暗号化メディア拡張機能

requestMediaKeySystemAccess() は、文字列 encrypted-media によって識別される ポリシー制御機能 です。 その デフォルト許可リスト は 'self' です [PERMISSIONS-POLICY].

WebIDL[Exposed=Window]
partial interface Navigator {
  [SecureContext] Promise<MediaKeySystemAccess> requestMediaKeySystemAccess (
      DOMString keySystem,
      sequence<MediaKeySystemConfiguration> supportedConfigurations);
};

WebIDLenum MediaKeysRequirement {
  "required",
  "optional",
  "not-allowed"
};

MediaKeysRequirement 列挙型は以下のように定義されます:

WebIDLdictionary MediaKeySystemConfiguration {
  DOMString                               label = "";
  sequence<DOMString>                     initDataTypes = [];
  sequence<MediaKeySystemMediaCapability> audioCapabilities = [];
  sequence<MediaKeySystemMediaCapability> videoCapabilities = [];
  MediaKeysRequirement                    distinctiveIdentifier = "optional";
  MediaKeysRequirement                    persistentState = "optional";
  sequence<DOMString>                     sessionTypes;
};

辞書 MediaKeySystemConfiguration は以下のメンバーを持ちます:

label 型 DOMString、デフォルト値 ""

オプションのラベルで、MediaKeySystemConfiguration が getConfiguration() メソッドで返される際に保持されます。 MediaKeySystemAccess のメソッドです。

initDataTypes 型 sequence<DOMString>、デフォルト値 []

サポートされる Initialization Data Type 名のリストです。このオブジェクトの Initialization Data Type 機能は、リストが空または他のすべてのメンバーと共にサポートされる値が1つ以上含まれていればサポートされていると見なされます（アルゴリズムで判定）。列の値は空文字列であってはなりません（MUST）。

audioCapabilities 型 sequence<MediaKeySystemMediaCapability>、デフォルト値 []

サポートされる音声タイプと機能のペアのリストです。このオブジェクトの音声機能はリストが空か他のすべてのメンバーと共にサポートされる値が1つ以上含まれていればサポートされていると見なされます（アルゴリズムで判定）。値間に競合がある場合は、先の値が選択されます。空リストは音声機能がサポートされないことを示します。この場合、videoCapabilities メンバーは空であってはなりません。

videoCapabilities 型 sequence<MediaKeySystemMediaCapability>、デフォルト値 []

サポートされる映像タイプと機能のペアのリストです。このオブジェクトの映像機能はリストが空か他のすべてのメンバーと共にサポートされる値が1つ以上含まれていればサポートされていると見なされます（アルゴリズムで判定）。値間に競合がある場合は、先の値が選択されます。空リストは映像機能がサポートされないことを示します。この場合、audioCapabilities メンバーは空であってはなりません。

distinctiveIdentifier 型 MediaKeysRequirement、デフォルト値 "optional"

Distinctive Identifier(s) の使用が必要かどうか。

このメンバーが "not-allowed" の場合、実装はこの構成から生成されたいかなるオブジェクトの処理において Distinctive Identifier(s) または Distinctive Permanent Identifier(s) の使用 を MUST NOT 行ってはなりません。

persistentState 型 MediaKeysRequirement、デフォルト値 "optional"

状態の永続化機能が必要かどうかを示します。これにはセッションデータやその他の種類の状態が含まれます。

このメンバーが "not-allowed" の場合、CDM はこのオブジェクトの origin や Document、アプリケーションに関連するいかなる状態も永続化してはなりません（MUST NOT）。

注

このメンバーに関して、永続状態にはキーシステム実装が管理する永続的な一意識別子（Distinctive Identifiers）は含みません。distinctiveIdentifier がこの要件を個別に反映します。

永続状態がサポートされない場合は、"temporary" セッションのみ作成可能です。

注

"temporary" セッションでは、状態の保存の必要性や可能性はキーシステム実装依存であり、使用される機能によって異なる場合があります。

注

"temporary" 以外のセッションを作成したいアプリケーションは、 requestMediaKeySystemAccess() 呼び出し時にこのメンバーを "required" に設定すべきです。

sessionTypes 型 sequence<DOMString>

サポートされなければならない MediaKeySessionType のリストです。すべての値がサポートされている必要があります。

このメンバーが辞書に 存在しない [Infra] 状態で requestMediaKeySystemAccess() に渡された場合、[ "temporary" ] が設定されているものとして扱われます。

実装はこの辞書にメンバーを追加すべきではありません（SHOULD NOT）。もし追加する場合、型は MediaKeysRequirement にしなければならず（MUST）、デフォルト値は "optional" とすることが推奨されます（RECOMMENDED）。これにより最も幅広いアプリケーションとクライアントの組み合わせをサポートできます。

この辞書は CDM に状態やデータを渡すために使用してはなりません（MUST NOT）。

WebIDLdictionary MediaKeySystemMediaCapability {
  DOMString contentType = "";
  DOMString? encryptionScheme = null;
  DOMString robustness = "";
};

このオブジェクトが表す機能がサポートされているとみなされるためには、contentType は空文字列であってはならず（MUST NOT）、値全体（すべてのコーデックを含む）が robustness とともにサポートされていなければなりません（MUST）。

keySystem 型 DOMString、readonly

使用される Key System を識別します。

getConfiguration()

requestMediaKeySystemAccess() アルゴリズムによって選択されたサポートされる構成オプションの組み合わせを返します。

返されるオブジェクトは、最初に満たされた MediaKeySystemConfiguration 構成（+暗黙のデフォルト）からなる非厳密な部分集合です。これは requestMediaKeySystemAccess() の呼び出しに渡され、その呼び出しで解決されたプロミスに対応します。その単一構成で指定されていない機能（暗黙のデフォルト以外）は含まれず、Key System 実装のすべての機能を必ずしも反映しません。構成内のすべての値は任意の組み合わせで使用できます。型 MediaKeysRequirement のメンバーは、どの組み合わせでその機能が要求されるかを反映します。これらは "optional" の値にはなりません。

このメソッドが呼び出された際、ユーザーエージェントは次の手順を 必ず実行しなければなりません:

1. このオブジェクトの configuration の値を返します。

   注

   このメソッドが呼び出されるたびに configuration から新しいオブジェクトが作成・初期化されます。

   注

   encryptionScheme がアプリケーションによって指定されなかった場合でも、累積された configuration には値 null の encryptionScheme フィールドが含まれていなければならず（MUST）、ポリフィルがユーザーエージェントのフィールドサポートを特定値指定せずに検出できるようにします。

createMediaKeys()

keySystem 用の新しい MediaKeys オブジェクトを作成します。

このメソッドが呼び出された際、ユーザーエージェントは次の手順を 必ず実行しなければなりません:

