OP, SP, CA の有効期間
本ページでは Originator Profile (OP)、Site Profile (SP)、Content Attestation (CA) の有効期間の考え方と、有効期間内に必要な再発行・再設置の運用、発行者が指定する有効期間の決め方について説明します。個別の VC のプロパティ仕様や検証プロセスは Originator Profile Blueprint (OPB) の各ページを参照してください。
有効期間の考え方
OP や CA を構成する VC は、VC-JOSE-COSE の JWT クレーム iat (issued at) と exp (expiration time) によって有効期間 [iat, exp) を持ちます (詳細は OP VC Securing Mechanism を参照)。
OP は単体の VC ではなく、Core Profile (CP)、Web Media Profile (WMP)、Profile Annotation (PA) を組み合わせたデータ形式です (Originator Profile の仕組み を参照)。したがって OP としての有効期間は、含まれる CP、WMP、PA すべての有効期間の共通部分になります。
Site Profile (SP) は Website Profile (WSP) と OP を包含する配布形式なので、SP としての有効期間は WSP と OP の有効期間の共通部分になります。
Content Attestation (CA) は独立した VC として、自身の有効期間を持ちます。
いずれについても、有効期間を延長する仕組みは用意していません。有効期間内に再発行と再設置を繰り返すことでのみ維持できます。詳細は OP VC Securing Mechanism のセキュリティ を参照してください。
Originator Profile (OP) の有効期間
OP 全体の有効期間の決まり方
OP は CP、WMP、PA の 3 種類の VC を組み合わせたデータ形式です。それぞれの VC が独立した iat、exp を持つため、OP としての有効期間は含まれる VC すべての有効期間の共通部分になります。
CP と WMP の有効期間
CP と WMP の有効期間は、いずれも発行日から 398 日です (exp = iat + 398 days)。
PA の有効期間
PA では、次の 2 種類の有効期間を扱います。
- 署名の有効期間 (
iat、exp): PA そのものが検証可能な期間。 - 内容の有効期間 (
validFrom、validUntil): PA が表明する対象 (例: 認証、登録証など) が有効な期間。対象に期限がない場合は指定しません。
PA の有効期間は、発行日から 398 日、または内容の有効期間のうち短い方になります。内容に有効期間がある場合、validFrom ≤ iat かつ exp ≤ validUntil を満たすように iat、exp を設定します (詳細は Profile Annotation (PA) を参照)。
PA 種別ごとの validFrom と validUntil の記載有無と記載内容は次の通りです。
| PA 種別 | validFrom | validUntil |
|---|---|---|
| Profile Annotation Issuer 登録証 PA | 記載しない | 記載しない |
| 組織実在証 PA | 記載しない | 記載しない |
| 自治体認証 PA | 記載しない | 記載しない |
| 報道機関登録証 PA | 報道機関として登録された時点を記載 | 記載しない |
| 広告認証 PA | 広告認証が交付された時点を記載 | 広告認証の有効期限を記載 |
内容の有効期間が 398 日より短い PA を保有している場合、OP 全体の有効期間も対象 PA の期限に従って短くなります。対象 PA の期限が切れる前に OP を再発行し、SP を更新設置する必要があります。
有効期間内に必要な運用
OP を維持するには、OP の有効期間が切れる前に OP レジストリ で OP を再発行し、それを含む SP を更新設置します。SP の設置手順の詳細は Site Profile の設置 を参照してください。
Website Profile (WSP) の有効期間
発行時の指定
WSP の有効期間は、発行時に指定した iat、exp で決まります。デフォルト値は発行から 1 年です。有効期間の長さの決め方は WSP と CA の有効期間の決め方 を参照してください。
