暗号化メディア拡張

requestMediaKeySystemAccess() は、文字列 encrypted-media により識別されるポリシー制御 機能である。 その既定の 許可リストは 'self' である [PERMISSIONS-POLICY]。

WebIDL[Exposed=Window]
partial interface Navigator {
  [SecureContext] Promise<MediaKeySystemAccess> requestMediaKeySystemAccess (
      DOMString keySystem,
      sequence<MediaKeySystemConfiguration> supportedConfigurations);
};

WebIDLenum MediaKeysRequirement {
  "required",
  "optional",
  "not-allowed"
};

MediaKeysRequirement 列挙型は次のように定義される:

WebIDLdictionary MediaKeySystemConfiguration {
  DOMString                               label = "";
  sequence<DOMString>                     initDataTypes = [];
  sequence<MediaKeySystemMediaCapability> audioCapabilities = [];
  sequence<MediaKeySystemMediaCapability> videoCapabilities = [];
  MediaKeysRequirement                    distinctiveIdentifier = "optional";
  MediaKeysRequirement                    persistentState = "optional";
  sequence<DOMString>                     sessionTypes;
};

辞書 MediaKeySystemConfiguration は 次のメンバーを含む。

label の型は DOMString、既定値は ""

MediaKeySystemConfiguration の getConfiguration() メソッドから返される MediaKeySystemAccess 内で保持される任意のラベル。

initDataTypes の型は sequence<DOMString>、 既定値は []

サポートされる 初期化データ型 名のリスト。このオブジェクトの 初期化データ型 能力は、リストが空である場合、または（アルゴリズムによって判定されるように） 他のすべてのメンバーとともにサポートされる 1 つ以上の値を含む場合に、 サポートされているとみなされる。シーケンス内の値は空文字列であっては ならない。

audioCapabilities の型は sequence<MediaKeySystemMediaCapability>、 既定値は []

サポートされる音声の型と能力のペアのリスト。このオブジェクトの音声能力は、 リストが空である場合、または（アルゴリズムによって判定されるように） 他のすべてのメンバーとともにサポートされる 1 つ以上の値を含む場合に、 サポートされているとみなされる。値の間に競合がある場合は、先に現れる値が 選択される。空のリストは、音声能力がサポートされていないことを示す。 この場合、 videoCapabilities 要素は空であってはならない。

videoCapabilities の型は sequence<MediaKeySystemMediaCapability>、 既定値は []

サポートされる動画の型と能力のペアのリスト。このオブジェクトの動画能力は、 リストが空である場合、または（アルゴリズムによって判定されるように） 他のすべてのメンバーとともにサポートされる 1 つ以上の値を含む場合に、 サポートされているとみなされる。値の間に競合がある場合は、先に現れる値が 選択される。空のリストは、動画能力がサポートされていないことを示す。 この場合、 audioCapabilities 要素は空であってはならない。

distinctiveIdentifier の型は MediaKeysRequirement、 既定値は "optional"

固有識別子 の使用が必要かどうか。

このメンバーが「not-allowed」の場合、 実装は、この構成から作成された任意のオブジェクトに関連付けられたどの操作についても、 固有識別子または固有の永続識別子を使用 してはならない。

persistentState の型は MediaKeysRequirement、既定値は "optional"

状態を永続化する能力が必要かどうか。これにはセッションデータおよび その他の種類の状態が含まれる。

このメンバーが 「not-allowed」 の場合、CDM は、このオブジェクトの Document のアプリケーションまたは origin に関連する いかなる状態も永続化してはならない。

注

このメンバーの目的上、永続状態には、 Key System 実装によって制御される永続的な一意識別子 （固有識別子） は含まれない。 distinctiveIdentifier は、この要件を独立して反映する。

永続状態がサポートされない場合に作成できるのは、 「temporary」 セッションのみである。

注

「temporary」 セッションについては、状態を保存する必要性および能力は Key System 実装固有であり、使用される機能によって 異なる場合がある。

注

非「temporary」 セッションを作成しようとするアプリケーションは、 requestMediaKeySystemAccess() を呼び出す際に、このメンバーを 「required」 に設定するべきである。

sessionTypes の型は sequence<DOMString>

サポートされなければならない MediaKeySessionType の リスト。すべての値がサポートされなければならない。

この辞書が requestMediaKeySystemAccess() に渡されるときに、このメンバーが存在しない [Infra] 場合、 この辞書は、このメンバーが [ "temporary" ] に設定されているものとして扱われる。

実装はこの辞書にメンバーを追加すべきではない（SHOULD NOT）。 メンバーが追加される場合、 それらは MediaKeysRequirement 型でなければならず （MUST）、かつ、最も広い アプリケーションとクライアントの組み合わせをサポートするために、既定値を "optional" にすることが 推奨される（RECOMMENDED）。

この辞書は、状態またはデータを CDM に渡すために使用してはならない（MUST NOT）。

WebIDLdictionary MediaKeySystemMediaCapability {
  DOMString contentType = "";
  DOMString? encryptionScheme = null;
  DOMString robustness = "";
};