1. promise を新しいプロミスとして作成します。

2. 次の手順を並行して実行します:

   1. configuration をこのオブジェクトの configuration の値とします。

   2. use distinctive identifier を、configuration の distinctiveIdentifier メンバーの値が "required" なら true、そうでなければ false とします。

   3. persistent state allowed を、configuration の persistentState メンバーの値が "required" なら true、そうでなければ false とします。

   4. 必要ならこのオブジェクトの cdm implementation の値で表される Key System 実装をロード・初期化します。

   5. instance をこのオブジェクトの cdm implementation の値で表される Key System 実装の新しいインスタンスとします。

   6. configuration を使って instance を Key System 機能の有効化・無効化・選択に初期化します。

   7. use distinctive identifier が false の場合、instance が Distinctive Identifier(s) および Distinctive Permanent Identifier(s) を使用 できないようにします。

   8. persistent state allowed が false の場合、instance がこのオブジェクトの origin や Document、アプリケーションに関連するいかなる状態も永続化できないようにします。

   9. 直前のいずれかの手順が失敗した場合、新しい DOMException（名前は適切な エラー名）で promise を拒否します。

   10. media keys を新しい MediaKeys オブジェクトとし、以下のように初期化します:

       1. use distinctive identifier の値を media keys の値として設定します。

       2. persistent state allowed の値を media keys の値として設定します。

       3. supported session types の値を configuration の sessionTypes メンバーの値とします。

       4. cdm implementation の値をこのオブジェクトの cdm implementation の値とします。

       5. cdm instance の値を instance とします。

   11. promise を media keys で解決します。

3. promise を返します。

createSession()

新しい MediaKeySession オブジェクトを返します。

注

sessionType パラメータは返されるオブジェクトの挙動に影響します。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を 必ず 実行しなければなりません:

1. もしこのオブジェクトの supported session types 値が sessionType を含まない場合、throw [WEBIDL] として NotSupportedError を投げます。

   注

   sessionType に対して Is persistent session type? アルゴリズムが true を返す値は、このオブジェクトの persistent state allowed 値が false の場合に失敗します。

2. 実装が現在の状態で MediaKeySession 操作をサポートしていない場合、throw [WEBIDL] として InvalidStateError を投げます。

   注

   一部の実装では、この MediaKeySession アルゴリズムを実行するために、まずこの MediaKeys オブジェクトを setMediaKeys() を使ってメディア要素に関連付ける必要がある場合があります。この手順は、そのような珍しい挙動を検出することで、その後の操作実行前に検出できるようにするものです。

3. session を新しい MediaKeySession オブジェクトとし、次のように初期化します:

   1. sessionId 属性を空文字列とします。

   2. expiration 属性を NaN とします。

   3. closed 属性を新しいプロミスとします。

   4. key status を新しい空の MediaKeyStatusMap オブジェクトとし、次のように初期化します:

      1. size 属性を 0 とします。

   5. session type の値を sessionType とします。

   6. uninitialized の値を true とします。

   7. callable の値を false とします。

   8. closing or closed の値を false とします。

   9. use distinctive identifier の値をこのオブジェクトの use distinctive identifier 値とします。

   10. cdm implementation の値をこのオブジェクトの cdm implementation とします。

   11. cdm instance の値をこのオブジェクトの cdm instance とします。

4. session を返します。

getStatusForPolicy()

指定された MediaKeysPolicy に対する MediaKeyStatus を返します。

WebIDLdictionary MediaKeysPolicy {
    DOMString minHdcpVersion;
};

MediaKeysPolicy 辞書はオプションのプロパティのみからなるオブジェクトです。各プロパティはポリシー要件を表します。ポリシーは、すべての要件に基づいて CDM が復号済みメディアデータの表示を許可する場合に満たされたと見なされます。

HDCP ポリシーは minHdcpVersion で表されます。システムが指定された HDCP バージョン以上を有効にできる場合、ポリシーは "usable" の MediaKeyStatus をもたらします。[EME-HDCP-VERSION-REGISTRY] は minHdcpVersion の値と HDCP 仕様との対応を提供します。

注

HDCP 状況の判定は、再生中に CDM がそのような制限を強制するのと同じ方法で行うべきです。こうすることで、アプリケーション開発者は再生を開始するために取得すべきコンテンツを最適化するための合理的なヒントを得られます。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を 必ず 実行しなければなりません:

1. もし policy に present な dictionary members がなければ、 新たに作成した TypeError で拒否された promise を返します。

2. promise を新しい promise とします。

3. タスクをキューに追加し、次の手順を実行します：

   1. policy の各 dictionary member について、次の手順を実行します：

      1. キーが有効な MediaKeysPolicy メンバーでない または値の型が不正な場合、promise を TypeError で拒否し、 これらの手順を中止します。

   2. policy の各 dictionary member について、次の手順を実行します：

      1. CDM が当該 dictionary member の MediaKeyStatus を判定できない場合、 promise を NotSupportedError で拒否し、 これらの手順を中止します。

   3. policy の各 dictionary member について、次の手順を実行します：

      1. CDM が当該 dictionary member に対して復号済みメディアデータの表示をブロックする場合、 promise を "output-restricted" で解決します。

   4. promise を "usable" で解決します。

4. promise を返します。

setServerCertificate()

ライセンスサーバーへのメッセージを暗号化するために使用されるサーバー証明書を提供します。

このような証明書を使用するキーシステムに対して、アプリケーションはSHOULD setServerCertificate() を呼び出して、サーバー証明書を明示的に設定する必要があります。 そうしない場合は、ライセンスの交換に失敗する可能性があります。

注

一部のキーシステムでは、「message」イベントをキューするアルゴリズムを介して、証明書をサーバーから取得することもサポートされています。しかし、この機能はそのような証明書を使用するすべてのキーシステムでサポートされているわけではありません。

サーバー証明書の内容は Key System 固有です。実行可能なコードを含んではいけません（MUST NOT）。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を 必ず 実行しなければなりません:

1. このオブジェクトの cdm implementation 値で表される Key System 実装がサーバー証明書をサポートしていない場合、false で解決されたプロミスを返します。

2. もし serverCertificate が空の配列であれば、新しく作成した TypeError で拒否されたプロミスを返します。

3. certificate を serverCertificate パラメータの内容のコピーとします。

4. promise を新しいプロミスとします。

5. 次の手順を並行して実行します:

