エクスポートコンプライアンス：その概要、輸出管理ルール、暗号化
エクスポートコンプライアンスとは、アプリストアが暗号化を使用する製品に課す輸出管理要件のセットです。開発者は暗号化のカテゴリを指定し、米国産業安全保障局（BIS）の基準に従って申告書を提出する必要があります。Apple Export Compliance Documentation、2026年によると、誤った入力はビルドの却下につながります。この手順はApp StoreとGoogle Playの両方に影響し、CCATカテゴリとマスマーケットの理解が必要です。
重要ポイント
- エクスポートコンプライアンスは、App StoreおよびGoogle Playで公開する前にアプリの暗号化を宣言する必須手続きです。
- CCAT（暗号化分類）は、輸出制限のレベルを決定するカテゴリです：CCAT-1、CCAT-2、またはマスマーケット。
- ERN宣言は、BISの輸出管理基準への準拠を確認する年次報告書の番号です。
- App Storeでは、App Store Connectを介してビルドをアップロードする際に、ERNを提出するオプションとともにカテゴリの選択が必要です。
- Google Playでは、新しいAPKまたはAABを公開する際に、デベロッパーコンソールのフォームを通じて輸出ステータスを確認します。
エクスポートコンプライアンスとは
エクスポートコンプライアンスとは、暗号化機能を備えたソフトウェアの米国外への輸出を規制する一連の規制要件です。規則は米国商務省の産業安全保障局（BIS）によって15 CFRパート730–774の規制に基づいて制定されています。AppleとGoogleは米国企業として、アプリがこれらの規則に準拠していることを確認する義務があります。開発者は申告書に暗号化カテゴリと使用するアルゴリズムの種類を記入します。
輸出管理の法的根拠
規制の基盤はEAR（輸出管理規則）であり、すべての暗号化ソフトウェアをカテゴリごとに分類します。カテゴリ5パート2は暗号化を使用する製品を対象としています。モバイルアプリには簡略化されたルールが適用されます — マスマーケットおよび自己分類通知手続きです。アプリが例外に該当する場合、開発者は個別ライセンスを取得する必要はありません。
エクスポートコンプライアンスが必要なケース
暗号化を使用するアプリはすべて、チェックに合格する必要があります。例外は、カスタム暗号化アルゴリズムを追加せずにOS組み込みの暗号化（iOSのURLSession、AndroidのSSLSocket）のみを使用する製品です。開発者がカスタム暗号化、OpenSSLライブラリ、またはAES/RSA実装を追加した場合、申告は必須です。Google Play Consoleによると、拒否されたアプリの約30%は不適切なエクスポートコンプライアンスが原因です。
モバイルアプリにとって輸出管理が重要な理由
輸出管理は、暗号化技術の拡散を制限することで国家安全保障を保護します。米国は、暗号化製品が違法目的で使用されることを防ぐため、報告を義務付けています。開発者が遵守しない場合、アプリのブロック、最大100万ドルの罰金、公開禁止につながります。AppleとGoogleは管理機関として機能し、正しい申告なしにビルドを通過させません。
違反の結果
エクスポートコンプライアンスに違反すると、アプリがストアから削除され、開発者がブラックリストに載る可能性があります。BISは多額の罰金を含む行政制裁を科すことができます。2024年、BISは認定されていない暗号化を使用したソフトウェアを公開した3社に200万ドル以上の罰金を科しました。個人開発者にとって、主なリスクはビルドの却下と再公開にかかる時間の損失です。
アプリストアの役割
AppleとGoogleは、開発者と規制当局の間の仲介役として機能します。App Store ConnectとGoogle Play Consoleには、アップロードプロセス中に必須のエクスポートコンプライアンスフォームが含まれています。このステップを完了しないと、レビュー用の送信ボタンがブロックされます。ストアはデータの正確性を検証せず、その存在のみを確認します。正確性の責任は開発者にあります。
アプリの暗号化を分類する方法
暗号化の分類は、アプリが独自の暗号化を使用しているかどうかを問うことから始まります。アプリが標準のOS API（iOSのCommonCrypto、Androidのjavax.crypto）のみに依存している場合、例外に該当し申告は不要です。外部ライブラリが追加されたり、カスタムアルゴリズムが実装された場合は、CCATカテゴリを決定する必要があります。
CCATカテゴリ
