nexsight cyber intelligence / signal online wire desk · issue 663
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

規制・コンプライアンス / COMPLIANCE / TLS / SANCTIONS

Let's Encryptの利用規約が米国の制裁条項を明確化 — 制裁対象者への証明書発行は「事前の通知なく」拒否できると明記

無料のTLS証明書を発行するLet's Encryptを運営する米国の非営利団体ISRGは、2026年6月4日発効の利用規約（Subscriber Agreement）v1.7で米国の制裁に関する保証条項を追加し、利用者の間で混乱が広がった。ISRGは6月22日に説明を投稿し、2026年7月6日発効のv1.8でこの条項を置き換えて「適用法令の遵守」の節を新設した。同節は、ISRGが利用者を米国の制裁・輸出管理法令上の禁止・制限対象者と判断した場合、事前の通知なく新規証明書の発行を拒否し、サービスを停止・終了できると定めている。ISRGは「法律上許される範囲では発行を続ける」としており、実際に制裁対象とされた企業のドメインが発行を拒否された事例が、同団体のコミュニティで報告されている。

規制・コンプライアンス NEXSIGHT CYBER WIRE 編集部 5–7 min read
ソフトウェア

要点

  • 無料のTLS証明書を発行するLet’s Encryptを運営する米国の非営利団体ISRGは、2026年6月4日発効の利用規約（Subscriber Agreement）v1.7で、契約者が米国の制裁対象者に該当しないことを保証する条項を追加した。文言が関連法の全体像を示していないとして利用者の間に混乱が広がり、ISRGは2026年6月22日に説明を投稿した。
  • 2026年7月6日発効のv1.8でISRGはこの条項を置き換え、**「第5条 適用法令の遵守」**を新設した。この節は、ISRGが利用者を制裁・輸出管理法令上の禁止・制限対象者と判断した場合、事前の通知なく新規証明書の発行を拒否し、サービスを停止・終了できると定めている。
  • ISRGはv1.8について、**「証明書を発行する相手や地域を変更するものではない」「法律上許される範囲では発行を続ける」**と説明している。同団体は、通信サービスの継続的な利用可能性を促進するための権限（authorizations）に基づき、包括的な制裁対象国でも非政府の個人・組織への発行は続けているとしている。
  • Let’s Encryptのコミュニティフォーラムには2026年9月8日、制裁対象とされたロシア企業のドメインがACMEサーバーから「ポリシーにより禁止」として拒否された事例が報告されている。

米国の非営利団体**ISRG（Internet Security Research Group）**は、無料のTLS証明書を発行するLet’s Encryptの利用規約（Subscriber Agreement）を相次いで更新し、米国の制裁・輸出管理法令への対応を条文に明記した。証明書の発行は技術的な手続きであると同時に、米国の法令に従って行われる手続きでもあることが、条文と同団体の説明から読み取れる。

今回の経緯は、規約の改定そのものが利用者の混乱を招き、ISRGが説明を重ねたという流れで進んだ。以下、一次情報に基づいて整理する。

何が変わったのか — v1.7の条項追加とv1.8での置き換え

変更は2段階で行われた。

第1段階（2026年6月4日発効／v1.7） — ISRGは、契約者の保証事項を定めた第3.1条に、次の内容を新たに追加した。契約者は、(a) 包括的な米国制裁の対象となっている国・地域に所在し、その法律に基づいて設立され、または常居していないこと、(b) 米国などの制裁・輸出管理法令上の禁止または制限の対象者ではないこと、(c) (a)または(b)に該当する者に所有・支配され、またはそのために行動していないことを保証し、米国の輸出管理・制裁法令を守って証明書やサービスを利用することに同意する、という内容である。

第2段階（2026年7月6日発効／v1.8） — この条項は削除され、代わりに第5条「適用法令の遵守」が新設された。同条はまず、両当事者が、データプライバシー、輸出管理、経済制裁を含む適用法令を守ることを定める。そのうえで、ISRGが利用者を米国などの制裁・輸出管理法令上の禁止または制限対象者と判断した場合、またはそうした者に所有・支配され、またはそのために行動していると判断した場合、ISRGは事前の通知なく、新規証明書の発行を拒否し、サービスの提供を停止もしくは終了し、その他法令上必要または適切と判断する措置を取ることができると明記している。

つまり、v1.7で「契約者が自ら保証する」形だった制裁への対応は、v1.8では「ISRGが判断して発行を止められる」という運用ルールとして書き直された。実務上の効果は、制裁対象と判断された利用者に対して、予告なく証明書の新規発行や更新が止まりうるという点にある。