   1. sanitized certificate を certificate の検証および／またはサニタイズされたバージョンとします。

      注

      ユーザーエージェントは証明書を CDM に渡す前に十分に検証すべきです。これには、値が妥当な範囲内であることの確認、無関係なデータやフィールドの削除、事前解析、サニタイズ、あるいは完全にサニタイズされたバージョンの生成が含まれる場合があります。ユーザーエージェントはフィールドの長さや値が妥当であることを確認すべきです。未知のフィールドは拒否または削除すべきです。

   2. このオブジェクトの cdm instance を使って sanitized certificate を処理します。

   3. 前述の手順が失敗した場合、適切な エラー名 を持つ新しい DOMException で promise を拒否します。

   4. promise を true で解決します。

6. promise を返します。

本節では、ストレージおよび永続化に関連する一般的な要件について説明します。

もし MediaKeys オブジェクトの persistent state allowed 値が false である場合、そのオブジェクトの cdm instance は、このオブジェクトまたはそれが生成するいかなるセッションに対する操作の結果として状態を永続化したり、以前に永続化された状態にアクセスしてはならない（SHALL NOT）。

もし MediaKeys オブジェクトの persistent state allowed 値が true である場合、そのオブジェクトの cdm instance は、このオブジェクトまたはそれが生成するいかなるセッションに対する操作の結果として状態を永続化したり、以前に永続化された状態にアクセスしてもよい（MAY）。

永続化されたデータは常に、このオブジェクトの origin を持つ Document のみがアクセスできるように保存されなければならない（MUST）。さらに、そのデータは現在の browsing profile のみがアクセス可能でなければならず、他のブラウジングプロファイル、ユーザーエージェント、およびアプリケーションは保存されたデータにアクセスしてはならない（MUST NOT）。詳細は Information Stored on User Devices を参照してください。

永続ストレージをサポートする際の追加の考慮事項については、10. Security および 11. Privacy を参照してください。

sessionId 型 DOMString, 読み取り専用

このオブジェクトおよび関連するキーやライセンスのセッション ID。

expiration 型 unrestricted double、 読み取り専用

セッション内のすべてのキーの有効期限。CDM により有効期限が存在しない場合、またはライセンスが明示的に期限切れとならない場合は NaN となる。

注

この値は、ウィンドウの開始などのアクションによって、セッションの存続期間中に変化することがある。

closed 型 Promise<MediaKeySessionClosedReason>、 読み取り専用

このオブジェクトがセッション終了アルゴリズムの実行によって閉じられたことを通知する。 この Promise は解決されるのみで、拒否されることはない。

keyStatuses 型 MediaKeyStatusMap、 読み取り専用

このセッションが認識しているキー IDと、関連するキーの現在の状況との読み取り専用マップへの参照。各エントリはユニークなキー IDを持たなければならない。

注

マップのエントリと値はイベントループが回るたびに更新される場合がある。マップは不整合や部分的な更新になってはならないが、イベントループの間にアクセスした場合は変更されている可能性がある。キー ID は、このオブジェクトを表すセッションで load() や update() の呼び出しによって追加されることがある。 update() の呼び出しによって既存のキーの知識が削除されたり、新しいセットに置き換えられたりすると、キー ID は削除されることがある。キーが利用不能になった（例: 有効期限切れ）ことを理由にして削除してはならず、代わりにキーには "expired" など適切なステータスを付与しなければならない。

注

一部の古いプラットフォームにはキーシステム実装があり、キー ID を公開しないため、準拠したユーザーエージェント実装を提供できないことがある。相互運用性を最大限確保するために、そのようなCDM を公開するユーザーエージェント実装は次のようにこのメンバーを実装すべきである：非空のリストが適切な場合（例: このオブジェクトで表されるキ―セッションにキーが含まれる可能性がある場合）、マップを 1 バイトのキー ID 0 とこのオブジェクトの集約状況に最もふさわしいMediaKeyStatus の組で埋めること。

onkeystatuseschange 型 EventHandler

keystatuseschange イベントのためのイベントハンドラ。

onmessage 型 EventHandler

message イベントのためのイベントハンドラ。

generateRequest()

initData に基づいてライセンス要求を生成します。アルゴリズムが成功して promise が解決された場合、タイプが "license-request" または "individualization-request" の message は常にキューされます。

このメソッドが呼び出されたとき、ユーザーエージェントはMUST次の手順を実行します：

1. このオブジェクトの closing or closed 値が true の場合、InvalidStateError で拒否された promise を返します。

2. このオブジェクトの uninitialized 値が false の場合、InvalidStateError で拒否された promise を返します。

3. このオブジェクトの uninitialized 値を false にします。

4. initDataType が空文字列である場合、新しく作成した TypeError で拒否された promise を返します。

5. initData が空の配列である場合、新しく作成した TypeError で拒否された promise を返します。

6. このオブジェクトの Key System を表す cdm implementation 値が initDataType を Initialization Data Type としてサポートしていない場合、NotSupportedError で拒否された promise を返します。文字列比較は大文字小文字を区別します。

7. init data に initData パラメータの内容のコピーを代入します。

8. session type にこのオブジェクトの session type を代入します。

9. promise に新しい promise を代入します。

10. 次の手順を並列して実行します：

    1. init data が initDataType に対して有効でない場合、promise を新しく作成した TypeError で拒否します。

    2. sanitized init data に init data の検証およびサニタイズされたバージョンを代入します。

       ユーザーエージェントは、Initialization Data を CDM に渡す前に徹底的に検証しなければなりません。これにはフィールドの長さや値が妥当であることの確認、値が合理的な限度内にあることの検証、不要・非サポート・不明なデータやフィールドの削除などが含まれます。ユーザーエージェントは Initialization Data を事前解析、サニタイズ、または完全にサニタイズされたバージョンを生成することがRECOMMENDEDです。initDataType で指定された Initialization Data フォーマットが複数のエントリをサポートする場合、ユーザーエージェントは CDM に不要なエントリを削除することをSHOULD 行うべきです。ユーザーエージェントは Initialization Data 内のエントリの順序を変更してはなりません。

