Export Compliance: คืออะไร กฎการควบคุมการส่งออกและการเข้ารหัส
Export Compliance คือชุดข้อกำหนดการควบคุมการส่งออกที่ร้านค้าแอปกำหนดให้กับผลิตภัณฑ์ที่ใช้การเข้ารหัส นักพัฒนาต้องระบุหมวดหมู่การเข้ารหัสและยื่นคำประกาศตามมาตรฐานของสำนักงานอุตสาหกรรมและความมั่นคงแห่งสหรัฐอเมริกา (BIS) ตาม Apple Export Compliance Documentation, 2026 การกรอกข้อมูลที่ไม่ถูกต้องนำไปสู่การปฏิเสธบิลด์ ขั้นตอนนี้ส่งผลกระทบทั้ง App Store และ Google Play และต้องการความเข้าใจเกี่ยวกับหมวดหมู่ CCAT และตลาดมวลชน
ประเด็นสำคัญ
- Export Compliance คือขั้นตอนบังคับในการประกาศการเข้ารหัสในแอปก่อนเผยแพร่บน App Store และ Google Play
- CCAT (การจำแนกประเภทการเข้ารหัส) คือหมวดหมู่ที่กำหนดระดับข้อจำกัดการส่งออก: CCAT-1, CCAT-2 หรือตลาดมวลชน
- การประกาศ ERN คือหมายเลขในรายงานประจำปีที่ยืนยันการปฏิบัติตามมาตรฐานการควบคุมการส่งออกของ BIS
- App Store ต้องการการเลือกหมวดหมู่เมื่ออัปโหลดบิลด์ผ่าน App Store Connect โดยมีตัวเลือกในการส่ง ERN
- Google Play ตรวจสอบสถานะการส่งออกผ่านแบบฟอร์มในคอนโซลนักพัฒนาเมื่อเผยแพร่ APK หรือ AAB ใหม่
Export Compliance คืออะไร?
Export Compliance คือชุดข้อกำหนดด้านกฎระเบียบที่ควบคุมการส่งออกซอฟต์แวร์ที่มีฟังก์ชันการเข้ารหัสนอกสหรัฐอเมริกา กฎระเบียบถูกกำหนดโดยสำนักงานอุตสาหกรรมและความมั่นคง (BIS) ของกระทรวงพาณิชย์สหรัฐอเมริกาภายใต้ข้อบังคับ 15 CFR ส่วนที่ 730–774 Apple และ Google ในฐานะบริษัทอเมริกันมีหน้าที่ตรวจสอบว่าแอปปฏิบัติตามกฎระเบียบเหล่านี้ นักพัฒนากรอกคำประกาศโดยระบุหมวดหมู่การเข้ารหัสและประเภทของอัลกอริทึมที่ใช้
พื้นฐานทางกฎหมายของการควบคุมการส่งออก
พื้นฐานด้านกฎระเบียบคือ EAR (ข้อบังคับการบริหารการส่งออก) ซึ่งจำแนกซอฟต์แวร์การเข้ารหัสทั้งหมดตามหมวดหมู่ หมวดหมู่ 5 ส่วนที่ 2 ครอบคลุมผลิตภัณฑ์ที่มีการเข้ารหัส สำหรับแอปมือถือจะใช้กฎแบบง่าย — ตลาดมวลชนและขั้นตอนการแจ้งการจำแนกประเภทด้วยตนเอง นักพัฒนาไม่จำเป็นต้องได้รับใบอนุญาตส่วนบุคคลหากแอปอยู่ในข้อยกเว้น
ใครบ้างที่ต้องผ่าน Export Compliance
แอปใด ๆ ที่ใช้การเข้ารหัสจะต้องผ่านการตรวจสอบ ข้อยกเว้นคือผลิตภัณฑ์ที่ใช้เฉพาะการเข้ารหัสในตัวของระบบปฏิบัติการ (URLSession บน iOS, SSLSocket บน Android) โดยไม่เพิ่มอัลกอริทึมการเข้ารหัสที่กำหนดเอง หากนักพัฒนาเพิ่มการเข้ารหัสแบบกำหนดเอง ไลบรารี OpenSSL หรือการใช้งาน AES/RSA ใด ๆ การประกาศเป็นสิ่งจำเป็น ตาม Google Play Console แอปที่ถูกปฏิเสธประมาณ 30% ถูกปฏิเสธเนื่องจาก Export Compliance ไม่ถูกต้อง
