Let's Encrypt הוסיפה להסכם המנוי אחריות בדבר סנקציות אמריקאיות

Let's Encrypt עדכנה את התנאים המשפטיים החלים על תעודות ה-TLS החינמיות שלה. גרסה 1.7 של הסכם המנוי, מיום 4 ביוני 2026, מוסיפה אחריות חדשה: המבקש תעודה צריך לאשר שאינו כפוף לסנקציות אמריקאיות. המסמך פורסם כהשוואת שינויים מול הגרסה הקודמת.

מה כתוב בסעיף החדש

השינוי נמצא בסעיף 3.1, שבו מפורטות האחריות שהמנוי מקבל על עצמו בעת בקשת תעודה, קבלתה או שימושה. הנוסח שנוסף אומר: „אינך אדם או גוף ש-(א) נמצא, מאוגד לפי חוקי או מתגורר דרך קבע בשטח שהוא יעד של סנקציות אמריקאיות מקיפות; (ב) הוא צד אסור או מוגבל לפי דיני הסנקציות ובקרת היצוא של ארה"ב או דינים רלוונטיים אחרים; או (ג) נמצא בבעלות או בשליטה של מי שמתואר ב-(א) או ב-(ב), או פועל מטעמו". המנויים גם מתחייבים להשתמש בתעודות ובשירותים של ISRG בהתאם לדיני בקרת היצוא והסנקציות החלים.

מה יקרה לתעודות קיימות

ההסכם נכנס לתוקף ברגע בקשת התעודה ונשאר בתוקף כל עוד למנוי יש תעודה בת תוקף, כולל חידושים אוטומטיים. סעיף 3.2 קובע שאם אחת האחריות בסעיף 3.1 מפסיקה להיות נכונה, על המנוי לבקש מ-ISRG מיד לבטל את התעודות הנוגעות בדבר. אפשר לבקש תעודות חלופיות לפני הביטול, בתנאי שהאחריות מתקיימת גם לגביהן.

שאר התנאים לא השתנו. התעודות נשארות רכוש ISRG, שמעניקה רישיון ללא תמלוגים לשכפולן ולהפיצן במלואן; ISRG רשאית לסרב לבקשה או לבטל תעודה לפי שיקול דעתה הבלעדי; ואסור להשתמש בתעודות בארכיטקטורות תוכנה או חומרה שמאפשרות פגיעה בתקשורת מוצפנת, כמו האזנה פעילה או ניהול תעבורה של תחומים שאינם בבעלות המשתמש.

מדוע זה חשוב

את Let's Encrypt מפעילה Internet Security Research Group, עמותה אמריקאית, והתעודות שלה מאבטחות חלק ניכר מתעבורת ה-HTTPS ברשת. הסעיף מנוסח כאחריות שהמנוי מצהיר עליה, ולא כתיאור של סינון טכני אוטומטי, ולכן ההשפעה המעשית תלויה באופן האכיפה. אפשר לתקן את ההסכם: גרסאות חדשות מתפרסמות לפחות ארבעה עשר יום לפני כניסתן לתוקף, ושינויים מהותיים מסומנים במספר גרסה חדש בפרוטוקול ACME, שאותו ניתן להגדיר בתוכנת הלקוח. הדין החל הוא קליפורניה, ותביעות יש להגיש בסן חוסה בתוך שנה מהנזק הנטען.