    3. 前のステップが失敗した場合、promise を新しく作成した TypeError で拒否します。

    4. sanitized init data が空である場合、promise を NotSupportedError で拒否します。

    5. session id を空文字列にします。

    6. message を null にします。

    7. message type を null にします。

    8. cdm にこのオブジェクトの cdm instance 値で表される CDM インスタンスを代入します。

    9. cdm を使って次の手順を実行します：

       1. sanitized init data が cdm によりサポートされていない場合、promise を NotSupportedError で拒否します。

       2. 以下のリストから session type の値に応じた手順に従います：

          "temporary"

          requested license type を一時的な非永続ライセンスとします。

          注

          返されるライセンスは永続化可能であってはならず、それに関連する永続化情報を必要としてはなりません。

          "persistent-license"

          requested license type を永続化可能なライセンスとします。

       3. session id を一意の Session ID 文字列にします。

          Is persistent session type? アルゴリズムを session type に対して実行した結果が true の場合、ID はこのオブジェクトの Document の origin 内で時間を超えて、Documents や閲覧セッションをまたいで一意でなければならないことがMUSTです。

       4. requested license type に対するライセンス要求が sanitized init data に基づいて生成可能な場合：

          1. message を sanitized init data を initDataType に従って解釈して基づき生成された、requested license type のライセンス要求にします。

             cdm は sanitized init data で提供されていないストリーム固有データ（メディアデータ を含む）を使用してはなりません。

             cdm はこの時点でセッションデータ（セッション ID を含む）を保存してはSHOULD NOTです。詳細は Session Storage and Persistence を参照してください。

          2. message type を "license-request" にします。

          それ以外の場合：

          1. message を、sanitized init data に基づいて requested license type のライセンス要求を生成する前に処理する必要がある要求にします。

             後続の update() の呼び出しにおいて、CDM は initDataType に従って解釈された sanitized init data に基づいて requested license type のライセンス要求を生成しなければなりません。

          2. message type を、message の種類を反映する値にします。すなわち "license-request" または "individualization-request" のいずれかにします。

    10. Queue a task を登録して次の手順を実行します：

        1. 前のいずれかのステップがリソース不足のため失敗した場合、promise を QuotaExceededError で拒否します。

        2. 前のいずれかのステップがその他の理由で失敗した場合、適切な error name を name とする新しい DOMException で promise を拒否します。

        3. sessionId 属性を session id に設定します。

        4. このオブジェクトの callable 値を true に設定します。

        5. promise を undefined で解決します。

        6. Queue a "message" Event アルゴリズムを session 上で実行し、message type と message を提供します。

11. promise を返します。

load()

指定されたセッションのために保存されているデータをこのオブジェクトに読み込みます。

このメソッドが呼び出されたとき、ユーザーエージェントはMUST次の手順を実行します：

1. このオブジェクトの closing or closed 値が true の場合、InvalidStateError で拒否された promise を返します。

2. このオブジェクトの uninitialized 値が false の場合、InvalidStateError で拒否された promise を返します。

3. このオブジェクトの uninitialized 値を false にします。

4. sessionId が空文字列である場合、新しく作成した TypeError で拒否された promise を返します。

5. このオブジェクトの session type に対して Is persistent session type? アルゴリズムを実行した結果が false の場合、新しく作成した TypeError で拒否された promise を返します。

6. origin をこのオブジェクトの Document の origin に設定します。

7. promise に新しい promise を代入します。

8. 次の手順を並列して実行します：

   1. sanitized session ID に sessionId の検証およびサニタイズされたバージョンを代入します。

      注

      ユーザーエージェントは sessionId の値を CDM に渡す前に十分に検証するべきです。最低でも長さや値が妥当であること（例えば数十文字を超えない、英数字など）を確認するべきです。

   2. 前のステップが失敗した場合、または sanitized session ID が空である場合、promise を新しく作成した TypeError で拒否します。

   3. このオブジェクトの Document 内に存在し、かつ closed でない MediaKeySession オブジェクトがあり、その sessionId 属性が sanitized session ID である場合、promise を QuotaExceededError で拒否します。

      注

      言い換えると、この閲覧コンテキスト内で非閉鎖のセッションが既に存在する場合、その sanitized session ID に対してセッションを作成してはなりません。

   4. expiration time を NaN にします。

   5. message を null にします。

   6. message type を null にします。

   7. cdm にこのオブジェクトの cdm instance 値で表される CDM インスタンスを代入します。

   8. cdm を使って次の手順を実行します：

      1. origin に sanitized session ID のために保存されているデータがない場合、promise を false で解決し、これらの手順を中止します。

      2. 保存されているセッションの session type が現在のこのオブジェクトの MediaKeySession の session type と同じでない場合、promise を新しく作成した TypeError で拒否します。

      3. session data を、origin に保存されている sanitized session ID のためのデータとします。このデータは他の origin のデータや origin に関連付かないデータを含んではなりません。

      4. もし任意の Document 内にあって closed でない MediaKeySession オブジェクトが存在し、かつそれが session data を表す場合、promise を QuotaExceededError で拒否します。

         注

         言い換えると、任意の閲覧コンテキスト内ですでに非閉鎖の永続セッションが存在する場合、その sanitized session ID に対してセッションを作成してはなりません。

      5. session data を読み込みます。

      6. session data がセッションの expiration time を示している場合、expiration time をその有効期限に設定します。

      7. メッセージを送信する必要がある場合、以下の手順を実行します：

         1. message を session data に基づいて生成されたメッセージにします。

         2. message type をそのメッセージに適切な MediaKeyMessageType にします。

   9. Queue a task を登録して次の手順を実行します：

      1. 前のいずれかのステップが失敗した場合、promise を適切な error name で拒否します。

      2. sessionId 属性を sanitized session ID に設定します。

      3. このオブジェクトの callable 値を true に設定します。

      4. 読み込まれたセッションが任意のキーに関する情報を含む場合（known keys がある場合）、Update Key Statuses アルゴリズムを session 上で実行し、各キーの key ID と適切な MediaKeyStatus を提供します。

         キーの状態を確定するために追加処理が必要な場合は "status-pending" を使用します。1つ以上のキーについて追加処理が完了したら、実際のステータスで Update Key Statuses アルゴリズムを再度実行します。

      5. Update Expiration アルゴリズムを session 上で実行し、expiration time を与えます。

      6. promise を true で解決します。

      7. message が null でない場合、Queue a "message" Event アルゴリズムを session 上で実行し、message type と message を提供します。

9. promise を返します。

update()

ライセンスを含むメッセージを CDM に提供します。

response パラメータは CDM に提供されるメッセージを含みます。内容は Key System 固有です。実行可能なコードを含んではMUST NOTなりません。

このメソッドが呼び出されたとき、ユーザーエージェントはMUST次の手順を実行します：

1. このオブジェクトの closing or closed 値が true の場合、InvalidStateError で拒否された promise を返します。

