Export Compliance: cos'è, regole di controllo delle esportazioni e crittografia
Export Compliance è un insieme di requisiti di controllo delle esportazioni che gli app store impongono ai prodotti che utilizzano la crittografia. Lo sviluppatore deve specificare la categoria di crittografia e presentare una dichiarazione conforme alle norme del Bureau of Industry and Security (BIS) degli Stati Uniti. Secondo Apple Export Compliance Documentation, 2026, la compilazione errata porta al rifiuto del build. La procedura interessa sia l'App Store che Google Play e richiede la comprensione delle categorie CCAT e del mercato di massa.
Punti chiave
- Export Compliance è una procedura obbligatoria di dichiarazione della crittografia nelle app prima della pubblicazione su App Store e Google Play.
- CCAT (Cryptography Classification) è la categoria che determina il livello di restrizioni all'esportazione: CCAT-1, CCAT-2 o mercato di massa.
- Dichiarazione ERN è un numero nel rapporto annuale che conferma la conformità alle norme di controllo delle esportazioni del BIS.
- App Store richiede la selezione della categoria durante il caricamento del build tramite App Store Connect con la possibilità di presentare ERN.
- Google Play verifica lo stato di esportazione tramite un modulo nella console sviluppatore durante la pubblicazione di un nuovo APK o AAB.
Cos'è Export Compliance?
Export Compliance è un insieme di requisiti normativi che regolano l'esportazione di software con funzioni crittografiche al di fuori degli Stati Uniti. Le regole sono stabilite dal Bureau of Industry and Security (BIS) del Dipartimento del Commercio degli Stati Uniti ai sensi del Regolamento 15 CFR Parti 730–774. Apple e Google, in quanto aziende americane, sono tenute a verificare che le app siano conformi a queste normative. Lo sviluppatore compila una dichiarazione specificando la categoria di crittografia e il tipo di algoritmi utilizzati.
Base giuridica del controllo delle esportazioni
La base normativa è EAR (Export Administration Regulations), che classifica tutto il software crittografico per categorie. La Categoria 5 Parte 2 copre i prodotti con crittografia. Per le app mobili si applicano regole semplificate — mercato di massa e procedura di notifica di autoclassificazione. Lo sviluppatore non necessita di una licenza individuale se l'app rientra in un'eccezione.
Chi deve sottoporsi a Export Compliance
Qualsiasi app che utilizzi la crittografia è tenuta a superare il controllo. L'eccezione riguarda i prodotti che utilizzano solo la crittografia integrata del sistema operativo (URLSession su iOS, SSLSocket su Android) senza aggiungere algoritmi crittografici personalizzati. Se lo sviluppatore aggiunge crittografia personalizzata, la libreria OpenSSL o qualsiasi implementazione AES/RSA, la dichiarazione è obbligatoria. Secondo Google Play Console, circa il 30% delle app rifiutate lo sono a causa di Export Compliance errata.
Perché il controllo delle esportazioni è importante per le app mobili
Il controllo delle esportazioni protegge la sicurezza nazionale limitando la diffusione delle tecnologie crittografiche. Gli Stati Uniti richiedono la segnalazione dei prodotti con crittografia per prevenire il loro utilizzo per scopi illegali. Per lo sviluppatore, la mancata conformità comporta il blocco dell'app, multe fino a 1 milione di dollari e il divieto di pubblicazione. Apple e Google agiscono come agenti di controllo — non permetteranno il passaggio di un build senza una dichiarazione corretta.
Conseguenze della violazione
La violazione di Export Compliance può comportare la rimozione dell'app dallo store e l'inserimento dello sviluppatore in una lista nera. Il BIS può imporre sanzioni amministrative, comprese multe elevate. Nel 2024, il BIS ha multato tre aziende per oltre 2 milioni di dollari per aver pubblicato software con crittografia non certificata. Per gli sviluppatori indipendenti, il rischio principale è il rifiuto del build e la perdita di tempo per la ripubblicazione.
Il ruolo degli app store
Apple e Google agiscono come intermediari tra lo sviluppatore e l'ente regolatore. App Store Connect e Google Play Console includono moduli obbligatori di Export Compliance durante il processo di caricamento. Senza completare questo passaggio, il pulsante di invio per la revisione viene bloccato. Gli store non verificano l'accuratezza dei dati — solo la loro presenza. La responsabilità dell'accuratezza ricade sullo sviluppatore.