現状は有効期間の長さに制約を設けていませんが、長期有効な WSP には将来的に上限を導入することを想定しています。
有効期間内に必要な運用
WSP は独立した iat、exp を持ちますが、WSP の有効性はその WSP を発行する組織の OP の有効性に依存するため、WSP の実質的な有効期間は WSP と OP の有効期間の共通部分になります。
WSP を維持するには、WSP とその WSP を発行する組織の OP の有効期間が切れる前に再発行し、それらを含む SP を更新設置します。SP の設置手順の詳細は Site Profile の設置 を参照してください。
Site Profile (SP) の有効期間
SP は WSP と OP を包含する配布形式で、SP 自体は VC 署名を持ちません (SP のデータ形式は Site Profile を参照)。したがって SP としての有効期間は、含まれる WSP と OP の有効期間の共通部分になります。
WSP または OP のいずれかの有効期間が切れる前に、該当する VC を再発行して SP を更新設置してください。SP の設置手順の詳細は Site Profile の設置 を参照してください。
Content Attestation (CA) の有効期間
発行時の指定
CA の有効期間は、CA Server (Content Attestation を発行するサーバー。詳細は CA Server を使用する方法 を参照) で発行時に指定した iat、exp で決まります。デフォルト値は発行から 1 年です。有効期間の長さの決め方は WSP と CA の有効期間の決め方 を参照してください。
現状は有効期間の長さに制約を設けていませんが、長期有効な CA には将来的に上限を導入することを想定しています。
有効期間内に必要な運用
CA は独立した iat、exp を持ちますが、CA の有効性はその CA を発行する組織の OP の有効性に依存するため、CA の実質的な有効期間は CA と OP の有効期間の共通部分になります。
CA を維持するには、CA とその CA を発行する組織の OP の有効期間が切れる前に CA Server での CA 再発行と OP レジストリ での OP 再発行をおこない、Content Attestation Set (CAS) と 再発行した OP を含む SP を更新設置します。CAS の HTML への紐付け も適宜更新してください。SP の設置手順の詳細は Site Profile の設置 を参照してください。
OP の再発行に連動して CA を再発行する必要はありません。OP が有効期間内にあり、かつその OP に含まれる CP から配布する公開鍵が変わらない限り、既存の CA は引き続き有効です。
WSP と CA の有効期間の決め方
WSP と CA の有効期間は、発行者が発行時に指定します。 2026 年 10 月時点の指針は次のとおりです。
- 通常、1 年以下を推奨します。
- ES256 で署名する場合、発行から 3〜4 年を超える有効期間は推奨しません。
- 有効期間を長くしても、OP の再発行と SP の更新設置は引き続き必要です。
- この指針は毎年見直します。
有効期間を短く保つ理由
発行済みの WSP や CA は、有効期間が満了するか、署名に使った公開鍵を OP の CP から取り除くと、有効でなくなります (失効)。 公開鍵を取り除くと、同じ鍵で署名したすべての VC がまとめて失効します。 個別の CA だけを取り消す仕組みはないため、ある CA を失効させるには有効期間の満了を待つことになります。
したがって、有効期間の長さは、WSP や CA が検証に成功する期間の上限になります。 たとえば記事を取り下げた後も、その CA がウェブページの複製などに残っていれば、有効期間が切れるまで検証に成功します。 一方、有効期間を短くすると、再発行と再設置の頻度が増えます。
この負担を理由に有効期間を長くする前に、再発行と再設置の自動化を検討してください。 自動化すれば、有効期間を短く保ったまま運用の負担を減らせます。
VC の失効と、検証結果の無効は別の概念です。 無効は検証結果の状態の一つで、確定した検証結果が、検証入力の変化や時刻の経過によって現在の検証対象に対して有効でなくなったことを指します。 たとえば CA の有効期間が満了すると、CA は失効し、その有効期間の検証を含む検証結果は無効になります。
署名アルゴリズムの寿命