2. このオブジェクトの callable 値が false の場合、InvalidStateError で拒否された promise を返します。

3. response が空の配列である場合、新しく作成した TypeError で拒否された promise を返します。

4. response copy に response パラメータの内容のコピーを代入します。

5. promise に新しい promise を代入します。

6. 次の手順を並列して実行します：

   1. sanitized response に response copy の検証およびサニタイズされたバージョンを代入します。

      注

      ユーザーエージェントは、response を CDM に渡す前に徹底的に検証するべきです。これには値が合理的な限度内にあることの確認、不要なデータやフィールドの削除、事前解析、サニタイズ、または完全にサニタイズされたバージョンの生成が含まれる場合があります。ユーザーエージェントはフィールドの長さや値が妥当か確認し、不明なフィールドは拒否または削除するべきです。

   2. 前のステップが失敗した場合、または sanitized response が空である場合、promise を新しく作成した TypeError で拒否します。

   3. message を null にします。

   4. message type を null にします。

   5. session closed を false にします。

   6. cdm にこのオブジェクトの cdm instance 値で表される CDM インスタンスを代入します。

   7. cdm を使って次の手順を実行します：

      1. sanitized response のフォーマットが何らかの点で無効である場合、promise を新しく作成した TypeError で拒否します。

      2. sanitized response を処理し、次のリストの先頭の一致条件に従います：

         sanitized response がライセンスまたはキーを含む場合

         注

         これには初期ライセンス、更新されたライセンス、およびライセンス更新メッセージが含まれます。

         次のリストの最初に一致する条件に従って sanitized response を処理します：

         sessionType が "temporary" であり、sanitized response がその中に含まれるセッションデータ（ライセンス、キー、または類似のセッションデータ）を保存するべきことを指定していない場合

         sanitized response を処理し、いかなるセッションデータも保存しません。

         sessionType が "persistent-license" であり、sanitized response が永続化可能なライセンスを含む場合

         sanitized response に含まれるライセンス/キーおよび関連するセッションデータを保存します。そのようなデータはこのオブジェクトの Document の origin のみがアクセスできるように保存されなければなりません。

         それ以外

         promise を新しく作成した TypeError で拒否します。

         詳細は Session Storage and Persistence を参照してください。

         各セッションの状態情報（キーを含む）は、あるセッションを閉じても他のセッションの観測可能な状態に影響を与えないように保存されなければなりません。たとえキー ID が重複していてもです。

         注

         sanitized response がキーや関連データを含む場合、cdm はおそらくキーと関連データをキー ID で索引付けして（メモリ内に）保存します。

         注

         セッション内の置換アルゴリズムは Key System に依存します。

         注

         CDM 実装は、各 MediaKeySession オブジェクトあたり標準的かつ十分に多い最低キー数、標準の置換アルゴリズム、および標準かつ十分に多い最低の MediaKeySession オブジェクト数をサポートすることがRECOMMENDEDです。これにより、ユーザーエージェント間で合理的なキー回転アルゴリズムの実装が可能になり、同じ要素内で異なるキーを使用する複数ストリーム（例：アダプティブストリーム、様々な音声・映像トラック）を含むユースケースでの再生中断の可能性を減らせます。

         sanitized response が record of license destruction の受領確認を含み、かつ sessionType が "persistent-license" である場合

         次の手順を実行します：

         1. key session を閉じ、このオブジェクトに関連する すべての保存されたセッションデータ（sessionId および record of license destruction を含む）を消去します。

            注

            後続の load() がこのオブジェクトの sessionId の値で呼ばれても、そのセッション ID に対するデータが存在しないため失敗することになります。

         2. session closed を true に設定します。

         それ以外

         sanitized response を処理し、セッションデータは保存しません。

         注

         例えば sanitized response が別の message イベントを生成するための情報を含む場合、この場合は sessionType に対して内容を検証する必要はありません。

      3. メッセージを送信する必要がある場合、以下の手順を実行します：

         1. message をそのメッセージにします。

         2. message type をそのメッセージに適切な MediaKeyMessageType にします。

   8. Queue a task を登録して次の手順を実行します：

      1. session closed が true の場合：

         このオブジェクト上で Session Closed アルゴリズムを理由 "release-acknowledged" で実行します。

         それ以外：

         次の手順を実行します：

         1. このオブジェクトに対する CDM に知られているキーの集合が変更されたか、いずれかのキーのステータスが変更された場合、各既知キーの key ID と適切な MediaKeyStatus を提供して、Update Key Statuses アルゴリズムを session 上で実行します。

            キーの状態を確定するために追加処理が必要な場合は "status-pending" を使用します。追加処理が完了したら、実際のステータスで Update Key Statuses を再度実行します。

         2. セッションの expiration time が変更された場合、Update Expiration アルゴリズムを session 上で実行し、新しい有効期限を提供します。

         3. 前のいずれかのステップが失敗した場合、promise を適切な error name を name とする新しい DOMException で拒否します。

         4. message が null でない場合、Queue a "message" Event アルゴリズムを session 上で実行し、message type と message を提供します。

      2. promise を undefined で解決します。

7. promise を返します。

close()

アプリケーションがもはやセッションを必要としないことを示し、CDM にセッションに関連するリソースを解放し閉じるよう指示します。永続化されたデータは解放または消去されてはなりません。

注

返される promise は要求が処理されたときに解決され、closed 属性の promise はセッションが閉じられたときに理由 "closed-by-application" で解決されます。

このメソッドが呼び出されたとき、ユーザーエージェントはMUST次の手順を実行します：

1. このオブジェクトの closing or closed 値が true の場合、undefined で解決された promise を返します。

2. このオブジェクトの callable 値が false の場合、InvalidStateError で拒否された promise を返します。

3. promise に新しい promise を代入します。

4. このオブジェクトの closing or closed 値を true に設定します。

5. 次の手順を並列して実行します：

   1. cdm にこのオブジェクトの cdm instance 値で表される CDM インスタンスを代入します。

   2. cdm を用いてこのオブジェクトに関連付けられた key session を閉じます。

      注

      key session を閉じると、明示的に保存されていないライセンスやキーは破棄されます。

   3. Queue a task を登録して次の手順を実行します：

      1. promise を undefined で解決します。

      2. Session Closed アルゴリズムをこのオブジェクト上で理由 "closed-by-application" で実行します。

6. promise を返します。

remove()

セッションに関連するすべてのライセンスおよびキーを削除します。persistent session types の場合、他のセッションデータは各セッションタイプについて定義されたとおり、リリースメッセージの確認が update() によって処理されたときに消去されます。