Come classificare la crittografia nella tua app
La classificazione della crittografia inizia rispondendo alla domanda: l'app utilizza una propria crittografia? Se l'app si basa esclusivamente sulle API standard del sistema operativo (CommonCrypto su iOS, javax.crypto su Android), rientra in un'eccezione e non richiede dichiarazione. Se è stata aggiunta una libreria esterna o implementato un algoritmo personalizzato, è necessario determinare la categoria CCAT.
Categorie CCAT
CCAT-1 — beni di mercato di massa con crittografia che soddisfano l'eccezione 740.17 dell'EAR. Ciò include app con crittografia AES-128/256, RSA-2048 che utilizzano i protocolli standard TLS/HTTPS. CCAT-2 — prodotti con crittografia non standard che richiedono una licenza individuale. La maggior parte delle app mobili rientra in CCAT-1. La categoria mercato di massa è la forma più semplice di dichiarazione.
Crittografia di mercato di massa
Un'app è considerata un prodotto di mercato di massa se le sue funzioni crittografiche sono disponibili per un vasto pubblico, non richiedono conoscenze speciali per l'uso e sono conformi a standard aperti. Secondo BIS Supplementary Information (2025), il mercato di massa include app con AES, RSA, ECC e implementazioni TLS 1.2/1.3. Se l'app utilizza algoritmi non standard con una lunghezza della chiave inferiore a 56 bit, viene esclusa da questa categoria.
Procedura di dichiarazione nell'App Store
La procedura di Export Compliance nell'App Store inizia in App Store Connect durante il caricamento di un nuovo build. Il sistema pone una serie di domande: l'app utilizza la crittografia, è di mercato di massa, è registrato un ERN? Lo sviluppatore risponde e in base alle risposte viene generato lo stato di esportazione. Se viene commesso un errore, lo stato può essere modificato — Apple non penalizza le correzioni, ma il ricaricamento del build è obbligatorio.
Registrazione ERN
ERN (Encryption Registration Number) è un numero di registrazione annuale presso il BIS che conferma che il prodotto è stato notificato e classificato. La registrazione ERN è gratuita e valida per un anno. Il modulo di presentazione è SNAP-R sul sito web del BIS. Dopo aver ottenuto un ERN, lo sviluppatore inserisce il numero in App Store Connect e viene esentato dalle domande ripetute nei caricamenti successivi durante l'anno. Secondo le statistiche di Apple, il 60% degli sviluppatori utilizza ERN per semplificare la procedura.
Autoclassificazione
Se ERN non è disponibile, lo sviluppatore effettua l'autoclassificazione tramite l'interfaccia di App Store Connect. Apple utilizza un algoritmo basato sulle risposte per assegnare una categoria. Se la selezione è errata, il sistema consiglia di ottenere un ERN. L'autoclassificazione è adatta per app semplici con crittografia standard. Per prodotti con crittografia non standard, Apple consiglia la registrazione ERN per evitare errori.
Export Compliance in Google Play
Google Play implementa il controllo di Export Compliance tramite un modulo nella console sviluppatore. Durante la creazione di una nuova versione, il sistema richiede informazioni sulla crittografia. Google utilizza le stesse categorie EAR di Apple, ma il processo si chiama Export Compliance Review. Le risposte vengono registrate e applicate a tutti i build futuri. Google non richiede ERN per la maggior parte delle app — è sufficiente una dichiarazione di appartenenza al mercato di massa.
Processo nella console sviluppatore
In Google Play Console, la sezione Export Compliance si trova nelle impostazioni Contenuto dell'app. Lo sviluppatore risponde a tre domande: l'app contiene crittografia, è destinata al mercato di massa e soddisfa l'eccezione 740.17? Google non verifica l'accuratezza delle risposte fino a quando non viene presentato un reclamo. Tuttavia, il BIS può richiedere documenti e lo sviluppatore deve fornire una giustificazione per la classificazione.
Differenze tra Apple e Google
La principale differenza — Apple richiede ERN per i casi complessi, Google si basa sull'autodichiarazione. L'App Store richiede Export Compliance per ogni nuovo build, Google Play una volta per app. Apple controlla le risposte in modo più rigoroso e può rifiutare un build, Google registra solo i dati. Entrambi gli store seguono lo stesso quadro normativo EAR, ma il processo di implementazione differisce. Lo sviluppatore deve comprendere la classificazione solo una volta per pubblicare su entrambe le piattaforme.
