『Androidアプリのセキュア設計・セキュアコーディングガイド』2026年9月16日版公開

2026年10月9日

2026年10月14日

報道関係各位

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　2026年9月16日

JSSEC、『Androidアプリのセキュア設計・セキュアコーディングガイド』
2026年9月16日版公開

一般社団法人日本スマートフォンセキュリティ協会

一般社団法人日本スマートフォンセキュリティ協会（JSSEC：会長佐々木良一）の技術部会セキュアコーディングWG（リーダー宮崎力）は、2012年6月に公開した『Android アプリのセキュア設計・セキュアコーディングガイド』（以下本ガイド）の18版目の改定版である2026年9月16日版を公開しました。

■2026年9月16日版の改訂内容

本ガイドでは主に以下を更新しました。

2025年8月27日版からの改訂内容

【下記の新しい記事を追加しました】
• 4.1.3.7. バックグラウンドアクティビティ起動（BAL）の制限強化
• 4.2.3.10. Bluetooth ボンドの損失に対する自律的な再ペア設定
• 4.3.3.2. 連絡先プロバイダ（CP2）の厳格化
• 4.4.3.5. バックグラウンドオーディオの制限強化
• 4.7.3.8. 暗黙的なURI権限付与の制限
• 4.7.3.9. プロファイル間のループバック制限
• 4.12. NFC・FeliCaを利用する
• 5.2.3.9. SMS OTP（ワンタイムパスワード）の保護強化
• 5.4.3.9. ECH（Encrypted Client Hello）の有効化
• 5.4.3.10. 証明書の透明性（CT）への対応
• 5.4.3.11. usesCleartextTrafficの非推奨化とHTTP通信の許可
• 5.5.3.15. Contact Pickerへの移行と連絡先データの適切な取り扱い
• 5.6.3.10. アプリごとのAndroid Keystore（鍵）上限

【下記の構成・内容を見直し拡充しました】
• 4.6.3.7. DCL (Dynamic Code Loading) の安全性の強化
• 5.1. 認証（パスワード・パスキー）画面を作る
• 5.4.1.1. HTTP通信する
• 5.4.1.2. HTTPS通信する
• 5.5.3.6. 位置情報アクセスについて
• 5.5.3.7. ローカルネットワークへのアクセス権

【下記の記事を削除しました】
• 4.1.3.7. 安全なバックグラウンドアクティビティの起動

今回は、最新版のAndroid 17における変更点を中心に改訂いたしました。Android 17では、バックグラウンドからのアクティビティ起動（BAL）の制限強化やプロファイル間のループバック制限、暗黙的なURI権限付与の制限など、アプリ動作やプロセス間通信の制御が一段と厳格化されています。また、HTTP通信を制御するusesCleartextTrafficの非推奨化をはじめ、TLSハンドシェイク時のSNIを暗号化するECH（Encrypted Client Hello）の有効化や証明書の透明性（CT）の自動検証、ローカルネットワーク権限の必須化など、最新の通信セキュリティ仕様への対応を詳しく解説しています。さらに、SMS OTP（ワンタイムパスワード）の保護強化や連絡先プロバイダ（CP2）アクセスの厳格化とContact Pickerへの移行、物理デバイスからのパスワード表示制限といった、プライバシー保護およびユーザーデータの適切な取り扱いに関する記述を大幅に拡充しました。加えて、ネイティブ動的コード読み込み（DCL）の安全化やNFC・FeliCaの安全な利用方法、アプリごとのAndroid Keystoreの上限設定など、現行の開発環境で直面する技術的課題とその対策を体系的に網羅し、より実践的に活用できるガイドラインへと改善しました。

■本ガイド概要

本ガイドはAndroidアプリケーションのセキュリティを考慮した設計・開発のノウハウを集めた⽂書です。アプリケーション開発現場で「使う」ことを想定した⽂書構成が特徴です。各テーマの⽂書は、忙しい開発者向けにお⼿本となるサンプルコードを紹介したサンプルコードセクション、サンプルコードの背景にあるセキュリティ観点の留意事項をまとめたルールブックセクション、さらにセキュリティの理解を深めるための話題をまとめたアドバンストセクションで構成されています。

【特徴】
• 開発者視点で構成された「使える」ガイド文書
• コピーペーストして使える安全なサンプルコード付き！「Apache License 2」で商用利用可
• タイムリーなノウハウ共有が前提、継続的な内容拡充・改善

『Android アプリのセキュア設計・セキュアコーディングガイド2026年9月16日版』
【ガイド文書（HTML）】
https://www.jssec.org/dl/android_securecoding_20260916/index.html
【ガイド文書（PDF）】
https://www.jssec.org/dl/android_securecoding_20260916.pdf
【サンプルコード一式（ZIP圧縮）】
https://www.jssec.org/dl/android_securecoding_20260916.zip

【日本スマートフォンセキュリティ協会について】
2011年5月に設立され、2012年4月に法人化された日本スマートフォンセキュリティ協会は、個人ならびにビジネス分野での普及、利活用が進む一方、さまざまなセキュリティ上の課題に直面しており、それらを解決し安心安全な普及促進を目指しています。今やスマートフォンなどの社会と人を繋ぐという重要な役割を果しています。これまでのスマートフォン自体の安心安全な利活用における普及啓発をはじめ、その先のクラウド、IoTや未来にあるICTの安心安全な普及啓発を行ってまいります。

【お客様からのお問い合わせ先】
日本スマートフォンセキュリティ協会　事務局
Tel: 03-6757-0159　 E-mail: sec@jssec.org

【報道機関からのお問い合わせ先】
日本スマートフォンセキュリティ協会　事務局
Tel: 03-6757-0159　 E-mail: press@jssec.org

＊その他、記載されている製品名、社名は各社の商標または登録商標です。

本ガイドに関する過去のニュースはこちら：

旧バージョンのガイドのダウンロードはこちら：

2026年10月9日

2026年10月14日

よく読まれている記事