このメソッドが呼び出されたとき、ユーザーエージェントはMUST次の手順を実行します：

1. このオブジェクトの closing or closed 値が true の場合、InvalidStateError で拒否された promise を返します。

2. このオブジェクトの callable 値が false の場合、InvalidStateError で拒否された promise を返します。

3. promise に新しい promise を代入します。

4. 次の手順を並列して実行します：

   1. cdm にこのオブジェクトの cdm instance 値で表される CDM インスタンスを代入します。

   2. message を null にします。

   3. message type を null にします。

   4. cdm を使って次の手順を実行します：

      1. セッションにライセンスおよび/またはキーが関連付けられている場合：

         1. セッションに関連付けられたライセンスおよび/またはキーを破棄します。

            注

            これは、ライセンスおよび/またはキーがメモリ内であれ永続ストアであれ、あるいはその両方であれ破棄することを意味します。

         2. このオブジェクトの session type の値に応じた手順に従います：

            "temporary"

            以下の手順を続行します。

            "persistent-license"

            1. record of license destruction をこのオブジェクトが表すライセンスのための record of license destruction にします。

            2. record of license destruction を保存します。

            3. message を record of license destruction を含むかそれを反映するメッセージにします。

   5. Queue a task を登録して次の手順を実行します：

      1. Update Key Statuses アルゴリズムを session 上で実行し、セッション内のすべての key ID に対して各キーの MediaKeyStatus 値として "released" を提供します。

      2. Update Expiration アルゴリズムを session 上で実行し、NaN を提供します。

      3. 前のいずれかのステップが失敗した場合、promise を適切な error name を name とする新しい DOMException で拒否します。

      4. message type を "license-release" にします。

      5. promise を undefined で解決します。

      6. message が null でない場合、Queue a "message" Event アルゴリズムを session 上で実行し、message type と message を提供します。

5. promise を返します。

MediaKeyStatusMap オブジェクトは、 key IDs と、対応する鍵の現在の状態への読み取り専用マップです。

鍵の状態は、その鍵が現在使用されているかどうかやメディアデータに依存しません。

WebIDL[Exposed=Window, SecureContext] interface MediaKeyStatusMap {
  iterable<BufferSource,MediaKeyStatus>;
  readonly attribute unsigned long size;
  boolean has (BufferSource keyId);
  (MediaKeyStatus or undefined) get (BufferSource keyId);
};

WebIDLenum MediaKeyStatus {
  "usable",
  "expired",
  "released",
  "output-restricted",
  "output-downscaled",
  "usable-in-future",
  "status-pending",
  "internal-error"
};

MediaKeyStatus 列挙型は次のように定義されます:

MediaKeyMessageEvent オブジェクトは message イベントに使用されます。

WebIDLenum MediaKeyMessageType {
  "license-request",
  "license-renewal",
  "license-release",
  "individualization-request"
};

MediaKeyMessageType は次のように定義されます:

WebIDL[Exposed=Window, SecureContext]
interface MediaKeyMessageEvent : Event {
  constructor(DOMString type, MediaKeyMessageEventInit eventInitDict);
  readonly attribute MediaKeyMessageType messageType;
  readonly attribute ArrayBuffer         message;
};

WebIDLdictionary MediaKeyMessageEventInit : EventInit {
  required MediaKeyMessageType messageType;
  required ArrayBuffer         message;
};

メソッドは、返されたプロミスを 単純例外 [WEBIDL] または DOMException で拒否することでエラーを報告します。以下の [WEBIDL] のアルゴリズムで使用される 単純例外 および DOMException 名 を示します。アルゴリズムで指定された原因は各名前の横に記載されていますが、これらの名前は他の理由でも使われることがあります（MAY）。

本節は、アルゴリズムを補足するセッション保存と永続化の概要を示します。

以下の要件は、Storage and Persistence の要件に加えて適用されます。

このオブジェクトの session type に対して Is persistent session type? アルゴリズムを実行した結果が false であれば、ユーザーエージェントおよび CDM はセッションに関連する記録やデータ（ライセンス、鍵、record(s) of license destruction、Session ID を含む）をいかなる時点でも永続化してはならない（MUST NOT）。

この節の残りは、Is persistent session type? アルゴリズムが true を返すセッションタイプに適用されます。

CDM は SHOULD NOT update() が初めて呼ばれるまでは、Session ID を含むセッションデータを保存すべきではありません。特に、CDM は generateRequest() アルゴリズムの間にセッションデータを保存すべきではありません（SHOULD NOT）。これにより、アプリケーションはセッションの存在を把握し、最終的に削除する必要があることが分かります。

セッションがクリアされたとき（例: update() で record of license destruction 確認応答が処理された場合など）、そのセッションに関連する すべて のデータはクリアされなければなりません（MUST）。詳細は Persistent Data を参照。

CDM は、あるセッションのデータが未閉じの MediaKeySession オブジェクト（任意の Document 内）にしか存在しないことを保証しなければなりません（MUST）。言い換えれば、load() は、その sessionId パラメータで指定されたセッションを表す MediaKeySession が既に存在している場合（それを generateRequest() で作成したオブジェクトがまだアクティブか、あるいは他のオブジェクトに load() でロードされた場合）、必ず失敗しなければなりません（MUST）。すべての関連オブジェクトが closed なら、再度ロードすることができます（MAY）。

Is persistent session type? アルゴリズムが true を返す型でセッションを作成するアプリケーションは、保存されたデータを後で remove() で削除処理を開始し、その削除処理（メッセージのやりとりを含む場合がある）が正常に完了することを確認するべきです（SHOULD）。CDM も適切にセッションを削除することがありますが、アプリケーションはこれに依存すべきではありません（SHOULD NOT）。

永続ストレージ対応時の追加考慮事項については、10. Security および 11. Privacy を参照してください。

mediaKeys 型 MediaKeys、readonly、nullable

このメディア要素で暗号化された media data を復号する際に使用される MediaKeys。

onencrypted 型 EventHandler

encrypted イベントのイベントハンドラ。全ての HTMLMediaElement でコンテンツ属性およびIDL属性として MUST サポートされなければなりません。

onwaitingforkey 型 EventHandler

waitingforkey イベントのイベントハンドラ。全ての HTMLMediaElement でコンテンツ属性およびIDL属性として MUST サポートされなければなりません。

setMediaKeys()

再生中のメディアデータの復号に使用する MediaKeys を指定します。

注

再生中に関連付けられた MediaKeys オブジェクトをクリアまたは置換することのサポートは実装品質に依存します。多くの場合、悪いユーザー体験やプロミスの拒否につながります。

