Let's Encrypt Updates Subscriber Agreement to Ban Sanctioned Territories

Let's Encryptは、包括的な米国の制裁対象となっている地域に所在する団体や個人に対する証明書の交付および使用を明示的に禁止するため、加入者契約（Subscriber Agreement）を更新しました。この動きにより、認証局（CA）は米国の輸出管理および制裁法に準拠することとなり、いくつかの制裁対象地域におけるサービスの提供を事実上禁止することになります。

New Compliance Requirements in Subscriber Agreement

2026年6月4日より、Let's Encryptは米国法への準拠を確実にするため、加入者契約に特定の条項を導入しました。更新された規約では、加入者が以下のいずれかに該当する場合、加入者となることはできません：

• 包括的な米国の制裁対象となっている国または地域に所在する、その法律に基づいて組織された、または通常居住している。
• 米国またはその他の適用される制裁および輸出管理の法律および規制に基づき、禁止または制限されている当事者である。
• 上記の基準を満たす個人または団体によって所有または管理されている、あるいはそれらの代理として行動している。

さらに、契約では、Let's Encryptの証明書およびInternet Security Research Group (ISRG) が提供するサービスのすべてのユーザーは、適用される米国の輸出管理および制裁の法律および規制を遵守しなければならないと定めています。

Technical and Security Implications

制裁対象地域における信頼された証明書の制限は、それらの地域のユーザーにいくつかの重大なセキュリティリスクをもたらします。Let's Encryptのような世界的に信頼されたCAにアクセスできない場合、現地の団体は国が発行する証明書に頼らざるを得なくなる可能性があります。

Increased Risk of Man-in-the-Middle (MitM) Attacks

業界のオブザーバーは、信頼されたグローバルな証明書が利用できなくなった場合、政府がユーザーに対し、現地のサービスへのアクセスを維持するために、国が管理するルート証明書をインストールさせる可能性があると指摘しています。これは重大な脆弱性となります：

As soon as all local services will stop working in sanctioned countries, those countries' governments will force all users to either install a root certificate or lose access to all local services and websites. And then it will be possible to use that root certificate for MITM attacks.

Centralization Risks

この動きは、単一の支配的な証明書プロバイダーに依存することのシステム的なリスクをハイライトしています。ウェブの証明書の大部分がLet's Encryptによって発行されているため、政治的または法的命令に基づいて単一の団体がアクセスを拒否または取り消すことができる能力は、ウェブの暗号化における単一障害点（single point of failure）を生み出します。

Community Response and Alternatives

この発表は、法的遵守と、すべての人に安全でプライバシーを尊重するウェブを提供することという使命との間の緊張関係について、大きな議論を巻き起こしています。

Criticism of Mission Alignment

批判的な立場の人々は、これらの制限が、公衆に利益をもたらし、いかなる組織の管理下にも置かれないというLet's Encryptの掲げる目標と矛盾すると主張しています。一部のユーザーは、暗号化の必要性が最も高いのは、現在サービスから除外されているまさにその地域であると示唆しています。

Alternative Certificate Authorities

Let's Encryptの代替案を求めるユーザー、特に米国以外のプロバイダーを求めているユーザーは、いくつかの選択肢を提案しています：

• Actalis: EUベースの代替案。
• ZeroSSL: 別の欧州ベースのプロバイダー。

Strategic Concerns

一部のコミュニティメンバーは、有効期限の短い証明書（例：7日間の証明書）とこれらの制裁の組み合わせにより、米国政府の要請に応じて特定の団体をインターネットから迅速に隔離することが可能になると懸念を表明しています。