有効期間を長くするには、署名に使った暗号アルゴリズムを期間の満了まで信頼できることが前提になります。
暗号アルゴリズムの利用期間を定める文書では、署名の検証が必要な期間がアルゴリズムの寿命を超える場合、そのアルゴリズムで新たに署名しないよう推奨しています12。
WSP と CA では署名の検証が exp まで続くため、exp は署名アルゴリズムの寿命より前に設定する必要があります。
寿命を過ぎた後の署名の検証は、署名の正当性を確認する別の対策を併用する場合に限って許容されています2。
ES256 (ECDSA P-256、セキュリティ強度 128 ビット) の利用期間について、主な文書には次の記載があります。
| 文書 | ES256 に関する記載 |
|---|---|
| NIST SP 800-57 Part 1 Rev.5 (2020 年 5 月) | 署名鍵の推奨暗号利用期間は 1〜3 年、検証鍵は鍵長に応じて数年。アルゴリズムごとの年数は示していない。128 ビット強度は 2031 年以降も Acceptable |
| CRYPTREC LS-0003-2022R1 (2022 年 3 月) | 128 ビット強度の署名生成は 2040 年まで利用可 |
NIST SP 800-57 と CRYPTREC の設定基準は、量子計算機の影響を反映していません。 量子計算機の影響を踏まえた耐量子計算機暗号 (PQC) への移行については、次の方針や文書があります。 指針の上限 (3〜4 年) は、2026 年に発行した WSP や CA がこれらの移行期限より前に満了するように定めた目安です。
- Executive Order 14412 (2026 年 6 月): 米国連邦政府の高価値資産と高影響システムは、デジタル署名を 2031 年末までに PQC へ移行する。
- 政府機関等における耐量子計算機暗号 (PQC) への移行について (中間とりまとめ) (2025 年 11 月): 政府機関等は原則として 2035 年を目処に PQC へ移行する。
- CRYPTREC 暗号リスト (LS-0001-2022R2) (2026 年 3 月): PQC リストを新設したが、署名アルゴリズムは掲載しておらず、追加を検討中としている。また、設定基準 (LS-0003-2022R1) の見直しを検討する予定であり、当面は PQC リストの公開鍵暗号に設定基準を適用しないとしている。
- NIST IR 8547 (Initial Public Draft、2024 年 11 月): 128 ビット以上の強度の ECDSA を 2035 年より後は使用禁止 (Disallowed) とする。
- NIST SP 800-131A Rev.3 (Initial Public Draft、2024 年 10 月): 128 ビット以上の強度の ECDSA は署名生成と検証のいずれも Acceptable とするが、PQC への移行によって変わりうると注記している。また、検証が Legacy use に移ったアルゴリズムで検証したデータは、既定では保護されていないデータと同等に扱うべきだとしている (Section 1.2.2)。
VC 種別ごとの有効期間
OP および SP は独立した VC ではないため、一覧には含めていません。OP の有効期間は下記表の CP と WMP と PA の有効期間の共通部分であり、SP の有効期間は下記表の WSP と OP の有効期間の共通部分として決まります。
| VC 種別 | 発行主体 | 署名の有効期間 (iat, exp) | 追加の期間制約 | 再発行・再設置の契機 |
|---|---|---|---|---|
| CP | OP レジストリ | 発行日から 398 日 | なし | 期限前に OP を再発行し SP を更新設置 |
| WMP | OP レジストリ | 発行日から 398 日 | なし | 期限前に OP を再発行し SP を更新設置 |
| PA | PA 発行者 | 発行日から 398 日または内容の有効期間のうち短い方 | validFrom ≤ iat、exp ≤ validUntil | いずれかの期限前に OP を再発行し SP を更新設置 |
| WSP | 発信者 | 発行時に指定 (デフォルト 1 年) | OP の有効期間と交差 | 期限前に WSP と OP を再発行し SP を更新設置 |
| CA | 発信者 | 発行時に指定 (デフォルト 1 年) | OP の有効期間と交差 | 期限前に CA と OP を再発行し CAS と SP を更新設置 |