このメソッドが呼ばれたとき、ユーザーエージェントは次の手順を 必ず 実行しなければなりません:

1. このオブジェクトの attaching media keys 値が true なら、InvalidStateError で拒否されたプロミスを返します。

2. mediaKeys と mediaKeys 属性が同じオブジェクトなら、undefined で解決されたプロミスを返します。

3. このオブジェクトの attaching media keys 値を true にします。

4. promise を新しいプロミスとします。

5. 次の手順を並行して実行します:

   1. 以下の条件がすべて成り立つ場合:

      • mediaKeys が null でない

      • mediaKeys で表される CDM インスタンスが他のメディア要素ですでに使用されている

      • ユーザーエージェントがこの要素でそれを使用できない

      この場合はこのオブジェクトの attaching media keys 値を false にし、promise を QuotaExceededError で拒否します。

   2. mediaKeys 属性が null でない場合、次の手順を実行します:

      1. ユーザーエージェントまたは CDM が関連付け解除をサポートしない場合は、このオブジェクトの attaching media keys 値を false にし、promise を NotSupportedError で拒否します。

      2. 現時点で関連付け解除できない場合は、このオブジェクトの attaching media keys 値を false にし、promise を InvalidStateError で拒否します。

         注

         例えば一部の実装では再生中の解除を許可しません。

      3. mediaKeys 属性で表される CDM インスタンスの利用を停止し、メディア要素との関連付けも解除します。

      4. 上記の手順が失敗した場合は、このオブジェクトの attaching media keys 値を false にし、promise を適切な error name で拒否します。

   3. mediaKeys が null でない場合、次の手順を実行します:

      1. mediaKeys で表される CDM インスタンスをメディア要素に関連付け、media data の復号に使用するようにします。

      2. 上記の手順が失敗した場合は次の手順を実行します:

         1. mediaKeys 属性を null にします。

         2. このオブジェクトの attaching media keys 値を false にします。

         3. promise を適切な error name で新しい DOMException で拒否します。

      3. タスクをキューして、メディア要素上で Attempt to Resume Playback If Necessary アルゴリズムを実行します。

   4. mediaKeys 属性を mediaKeys に設定します。

   5. このオブジェクトの attaching media keys 値を false にします。

   6. promise を undefined で解決します。

6. promise を返します。

MediaEncryptedEvent オブジェクトは encrypted イベントで使用されます。

WebIDL[Exposed=Window]
interface MediaEncryptedEvent : Event {
    constructor(DOMString type, optional MediaEncryptedEventInit eventInitDict = {});
    readonly        attribute DOMString    initDataType;
    readonly        attribute ArrayBuffer? initData;
};

WebIDLdictionary MediaEncryptedEventInit : EventInit {
  DOMString    initDataType = "";
  ArrayBuffer? initData = null;
};

ユーザーエージェントの実装者は MUST、CDMs が、本仕様の機能を用いて保護付きメディアを再生するために合理的に必要とされる範囲を超える情報、ストレージ、またはシステム機能へアクセスしないことを保証しなければなりません。具体的には、CDM は SHALL NOT:

• ユーザーエージェントを介して明示的に許可されている場合を除き、ローカルあるいはリモートのネットワークリソースへアクセスすること。

• 本仕様の機能を用いた保護付きメディアの再生のために合理的に必要とされる場合を除き、ストレージ（例：ディスクやメモリ）へアクセスすること。

• CDM の状態および persistent data 以外のユーザーデータへアクセスすること。

• 本仕様の機能を用いた保護付きメディアの再生のために合理的に必要とされる場合を除き、ハードウェアコンポーネントやデバイスへアクセスすること。

ユーザーエージェントの実装者は上記の要件を満たすために様々な手法を用いることができます。例えば、自身で CDM を実装しているユーザーエージェント実装者は、上記を当該コンポーネントの設計要件として含めることができます。サードパーティの CDM を利用するユーザーエージェント実装者は、その CDM が禁止された情報やコンポーネントへアクセスできない制約された環境（例："sandbox"）で実行されることを保証することができます。

すべての CDM へのおよびそこからのメッセージおよび通信（例えば CDM とライセンスサーバー間の通信）は、MUST ユーザーエージェントを介して渡されなければなりません。CDM は MUST NOT 直接のアウト・オブ・バンドなネットワークリクエストを行ってはなりません。Direct Individualization MUST で説明されているものを除くすべてのメッセージおよび通信は、本仕様で定義された API を介してアプリケーションを通して渡されなければなりません。具体的には、アプリケーションに関する情報、origin に関する情報、あるいはコンテンツ固有の情報を含む通信、またはアプリケーションが指定した URL に送信される通信やその origin に基づく URL に送信される通信は、MUST 本仕様の API を経由して行われなければなりません。これにはすべてのライセンス交換メッセージが含まれます。

永続データは、CDM、またはその CDM を代表してユーザーエージェントが保存した、MediaKeys オブジェクトの破棄後も存在するすべてのデータを含みます。具体的には、識別子（Distinctive Identifier(s) を含む）、ライセンス、キー、キー ID、または ライセンス破棄の記録 等を、CDM またはその CDM を代表してユーザーエージェントが保存したものを指します。

アプリケーションに公開される、あるいは CDM による使用などを通じて推測可能な値は、識別子として設計されていない場合でもクライアントやユーザーを特定するのに利用され得ます。本節はそのような懸念を回避または緩和するための要件を定義します。識別子に関する追加要件は Identifiers を参照してください。

実装による識別子の使用、特に Distinctive Identifier(s) や Distinctive Permanent Identifier(s) の利用はプライバシー上の懸念を引き起こします。本節はそのような懸念を回避または緩和するための要件を定義します。アプリケーションに公開される値に関する要件（Values Exposed to the Application）は、アプリケーションに公開される識別子にも適用されます。

識別子、特に Distinctive Identifiers は、 個体化（individualization）またはプロビジョニングと呼ばれるプロセスを通じて生成または取得されることがあります。得られた識別子は MUST アプリケーションによって関連付けできない（non-associable by applications）ものであり、かつそれらの使用は MUST 単一の プロファイルの単一のオリジンにのみ公開されるものでなければなりません。 このプロセスは、識別子がクリアされた後などに、複数回実行されることが MAY あります。

このプロセスは MUST ユーザーエージェントが直接実行するdirectly by the user agent か、またはアプリケーションを通じて実行されなければなりません。両者の個体化の仕組み、フロー、および制約は以下の節で説明する通り異なります。どの方法が使用されるかは、CDM の実装と本仕様の要件（特に以下の要件）の適用によって決まります。