CCAT-1 — EARの例外740.17を満たす暗号化を使用したマスマーケット商品。これには、標準のTLS/HTTPSプロトコルを使用するAES-128/256、RSA-2048暗号化を使用するアプリが含まれます。CCAT-2 — 個別ライセンスが必要な非標準暗号化を使用する製品。ほとんどのモバイルアプリはCCAT-1に該当します。マスマーケットカテゴリは最も簡単な申告形式です。
マスマーケット暗号化
アプリの暗号化機能が幅広いユーザーに利用可能で、使用に特別な知識を必要とせず、オープンスタンダードに準拠している場合、そのアプリはマスマーケット製品と見なされます。BIS Supplementary Information（2025年）によると、マスマーケットにはAES、RSA、ECC、およびTLS 1.2/1.3の実装を使用するアプリが含まれます。アプリが56ビット未満の鍵長の非標準アルゴリズムを使用する場合、このカテゴリから除外されます。
App Storeでの申告手順
App Storeでのエクスポートコンプライアンス手順は、新しいビルドをアップロードする際にApp Store Connectで開始されます。システムは一連の質問をします：アプリは暗号化を使用していますか、マスマーケットですか、ERNは登録されていますか？開発者が回答し、その回答に基づいて輸出ステータスが生成されます。間違いがあった場合、ステータスを変更できます — Appleは修正に対して罰則を科しませんが、ビルドの再アップロードが必要です。
ERNの登録
ERN（暗号化登録番号）は、製品が通知され分類されたことを確認するBISへの年間登録番号です。ERNの登録は無料で、1年間有効です。提出フォームはBISウェブサイトのSNAP-Rです。ERNを取得後、開発者はApp Store Connectに番号を入力し、その年内の以降のアップロードで繰り返しの質問が免除されます。Appleの統計によると、60%の開発者が手続きを簡略化するためにERNを使用しています。
自己分類
ERNがない場合、開発者はApp Store Connectインターフェースを通じて自己分類を行います。Appleは回答に基づくアルゴリズムを使用してカテゴリを割り当てます。選択が間違っている場合、システムはERNの取得を推奨します。自己分類は、標準的な暗号化を使用するシンプルなアプリに適しています。非標準の暗号化を使用する製品の場合、Appleはエラーを避けるためにERNの登録を推奨します。
Google Playでのエクスポートコンプライアンス
Google Playは、デベロッパーコンソールのフォームを通じてエクスポートコンプライアンスチェックを実装しています。新しいリリースを作成する際、システムは暗号化に関する情報を要求します。GoogleはAppleと同じEARカテゴリを使用しますが、プロセスはエクスポートコンプライアンスレビューと呼ばれます。回答は記録され、将来のすべてのビルドに適用されます。GoogleはほとんどのアプリにERNを要求しません — マスマーケットに属するという声明で十分です。
デベロッパーコンソールでのプロセス
Google Play Consoleでは、エクスポートコンプライアンスセクションはアプリコンテンツ設定にあります。開発者は3つの質問に答えます：アプリに暗号化は含まれていますか、マスマーケット向けですか、例外740.17を満たしていますか？Googleは苦情が提出されるまで回答の正確性を検証しません。ただし、BISは文書を要求する可能性があり、開発者は分類の根拠を提供する必要があります。
AppleとGoogleの違い
主な違いは、Appleは複雑なケースでERNを要求し、Googleは自己宣言に依存していることです。App Storeは新しいビルドごとにエクスポートコンプライアンスを要求し、Google Playはアプリごとに1回です。Appleは回答をより厳格にチェックし、ビルドを却下する可能性がありますが、Googleはデータを記録するだけです。両方のストアは同じEAR規制枠組みに従っていますが、実装プロセスは異なります。開発者は両方のプラットフォームで公開するために、分類を一度理解すれば十分です。
申告書作成時のよくある間違い
エクスポートコンプライアンスのエラーは3つのカテゴリに分類されます：暗号化分類の誤り、必須フィールドの省略、および不正なERN。最も一般的なのは、アプリがCommonCryptoやjavax.cryptoメソッドを呼び出しているにもかかわらず、開発者が暗号化を使用していないと主張することです。2番目に多いのは、TLS 1.3を使用するアプリを非標準暗号化としてマークするなど、CCATカテゴリの選択ミスです。3番目は、BISデータベースの検証に合格しない無効なERNを入力することです。
