは HANAUTA 側の場に届き、HANAUTA の担当者が承認・却下します。 結果の届き方（五の 3）とあなたのサーバーの実装は同じです。

任せる場合も、法令上の本人確認義務を負う主体はあなたのままです（説明の頁「責任の分かれ目」）。 HANAUTA が担うのは判断の作業で、判断の責任ではありません。