実装は各 MediaKeySession オブジェクトで複数の鍵をサポートしなければなりません（MUST）。

実装は再生中の鍵間のシームレスな切替をサポートしなければなりません（MUST）。これには同一の MediaKeySession 内の鍵と、別の MediaKeySession オブジェクトにある鍵の両方が含まれます。

本節は本仕様の実装がサポートすべきコンテンツ（media resource）の特性を定義します。

"org.w3.clearkey" の キーシステム は、平文のクリア（暗号化されていない）キーを使用してソースを復号します。追加のクライアント側コンテンツ保護は不要です。本 キーシステム は以下に記述します。

{
  "kids": [
    "LwVHf8JLtPrv2GUXFW2v_A",
    "0DdtU9od-Bh5L3xbv0Xf_A"
  ],
  "type": "temporary"
}

{
  "keys": [{
    "kty": "oct",
    "k": "tQ0bJVWb6b0KPL6KtZIy_A",
    "kid": "LwVHf8JLtPrv2GUXFW2v_A"
  }],
  "type": "temporary"
}

{
  "kids": [ "LwVHf8JLtPrv2GUXFW2v_A", "0DdtU9od-Bh5L3xbv0Xf_A" ]
}

{
  "kids": [
    "LwVHf8JLtPrv2GUXFW2v_A",
    "0DdtU9od-Bh5L3xbv0Xf_A"
  ]
}

ユーザーエージェントと Key System の実装は MUST、 メディアデータ、Initialization Data、update() に渡されるデータ、ライセンス、 鍵データ、およびアプリケーションから提供されるその他すべてのデータを、信頼できないコンテンツかつ潜在的な攻撃ベクターとして考慮しなければなりません。これらは関連する脅威を軽減するために適切な安全策を講じ、当該データを安全に解析・復号などするよう注意を払う MUST があります。ユーザーエージェントは SHOULD データを CDM に渡す前に検証するべきです。

実装は MUST NOT として、アクティブコンテンツやアプリケーションの制御フローに影響を与える受動的なコンテンツを返してはなりません。

ユーザーエージェントは、利用者に安全なウェブ閲覧手段を提供する責任があります。この責任は、サードパーティ由来の機能を含め、ユーザーエージェントが使用するいかなる機能にも適用されます。ユーザーエージェントの実装者は MUST、Key System 実装者から統合に伴うセキュリティ上の影響を適切に評価できるだけの十分な情報を入手しなければなりません。ユーザーエージェントの実装者は MUST、CDM 実装が利用者に対するセキュリティを提供するために、ユーザーエージェントが必要とする十分な制御を提供および／またはサポートすることを確保しなければなりません。ユーザーエージェントの実装者は MUST、CDM 実装がセキュリティ脆弱性発見時に迅速かつ積極的に更新されることを確実にしなければなりません。

完全にサンドボックス化されておらず、またはプラットフォーム機能を使用する CDM 実装が悪用されると、攻撃者がOSやプラットフォームの機能にアクセスしたり、権限を昇格させたり（例：systemやrootとして実行する）、ドライバー、カーネル、ファームウェア、ハードウェア等にアクセスしたりする可能性があります。そのような機能、ソフトウェア、ハードウェアは、敵対的なソフトウェアやウェブベースの攻撃に対して堅牢に設計されていない場合があり、特にユーザーエージェントと比べてセキュリティ修正が適用されない、あるいは更新が遅いことがあります。CDM 実装におけるセキュリティ脆弱性の修正が不足している、頻度が低い、または遅いことはリスクを高めます。そのような CDM 実装とそれらを公開する UAs は、セキュリティのあらゆる領域、例えば すべてのデータ の解析を含め、MUST 特に注意を払わなければなりません。

ユーザーエージェントが十分にサンドボックス化できない、またはその他の方法で十分に保護できない Key System をサポートすることを選択した場合、ユーザーエージェントは SHOULD として ユーザーに十分な情報を提供し、明示的な同意を得るべきです。

EME および Key Systems によって開示される情報に関する懸念は二つのカテゴリに分かれます：(a) ユーザーエージェントやデバイスのフィンガープリント化の可能性に寄与し得る非特定情報に関する懸念、(b) 直接的に ユーザー追跡 に使用され得るユーザー固有の情報に関する懸念。

悪意のあるアプリケーションは、サポートされている Key Systems の検出や列挙、関連情報の取得によってユーザーやユーザーエージェントをフィンガープリント化できる可能性があります。適切なオリジン保護が提供されない場合、これには訪問したサイトの検出やそれらのサイトのために保存された情報の検出が含まれ得ます。特に、Key Systems は MUST として、キーやその他のデータを origins 間で共有してはなりません。

ユーザーエージェントは、ユーザーの匿名性を保持したり閲覧履歴の記録がクライアント上に残らないようにすることを意図したモード（例：プライベートブラウジング）をサポートする場合があります。前節で議論したプライバシー上の懸念は、こうしたモードを利用するユーザーにとって特に重要になる可能性があります。

そのようなモードをサポートするユーザーエージェント実装者は、これらのモードで Key Systems へのアクセスを無効にすべきかどうかを慎重に検討することが SHOULD されます。例えば、そのようなモードは、MediaKeySystemAccess オブジェクトの作成を禁止することがあり得ます。特に persistentState や distinctiveIdentifier をサポートまたは使用する構成を禁止する場合があります（これは CDM 実装の一部として、またはアプリケーションがそれらを "required" と指定した場合のいずれでもあり得ます）。実装がそのような作成を禁止しない場合、使用を許可する前に当該モードの期待されるプライバシー特性に対する影響と潜在的な結果をユーザーに通知することが SHOULD されます。

本仕様で定義された API はセキュアなオリジン上でのみサポートされており、前節で議論した情報を保護します。識別子はさらに Encrypt Identifiers に規定されたとおりに暗号化されます。

アプリケーション（およびそれらが使用するサーバーを含む）は、CDM からのデータやメッセージを含むすべてのトラフィックについて、すべて安全なトランスポートを使用することが SHOULD されます。これには message イベントから渡される全データや、update() へのデータなどが含まれますが、これらに限定されません。

すべてのユーザーエージェントは、ユーザーエージェントやアプリケーションがセキュアなオリジンと通信を強制したい場合に不安全なコンテンツや輸送への露出を避けるために、混在コンテンツ [MIXED-CONTENT] を適切に扱わなければなりません（MUST）。