ทำไมการควบคุมการส่งออกจึงสำคัญสำหรับแอปมือถือ
การควบคุมการส่งออก ปกป้องความมั่นคงแห่งชาติโดยจำกัดการแพร่กระจายของเทคโนโลยีการเข้ารหัส สหรัฐอเมริกากำหนดให้มีการรายงานผลิตภัณฑ์ที่มีการเข้ารหัสเพื่อป้องกันการใช้เพื่อวัตถุประสงค์ที่ผิดกฎหมาย สำหรับนักพัฒนา การไม่ปฏิบัติตามนำไปสู่การบล็อกแอป ค่าปรับสูงถึง 1 ล้านดอลลาร์ และการห้ามเผยแพร่ Apple และ Google ทำหน้าที่เป็นตัวแทนควบคุม — พวกเขาจะไม่อนุญาตให้บิลด์ผ่านหากไม่มีคำประกาศที่ถูกต้อง
ผลที่ตามมาของการละเมิด
การละเมิด Export Compliance อาจส่งผลให้แอปถูกลบออกจากร้านค้าและนักพัฒนาถูกขึ้นบัญชีดำ BIS สามารถลงโทษทางปกครอง รวมถึงค่าปรับจำนวนมาก ในปี 2024 BIS ปรับ三家บริษัทรวมกว่า 2 ล้านดอลลาร์สำหรับการเผยแพร่ซอฟต์แวร์ที่มีการเข้ารหัสที่ไม่ได้รับการรับรอง สำหรับนักพัฒนาอิสระ ความเสี่ยงหลักคือการปฏิเสธบิลด์และการเสียเวลาในการเผยแพร่ซ้ำ
บทบาทของร้านค้าแอป
Apple และ Google ทำหน้าที่เป็นตัวกลางระหว่างนักพัฒนาและหน่วยงานกำกับดูแล App Store Connect และ Google Play Console รวมถึงแบบฟอร์ม Export Compliance ที่บังคับในระหว่างขั้นตอนการอัปโหลด หากไม่ทำขั้นตอนนี้ให้เสร็จ ปุ่มส่งเพื่อตรวจสอบจะถูกบล็อก ร้านค้าไม่ตรวจสอบความถูกต้องของข้อมูล — เพียงแต่ตรวจสอบว่ามีข้อมูลอยู่เท่านั้น ความรับผิดชอบต่อความถูกต้องอยู่ที่นักพัฒนา
วิธีจำแนกประเภทการเข้ารหัสในแอปของคุณ
การจำแนกประเภทการเข้ารหัส เริ่มต้นด้วยการตอบคำถาม: แอปใช้การเข้ารหัสของตัวเองหรือไม่? หากแอปพึ่งพาเฉพาะ API มาตรฐานของระบบปฏิบัติการ (CommonCrypto บน iOS, javax.crypto บน Android) แอปจะอยู่ในข้อยกเว้นและไม่ต้องการคำประกาศ หากมีการเพิ่มไลบรารีภายนอกหรือใช้อัลกอริทึมแบบกำหนดเอง จะต้องกำหนดหมวดหมู่ CCAT
หมวดหมู่ CCAT
CCAT-1 — สินค้าตลาดมวลชนที่มีการเข้ารหัสซึ่งตรงตามข้อยกเว้น 740.17 ของ EAR ซึ่งรวมถึงแอปที่มีการเข้ารหัส AES-128/256, RSA-2048 ที่ใช้โปรโตคอลมาตรฐาน TLS/HTTPS CCAT-2 — ผลิตภัณฑ์ที่มีการเข้ารหัสที่ไม่ได้มาตรฐานซึ่งต้องการใบอนุญาตส่วนบุคคล แอปมือถือส่วนใหญ่อยู่ใน CCAT-1 หมวดหมู่ตลาดมวลชนเป็นรูปแบบการประกาศที่ง่ายที่สุด
การเข้ารหัสตลาดมวลชน
