Finswer/f9kがAuthleteを採用、バンキングAPIとMCPサーバーの認証・認可基盤にOAuth/OIDCを実装

AIエージェント連携（MCP）とAPI公開に向け、OAuth 2.1/OIDC対応の認可サーバーを1カ月で構築。開発を効率化し、高い拡張性と容易なコストコントロールを実現

株式会社Authlete（オースリート、本社：東京都千代田区、代表取締役：川﨑貴彦、以下Authlete）は、株式会社Finswer（本社：東京都渋谷区、代表取締役：小川晃平、以下Finswer）の子会社である株式会社f9kが提供する「Finswer Banking API」およびリモートMCPサーバーの認証・認可基盤におけるOAuth 2.1/OpenID Connect（OIDC）実装に、「Authlete」を採用いただいたことをお知らせします。

Authleteは、OAuth/OIDCのプロトコル処理とトークン管理をAPIとして提供するバックエンドサービスです。既存の認証基盤やユーザーデータベースを活かしつつ、標準仕様に準拠した認可サーバーを構築できます。

Finswer Banking APIは、企業のサービスに銀行機能を組み込むためのAPIです。総合振込・給与振込の申請から承認、実行状況の照会までをAPIで完結させ、振込データの受け渡しに伴う手作業の解消を支援します。

導入の背景：パートナー向けAPI公開とリモートMCPサーバー対応の認証・認可基盤の構築

Finswerは、Finswer Banking APIの展開にあたり、パートナー企業に公開するAPIの整備を進めていました。また、AIエージェントからFinswer Banking APIを容易に利用できるようにするリモートMCPサーバーの運用も計画していました。これらのチャネルにおいては、ユーザーデータへのアクセスを、OAuth 2.1/OIDCに準拠して安全に提供する必要がありました。

OAuth 2.1/OIDC準拠の認証・認可基盤をチャネルごとに構築・運用することは、開発リソースや保守の観点から大きな負担となるため、単一の基盤で両チャネルに対応することが求められました。さらに、高度なセキュリティ水準が求められるフィンテック事業において、OAuth/OIDCの仕様更新に自社で継続的に対応し続けることはリスクが高いと判断。専門的なプロトコル処理を外部ソリューションへ委譲することにしました。

OAuth/OIDCソリューションの選定要件：MCP対応、FAPI準拠、高い拡張性、コスト予測が容易

OAuth/OIDCの実装を担う外部ソリューションの選定にあたっては、以下を要件としました。

• MCPの認可仕様への対応：MCPの認可仕様で採用されているOAuth 2.1やOAuth Client ID Metadata Document（CIMD）などの最新仕様に対応していること。

• FAPI準拠：将来、FAPIへの対応が求められる際にスムーズに導入できるよう、FAPIをサポートしていること。

• 高い拡張性：パートナーやトラフィックの増加に柔軟に対応できること。

• コスト予測が容易：利用量の増加に伴う費用の見通しを立てやすい課金体系であること。

Authlete採用の決め手：最新仕様への迅速な対応、コストコントロール、金融機関での豊富な実績

Finswerは複数のマネージドサービスおよびオープンソースソフトウェア（OSS）を比較検討した結果、高い拡張性をはじめ、すべての要件を満たすAuthleteを採用しました。Authleteについては、特に以下の点を高く評価しました。

• MCP認可仕様やFAPIを含む最新仕様をサポート：Authleteは、最新版のMCPに採用されたOAuth 2.1とその拡張仕様をはじめ、FAPI 2.0などの最新のOAuth/OIDC仕様をいち早くサポートしていました。

• 将来のコストコントロールが容易な課金体系：Finswerのユースケースでは、Authleteを利用した場合、実質的にOAuthクライアント数に基づく課金となります。月間アクティブユーザー数に連動する価格体系と比べて、将来にわたって費用の見通しを立てやすいという利点がありました。

• 国内の金融機関における豊富な採用実績：Authleteは、日本の金融機関やフィンテック企業で幅広く採用されており、銀行機能のAPI提供においても十分な実績がありました。

• 日本限定のデータレジデンシーが可能：Authleteのマネージドクラウドサービスでは、利用するサーバーを複数の地域から選択できるため、日本国内での運用に限定できました。

導入の成果：パートナー向けAPIとMCPサーバーに対応した認証・認可基盤を1カ月で構築

FinswerはAuthleteのマネージドクラウドサービスを利用し、わずか1カ月で新たな認証・認可基盤を構築。2026年6月に運用を開始しました。

図：Authleteを活用したFinswerの認証・認可基盤アーキテクチャ

開発・運用面のメリット：開発を効率化し、日本語サポートで負担を軽減

• 開発者志向のサービスが開発を効率化：Authleteは、認可サーバーの開発・運用を効率化する機能をAPIとして提供しています。Finswerは、トークン発行や署名鍵の管理をはじめとする認可サーバー構築に不可欠な処理をAuthleteに委ねることで、開発工数を大幅に削減しました。

• 最新仕様に継続的に追随：Finswerは、OAuth/OIDCのセキュリティアップデートや最新仕様への継続的な追随をAuthleteに任せることで、標準仕様への準拠を担保しつつ、運用負担を軽減できました。

• 充実したドキュメントと日本語のテクニカルサポート：Authleteは、日本語による豊富なドキュメントや仕様の解説書、チュートリアルやハンズオン形式の資料に加えて、日本語でテクニカルサポートを提供しています。これらを活用することで、Finswerは効率的に開発を進めることができました。

株式会社Finswer 佐々木独歩氏のコメント

「Authleteは、リモートMCPサーバーのホスティングに必要な認可仕様への対応において、他社より先行していました。進化の速いMCPの認可仕様に継続的に追随するには、内製では開発・保守コストが負担になります。OAuth 2.1/OIDCの実装と標準仕様への準拠をAuthleteに任せることで、開発と運用にかかる負担を軽減できました。

さらに、Authleteの技術サポートを活用して設計の手戻りを抑えることで、開発コストを削減しつつ、見通しのよいアーキテクチャで基盤を構築できました。

Authleteは国内で豊富な採用実績があることから、安心して導入できました。同社のクラウドサービスでは、リージョンを日本に指定できるため、データレジデンシーの要件が日本限定の場合にも対応できる点は強みだと感じています。

当社では、今後、既存のファーストパーティアプリケーションについても、新たに構築した認証・認可基盤への移行を検討する予定です。」

各社さまのユースケースについては、当社ウェブサイトのお客さま事例をご覧ください。

Authleteについて

Authleteは、認可システムへのOAuthおよびOpenID Connect（OIDC）の実装を迅速化・簡素化するWeb APIを提供しています。国際標準の仕様策定に携わる専門家によって開発された「Authlete」はOpenID認定を取得済みで、高度なセキュリティ仕様であるFAPIやCIBA、またOpenID4VCIなどの最新仕様にも対応しています。Authleteのソリューションは、金融、メディア、小売、テクノロジー、コンサルティングなど多様な業界で、国内外のスタートアップから中堅・大企業まで幅広く採用されています。