Errori comuni nella compilazione della dichiarazione
Gli errori in Export Compliance si dividono in tre categorie: classificazione errata della crittografia, omissione di campi obbligatori e ERN errato. Il più comune — lo sviluppatore dichiara che la crittografia non è utilizzata, sebbene l'app chiami metodi CommonCrypto o javax.crypto. Il secondo più comune — selezione errata della categoria CCAT, quando un'app con TLS 1.3 viene contrassegnata come crittografia non standard. Il terzo — inserimento di un ERN non valido che non supera la verifica nel database BIS.
Come evitare il rifiuto del build
Si consiglia di stilare un elenco di tutte le funzioni crittografiche dell'app prima di compilare il modulo. Verificare quali librerie vengono importate e quali API di crittografia vengono chiamate. Per iOS — verificare la presenza di CommonCrypto, Security.framework, OpenSSL. Per Android — javax.crypto, android.security, Conscrypt. Se l'app utilizza solo HTTPS tramite richieste di rete standard, è esente da dichiarazione. Al minimo dubbio, scegliere l'opzione con dichiarazione.
Audit dello stato di esportazione
Un audit regolare di Export Compliance aiuta a evitare sanzioni durante l'aggiornamento dell'app. Se viene aggiunta crittografia in una nuova versione, la dichiarazione deve essere ricompilata. Apple e Google notificano lo sviluppatore se la categoria dell'app cambia. Si consiglia di verificare la validità dell'ERN una volta all'anno e rinnovarlo se necessario. Per progetti di grandi dimensioni con decine di app, l'automazione dell'audit tramite CI/CD riduce il rischio di errore umano.
Domande frequenti
È necessario sottoporsi a Export Compliance se l'app utilizza solo HTTPS?
No, se HTTPS è implementato tramite le API integrate del sistema operativo (URLSession su iOS, HttpURLConnection su Android) senza aggiungere certificati personalizzati o algoritmi crittografici personalizzati, la dichiarazione non è richiesta. L'eccezione è l'uso di OpenSSL o altre librerie TLS di terze parti.
Cos'è ERN e come ottenerlo?
ERN (Encryption Registration Number) è un identificatore di registrazione annuale presso il BIS. Può essere ottenuto gratuitamente tramite il sistema SNAP-R sul sito bis.gov, compilando un modulo di notifica di classificazione. Il numero è valido per 1 anno e copre tutte le versioni dell'app.
Apple può rifiutare un build a causa di Export Compliance errata?
Sì, Apple può rifiutare un build se le risposte di Export Compliance sono contraddittorie o non corrispondono alla funzionalità dell'app. In questo caso, lo sviluppatore riceve un messaggio da App Store Review che indica il motivo e può ricaricare il build con i dati corretti.
I requisiti di Export Compliance differiscono tra Apple e Google?
Il quadro normativo EAR è lo stesso, ma il processo differisce: Apple controlla ogni build, Google una volta per app. Apple richiede ERN per la crittografia non standard, Google accetta l'autodichiarazione. Entrambi gli store seguono le categorie CCAT e le regole del BIS.
Cosa succede se non compilo Export Compliance?
App Store e Google Play bloccano il caricamento del build senza un modulo di Export Compliance completo. L'app non supererà la revisione e la pubblicazione diventerà impossibile. Per le app già pubblicate, la modifica dello stato di esportazione richiede un nuovo build e una nuova revisione.
Riepilogo
- Export Compliance è una procedura obbligatoria di dichiarazione della crittografia per la pubblicazione su App Store e Google Play, basata sulle normative EAR.
- La classificazione CCAT divide le app in categorie di mercato di massa e quelle che richiedono una licenza individuale. La maggior parte dei prodotti mobili appartiene alla prima.
- ERN è un numero di registrazione annuale presso il BIS che semplifica Export Compliance nell'App Store per 12 mesi.
- Apple controlla ogni build, Google Play registra lo stato una volta. La responsabilità dell'accuratezza dei dati ricade sullo sviluppatore.
- Le app senza crittografia propria sono esenti da dichiarazione. L'uso delle API standard del sistema operativo non richiede la compilazione di moduli.
- Errori comuni — categoria di crittografia errata e ERN non valido — vengono risolti ricaricando il build con dati corretti.
- Si consiglia di effettuare un audit di Export Compliance con ogni aggiornamento importante e rinnovare l'ERN annualmente per una pubblicazione senza interruzioni.
Svilupperemo un'applicazione mobile chiavi in mano
IT Sectr crea applicazioni iOS e Android per startup e aziende dal 2017. Ti consulteremo e ti proporremo la soluzione migliore.
Leggi anche