แอปถือเป็นผลิตภัณฑ์ ตลาดมวลชน หากฟังก์ชันการเข้ารหัสพร้อมใช้งานสำหรับผู้ชมในวงกว้าง ไม่ต้องใช้ความรู้พิเศษในการใช้งาน และสอดคล้องกับมาตรฐานเปิด ตาม BIS Supplementary Information (2025) ตลาดมวลชนรวมถึงแอปที่มี AES, RSA, ECC และการใช้งาน TLS 1.2/1.3 หากแอปใช้อัลกอริทึมที่ไม่ได้มาตรฐานซึ่งมีความยาวคีย์น้อยกว่า 56 บิต แอปจะถูกแยกออกจากหมวดหมู่นี้
ขั้นตอนการประกาศใน App Store
ขั้นตอน Export Compliance ใน App Store เริ่มต้นใน App Store Connect เมื่ออัปโหลดบิลด์ใหม่ ระบบจะถามคำถามชุดหนึ่ง: แอปใช้การเข้ารหัสหรือไม่ เป็นตลาดมวลชนหรือไม่ ERN ลงทะเบียนหรือไม่? นักพัฒนาตอบและตามคำตอบจะสร้างสถานะการส่งออก หากเกิดข้อผิดพลาด สามารถเปลี่ยนสถานะได้ — Apple ไม่ลงโทษการแก้ไข แต่ต้องอัปโหลดบิลด์อีกครั้ง
การลงทะเบียน ERN
ERN (หมายเลขลงทะเบียนการเข้ารหัส) คือหมายเลขลงทะเบียนประจำปีกับ BIS ซึ่งยืนยันว่าผลิตภัณฑ์ได้รับการแจ้งและจำแนกประเภทแล้ว การลงทะเบียน ERN ฟรีและมีอายุหนึ่งปี แบบฟอร์มการยื่นคือ SNAP-R บนเว็บไซต์ BIS หลังจากได้รับ ERN นักพัฒนาจะป้อนหมายเลขใน App Store Connect และได้รับการยกเว้นจากคำถามซ้ำในการอัปโหลดครั้งต่อไปภายในปี ตามสถิติของ Apple นักพัฒนา 60% ใช้ ERN เพื่อทำให้ขั้นตอนง่ายขึ้น
การจำแนกประเภทด้วยตนเอง
หากไม่มี ERN นักพัฒนาจะดำเนินการจำแนกประเภทด้วยตนเองผ่านอินเทอร์เฟซ App Store Connect Apple ใช้อัลกอริทึมตามคำตอบเพื่อกำหนดหมวดหมู่ หากการเลือกไม่ถูกต้อง ระบบแนะนำให้รับ ERN การจำแนกประเภทด้วยตนเองเหมาะสำหรับแอปที่เรียบง่ายที่มีการเข้ารหัสมาตรฐาน สำหรับผลิตภัณฑ์ที่มีการเข้ารหัสที่ไม่ได้มาตรฐาน Apple แนะนำให้ลงทะเบียน ERN เพื่อหลีกเลี่ยงข้อผิดพลาด
Export Compliance ใน Google Play
Google Play ดำเนินการตรวจสอบ Export Compliance ผ่านแบบฟอร์มในคอนโซลนักพัฒนา เมื่อสร้างรุ่นใหม่ ระบบจะขอข้อมูลเกี่ยวกับการเข้ารหัส Google ใช้หมวดหมู่ EAR เดียวกับ Apple แต่กระบวนการเรียกว่า Export Compliance Review คำตอบจะถูกบันทึกและนำไปใช้กับบิลด์ในอนาคตทั้งหมด Google ไม่ต้องการ ERN สำหรับแอปส่วนใหญ่ — คำแถลงว่าเป็นตลาดมวลชนก็เพียงพอแล้ว
กระบวนการในคอนโซลนักพัฒนา
ใน Google Play Console ส่วน Export Compliance อยู่ในการตั้งค่าเนื้อหาแอป นักพัฒนาตอบคำถามสามข้อ: แอปมีการเข้ารหัสหรือไม่ มีไว้สำหรับตลาดมวลชนหรือไม่ และตรงตามข้อยกเว้น 740.17 หรือไม่? Google ไม่ตรวจสอบความถูกต้องของคำตอบจนกว่าจะมีการร้องเรียน อย่างไรก็ตาม BIS อาจขอเอกสาร และนักพัฒนาต้องให้เหตุผลสำหรับการจำแนกประเภท