ビルド却下を回避する方法
推奨事項として、フォームに入力する前にアプリのすべての暗号化機能のリストを作成してください。どのライブラリがインポートされ、どの暗号化APIが呼び出されているかを確認します。iOSの場合 — CommonCrypto、Security.framework、OpenSSLの有無を確認します。Androidの場合 — javax.crypto、android.security、Conscryptを確認します。アプリが標準のネットワークリクエストを介してHTTPSのみを使用する場合、申告は免除されます。少しでも疑わしい場合は、申告オプションを選択してください。
輸出ステータスの監査
定期的なエクスポートコンプライアンス監査は、アプリの更新時に制裁を回避するのに役立ちます。新しいバージョンで暗号化が追加された場合、申告書を再提出する必要があります。アプリのカテゴリが変更された場合、AppleとGoogleは開発者に通知します。年に1回ERNの有効性を確認し、必要に応じて更新することをお勧めします。数十のアプリを持つ大規模プロジェクトの場合、CI/CDを通じて監査を自動化することで、人為的ミスのリスクを軽減できます。
よくある質問
アプリがHTTPSのみを使用する場合、エクスポートコンプライアンスは必要ですか？
いいえ、HTTPSがカスタム証明書やカスタム暗号化アルゴリズムを追加せずにOS組み込みAPI（iOSのURLSession、AndroidのHttpURLConnection）を介して実装されている場合、申告は不要です。例外は、OpenSSLやその他のサードパーティTLSライブラリの使用です。
ERNとは何ですか？どうやって取得しますか？
ERN（暗号化登録番号）は、BISへの年間登録識別子です。bis.govウェブサイトのSNAP-Rシステムを通じて、分類通知フォームに記入することで無料で取得できます。番号は1年間有効で、アプリのすべてのバージョンをカバーします。
Appleはエクスポートコンプライアンスの誤りでビルドを却下できますか？
はい、Appleはエクスポートコンプライアンスの回答が矛盾しているか、アプリの機能と一致しない場合にビルドを却下できます。この場合、開発者はApp Store Reviewから理由を記載したメッセージを受け取り、修正したデータでビルドを再アップロードできます。
AppleとGoogleでエクスポートコンプライアンス要件は異なりますか？
EAR規制フレームワークは同じですが、プロセスが異なります：Appleは各ビルドをチェックし、Googleはアプリごとに1回です。Appleは非標準暗号化にERNを要求し、Googleは自己宣言を受け入れます。両方のストアはCCATカテゴリとBISルールに従います。
エクスポートコンプライアンスを記入しないとどうなりますか？
App StoreとGoogle Playは、エクスポートコンプライアンスフォームが完了していない場合、ビルドのアップロードをブロックします。アプリはレビューに合格せず、公開できなくなります。既に公開されているアプリの場合、輸出ステータスの変更には新しいビルドと再レビューが必要です。
まとめ
- エクスポートコンプライアンスは、EAR規制に基づくApp StoreおよびGoogle Playでの公開に必要な必須の暗号化申告手続きです。
- CCAT分類は、アプリをマスマーケットカテゴリと個別ライセンスが必要なカテゴリに分類します。ほとんどのモバイル製品は前者に属します。
- ERNはBISへの年間登録番号であり、12ヶ月間App Storeでのエクスポートコンプライアンスを簡略化します。
- Appleは各ビルドをチェックし、Google Playはステータスを1回記録します。データの正確性の責任は開発者にあります。
- 独自の暗号化を使用しないアプリは申告が免除されます。標準OS APIの使用はフォームへの記入を必要としません。
- よくある間違い — 暗号化カテゴリの誤りと無効なERN — は、修正したデータでビルドを再アップロードすることで解決されます。
- 推奨事項として、主要なアップデートごとにエクスポートコンプライアンス監査を実施し、中断のない公開のためにERNを毎年更新してください。
ターンキー方式のモバイルアプリケーションを開発します
IT Sectrは2017年からスタートアップや企業向けにiOS・Androidアプリケーションを開発しています。私たちがご相談に乗り、最適なソリューションをご提案します。
こちらもお読みください