ISRGの説明 — 「発行する相手や地域を変えるものではない」

ISRGは2026年6月22日、Let’s Encryptのコミュニティに**「Let’s Encryptの利用規約をv1.8に更新する」**と題する説明を投稿した。内容は次のとおりである。

  • v1.7での変更は、米国の制裁に関する法的要件を可視化するためのものだったが、文言が関連法の全体像を示しておらず、コミュニティの利用者に混乱と懸念を招いた。ISRGはこれを謝罪している。
  • v1.8は、v1.7で追加された制裁条項を、適用法令（米国の輸出管理・制裁規制を含む）の遵守に関する新しい節に置き換えるものである。
  • この節は、**「ISRGが適用法を守ることは、Let’s Encryptが証明書の発行を始めたときから常に変わらない」**ことを条文上明らかにするものだとしている。
  • 改定は、「私たちが創業以来続けてきた方針と実務に条文を合わせるもの」であり、「証明書を発行する相手や地域を変更するものではない」。**「法律上発行が許される場所では、これからも発行を続ける」**と説明している。
  • 制裁上、特定の禁止・制限対象者には証明書を発行できない一方、インターネット通信サービスの継続的な利用可能性を促進するために設けられた重要な権限（authorizations）を利用しており、この権限がある包括的な制裁対象国・地域では、非政府の個人や組織への発行を止めていないとしている。

実際に起きた発行拒否 — ロシア企業のドメインが「ポリシーにより禁止」

利用規約の変更が実際の発行拒否につながった事例が、Let’s Encryptのコミュニティフォーラムに報告されている。2026年9月8日に投稿されたスレッドでは、ロシアの企業（JOINT STOCK COMPANY PRODUCTION ASSOCIATION SEVER）の担当者が、自社のメール用ドメイン**mail.posever.ruとmail2.posever.ruについて、それまで問題なく取得・更新できていた証明書の発行がACMEの新規注文の段階で即座に失敗する**ようになったと報告している。

エラーは**urn:ietf:params:acme:error:rejectedIdentifierで、詳細は「Cannot issue for “mail.posever.ru”: The ACME server refuses to issue a certificate for this domain name, because it is forbidden by policy」（このドメイン名には証明書を発行できない。ACMEサーバーがポリシー上禁止しているため）という内容だった。投稿者は制裁に関連するポリシーなのか確認を求めており、スレッドでは米財務省外国資産管理室（OFAC）の制裁リスト検索**が根拠として示され、v1.8に関するISRGの説明が参照されている。このスレッドにISRGの担当者からの個別の回答は掲載されておらず、フォーラムの運用により投稿から2日後に自動で閉じられた。

背景 — 制裁執行の動きと、報道されている影響

米国の制裁は、米国財務省外国資産管理室（OFAC）が運用する制裁プログラムに基づき、米国の個人や企業が制裁対象者と取引することを禁じる。主要な認証局（CA）やルート証明書の発行主体には、米国に拠点を置く組織が多く含まれるため、制裁対象とされた組織は米国の認証局から信頼される証明書を得られなくなり、HTTPSで保護されたサイトを維持できなくなる。

制裁の執行は現在も動いている。米財務省のOFACは2026年9月14日、イランの制裁回避に関与したとして、ロシアのVTB銀行を制裁対象に指定したと発表した。イランの金融セクターを対象とする大統領令13902に基づく措置で、発表ではVTBが「世界で最も包括的に制裁された金融機関の一つ」になったとしている。

イラン国内のメディアは、イランの銀行がウェブサイトの証明書を失い、予備のドメインへ利用者を誘導していると報じている。ただし、この点は当サイトで独立に確認できていないため、報道として紹介するにとどめる。

日本に関係する点

Let’s Encryptは無料で取得できるTLS証明書として、日本国内でも企業・個人のサイトで広く使われている。ISRGが示した判断基準は**「米国などの制裁・輸出管理法令上の禁止・制限対象者に該当するか」であり、同団体は「証明書を発行する相手や地域を変更するものではない」と説明している。日本の利用者の多くはこの基準に該当しないと考えられるが、条文上は禁止・制限対象者に所有・支配され、またはそのために行動している場合も対象**となるため、海外のグループ会社や拠点との関係によっては該当しうる点は押さえておきたい。

米財務省のOFACは、**制裁対象者の公開リストを検索できる「Sanctions List Search」**を提供しており、Let’s Encryptのコミュニティでもこのリストが根拠として参照されている。あわせて、Let’s Encryptの利用規約（v1.8）とISRGの説明が、発行の可否を判断する際の一次情報となる。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。