ความแตกต่างระหว่าง Apple และ Google
ความแตกต่าง หลัก — Apple ต้องการ ERN สำหรับกรณีที่ซับซ้อน Google อาศัยการประกาศด้วยตนเอง App Store ขอ Export Compliance สำหรับทุกบิลด์ใหม่ Google Play ครั้งเดียวต่อแอป Apple ตรวจสอบคำตอบอย่างเข้มงวดกว่าและอาจปฏิเสธบิลด์ Google เพียงบันทึกข้อมูล ร้านค้าทั้งสองปฏิบัติตามกรอบกฎระเบียบ EAR เดียวกัน แต่กระบวนการดำเนินการแตกต่างกัน นักพัฒนาเพียงแค่ต้องเข้าใจการจำแนกประเภทครั้งเดียวเพื่อเผยแพร่บนทั้งสองแพลตฟอร์ม
ข้อผิดพลาดทั่วไปในการกรอกคำประกาศ
ข้อผิดพลาด Export Compliance แบ่งออกเป็นสามประเภท: การจำแนกประเภทการเข้ารหัสไม่ถูกต้อง การข้ามฟิลด์บังคับ และ ERN ไม่ถูกต้อง ที่พบบ่อยที่สุด — นักพัฒนาระบุว่าไม่มีการใช้การเข้ารหัส แม้ว่าแอปจะเรียกเมธอด CommonCrypto หรือ javax.crypto ที่พบบ่อยเป็นอันดับสอง — การเลือกหมวดหมู่ CCAT ไม่ถูกต้อง เมื่อแอปที่มี TLS 1.3 ถูกทำเครื่องหมายเป็นการเข้ารหัสที่ไม่ได้มาตรฐาน ที่สาม — การป้อน ERN ที่ไม่ถูกต้องซึ่งไม่ผ่านการตรวจสอบในฐานข้อมูล BIS
วิธีหลีกเลี่ยงการปฏิเสธบิลด์
แนะนำ ให้จัดทำรายการฟังก์ชันการเข้ารหัสทั้งหมดของแอปก่อนกรอกแบบฟอร์ม ตรวจสอบว่าไลบรารีใดถูกนำเข้าและ API การเข้ารหัสใดถูกเรียก สำหรับ iOS — ตรวจสอบการมีอยู่ของ CommonCrypto, Security.framework, OpenSSL สำหรับ Android — javax.crypto, android.security, Conscrypt หากแอปใช้ HTTPS ผ่านคำขอเครือข่ายมาตรฐานเท่านั้น แอปจะได้รับการยกเว้นจากการประกาศ หากมีข้อสงสัยแม้เพียงเล็กน้อย ให้เลือกตัวเลือกที่มีการประกาศ
การตรวจสอบสถานะการส่งออก
การตรวจสอบ Export Compliance เป็นประจำ ช่วยหลีกเลี่ยงการลงโทษเมื่ออัปเดตแอป หากมีการเพิ่มการเข้ารหัสในเวอร์ชันใหม่ จะต้องกรอกคำประกาศใหม่ Apple และ Google แจ้งนักพัฒนาหากหมวดหมู่แอปเปลี่ยนแปลง แนะนำให้ตรวจสอบอายุของ ERN ปีละครั้งและต่ออายุหากจำเป็น สำหรับโครงการขนาดใหญ่ที่มีแอปหลายสิบแอป การตรวจสอบอัตโนมัติผ่าน CI/CD ช่วยลดความเสี่ยงของข้อผิดพลาดของมนุษย์
คำถามที่พบบ่อย
ฉันจำเป็นต้องผ่าน Export Compliance หรือไม่หากแอปใช้เฉพาะ HTTPS?
ไม่ หาก HTTPS ถูกใช้งานผ่าน API ในตัวของระบบปฏิบัติการ (URLSession บน iOS, HttpURLConnection บน Android) โดยไม่เพิ่มใบรับรองที่กำหนดเองหรืออัลกอริทึมการเข้ารหัสแบบกำหนดเอง ก็ไม่จำเป็นต้องประกาศ ข้อยกเว้นคือการใช้ OpenSSL หรือไลบรารี TLS ของบุคคลที่สามอื่น ๆ
ERN คืออะไรและจะได้รับอย่างไร?
ERN (หมายเลขลงทะเบียนการเข้ารหัส) คือตัวระบุการลงทะเบียนประจำปีกับ BIS สามารถรับได้ฟรีผ่านระบบ SNAP-R บนเว็บไซต์ bis.gov โดยกรอกแบบฟอร์มแจ้งการจำแนกประเภท หมายเลขมีอายุ 1 ปีและครอบคลุมทุกเวอร์ชันของแอป
Apple สามารถปฏิเสธบิลด์เนื่องจาก Export Compliance ไม่ถูกต้องได้หรือไม่?
ได้ Apple สามารถปฏิเสธบิลด์ได้หากคำตอบ Export Compliance ขัดแย้งกันหรือไม่ตรงกับฟังก์ชันการทำงานของแอป ในกรณีนี้ นักพัฒนาจะได้รับข้อความจาก App Store Review ที่ระบุเหตุผลและสามารถอัปโหลดบิลด์อีกครั้งด้วยข้อมูลที่แก้ไขแล้ว
ข้อกำหนด Export Compliance แตกต่างระหว่าง Apple และ Google หรือไม่?
กรอบกฎระเบียบ EAR เหมือนกัน แต่กระบวนการแตกต่าง: Apple ตรวจสอบทุกบิลด์ Google ตรวจสอบครั้งเดียวต่อแอป Apple ต้องการ ERN สำหรับการเข้ารหัสที่ไม่ได้มาตรฐาน Google ยอมรับการประกาศด้วยตนเอง ร้านค้าทั้งสองปฏิบัติตามหมวดหมู่ CCAT และกฎของ BIS
จะเกิดอะไรขึ้นหากฉันไม่กรอก Export Compliance?
App Store และ Google Play บล็อก การอัปโหลดบิลด์หากไม่มีแบบฟอร์ม Export Compliance ที่สมบูรณ์ แอปจะไม่ผ่านการตรวจสอบและการเผยแพร่จะเป็นไปไม่ได้ สำหรับแอปที่เผยแพร่แล้ว การเปลี่ยนสถานะการส่งออกต้องใช้บิลด์ใหม่และการตรวจสอบซ้ำ
สรุป
- Export Compliance คือขั้นตอนบังคับในการประกาศการเข้ารหัสสำหรับการเผยแพร่บน App Store และ Google Play โดยยึดตามข้อบังคับ EAR
- การจำแนกประเภท CCAT แบ่งแอปเป็นหมวดหมู่ตลาดมวลชนและหมวดหมู่ที่ต้องใช้ใบอนุญาตส่วนบุคคล ผลิตภัณฑ์มือถือส่วนใหญ่อยู่ในหมวดหมู่แรก
- ERN คือหมายเลขลงทะเบียนประจำปีกับ BIS ที่ทำให้ Export Compliance ใน App Store ง่ายขึ้นเป็นเวลา 12 เดือน
- Apple ตรวจสอบทุกบิลด์ Google Play บันทึกสถานะครั้งเดียว ความรับผิดชอบต่อความถูกต้องของข้อมูลอยู่ที่นักพัฒนา
- แอปที่ไม่มีการเข้ารหัสของตัวเอง ได้รับการยกเว้นจากการประกาศ การใช้ API มาตรฐานของระบบปฏิบัติการไม่ต้องการการกรอกแบบฟอร์ม
- ข้อผิดพลาดทั่วไป — หมวดหมู่การเข้ารหัสไม่ถูกต้องและ ERN ไม่ถูกต้อง — แก้ไขได้โดยการอัปโหลดบิลด์อีกครั้งด้วยข้อมูลที่แก้ไขแล้ว
- แนะนำ ให้ดำเนินการตรวจสอบ Export Compliance กับการอัปเดตหลักทุกครั้งและต่ออายุ ERN เป็นประจำทุกปีเพื่อการเผยแพร่อย่างต่อเนื่อง
เราจะพัฒนาแอปพลิเคชันบนมือถือแบบครบวงจร
IT Sectr สร้างแอปพลิเคชัน iOS และ Android สำหรับสตาร์ทอัพและธุรกิจตั้งแต่ปี 2017 เราจะให้คำแนะนำและเสนอวิธีแก้ปัญหาที่ดีที่สุดแก่คุณ
อ่านเพิ่มเติม