このオブジェクトにより表される機能がサポートされるとみなされるためには、 contentType は 空文字列であってはならず（MUST NOT）、かつ、すべてのコーデックを含むその値全体が、 robustness と共に サポートされなければならない（MUST）。

keySystem 型は DOMString, readonly

使用されているキーシステムを識別する。

getConfiguration()

requestMediaKeySystemAccess() アルゴリズムにより選択された、サポートされる構成オプションの組み合わせを返す。

返されるオブジェクトは、このオブジェクトで解決されたpromiseを返した requestMediaKeySystemAccess() 呼び出しに渡された、最初に満たされた MediaKeySystemConfiguration 構成の非厳密な部分集合（および暗黙の既定値）である。 その単一の構成で指定されていない機能の値（暗黙の既定値を除く）は含まれず、 したがってキーシステム実装の すべての機能を反映しない場合がある。構成内のすべての値は任意の組み合わせで使用できる。 型が MediaKeysRequirement であるメンバーは、 その機能がいずれかの組み合わせで必要かどうかを反映する。 それらは値 "optional" を持たない。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を実行しなければならない （MUST）。

1. このオブジェクトの configuration 値を返す。

   注記

   これにより、このメソッドが呼び出されるたびに、 configuration から新しいオブジェクトが作成され、初期化される。

   注記

   encryptionScheme がアプリケーションによって与えられていなかった場合でも、 累積された configuration は、特定の値を指定せずに ポリフィルがそのフィールドに対するユーザーエージェントのサポートを 検出できるように、値が null である encryptionScheme フィールドを依然として含まなければならない。

createMediaKeys()

keySystem 用の新しい MediaKeys オブジェクトを作成する。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を実行しなければならない （MUST）。

1. promise を新しいpromiseとする。

2. 次の手順を並列に実行する。

   1. configuration を、このオブジェクトの configuration 値の値とする。

   2. configuration の distinctiveIdentifier メンバーの値が "required" である場合、use distinctive identifier を true とし、 それ以外の場合は false とする。

   3. configuration の persistentState メンバーの値が "required" である場合、persistent state allowed を true とし、 それ以外の場合は false とする。

   4. 必要であれば、このオブジェクトの cdm implementation 値により表される キーシステム実装を読み込み、初期化する。

   5. instance を、このオブジェクトの cdm implementation 値により表されるキーシステム実装の新しいインスタンスとする。

   6. configuration を用いて、キーシステム機能を有効化、無効化、かつ/または選択するように instance を初期化する。

   7. use distinctive identifier が false である場合、 instance が特徴的な 識別子および特徴的な永続識別子を使用することを防止する。

   8. persistent state allowed が false である場合、 instance が、このオブジェクトの Document のアプリケーションまたは オリジンに関連する いかなる状態も永続化することを防止する。

   9. 前述の手順のいずれかが失敗した場合、適切なエラー 名を名前に持つ新しい DOMException で promise を拒否する。

   10. media keys を新しい MediaKeys オブジェクトとし、 次のように初期化する。

       1. use distinctive identifier 値を use distinctive identifier とする。

       2. persistent state allowed 値を persistent state allowed とする。

       3. supported session types 値を、 configuration の sessionTypes メンバーの値とする。

       4. cdm implementation 値をこのオブジェクトの cdm implementation 値とする。

       5. cdm instance 値を instance とする。

   11. promise を media keys で解決する。

3. promise を返す。

createSession()

新しい MediaKeySession オブジェクトを返す。

注

sessionType パラメーターは、返されるオブジェクトの動作に影響する。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を実行しなければならない （MUST）。

1. このオブジェクトの supported session types 値が sessionType を含まない場合、throw [WEBIDL] で NotSupportedError を投げる。

   注

   永続セッションタイプか? アルゴリズムが true を返す sessionType 値は、 このオブジェクトの persistent state allowed 値が false である場合、失敗する。

2. 実装が現在の状態で MediaKeySession 操作を サポートしない場合、throw [WEBIDL] で InvalidStateError を投げる。

   注

   一部の実装は、この MediaKeys オブジェクトが setMediaKeys() を用いてメディア要素に関連付けられるまで、 MediaKeySession アルゴリズムを 実行できない。この手順により、アプリケーションはそのような操作を試みる前に、 この一般的でない動作を検出できる。

3. session を新しい MediaKeySession オブジェクトとし、 次のように初期化する。

   1. sessionId 属性を空文字列とする。

   2. expiration 属性を NaN とする。

   3. closed 属性を 新しいpromiseとする。

   4. key status を新しい空の MediaKeyStatusMap オブジェクトとし、次のように初期化する。

      1. size 属性を 0 とする。

   5. session type 値を sessionType とする。

   6. uninitialized 値を true とする。

   7. callable 値を false とする。

   8. closing or closed 値を false とする。

   9. use distinctive identifier 値を、このオブジェクトの use distinctive identifier 値とする。

   10. cdm implementation 値を、このオブジェクトの cdm implementation とする。

   11. cdm instance 値を、このオブジェクトの cdm instance とする。

4. session を返す。

getStatusForPolicy()

与えられた MediaKeysPolicy に対する MediaKeyStatus を返す。

WebIDLdictionary MediaKeysPolicy {
    DOMString minHdcpVersion;
};

MediaKeysPolicy 辞書は、任意のプロパティのみで構成されるオブジェクトである。 各プロパティはポリシー要件を表す。すべての要件に基づいて CDM が復号済みメディアデータの提示を許可する場合、 ポリシーは満たされているという。

HDCPポリシーは minHdcpVersion により表される。 システムが指定されたHDCPバージョン以上を有効化できる場合、そのポリシーは "usable" の MediaKeyStatus になる。 [EME-HDCP-VERSION-REGISTRY] は、 minHdcpVersion 値から HDCP仕様への対応付けを提供する。

注

HDCPステータスの判定は、CDM が再生中にそのような制限を強制する方法と同じ方法で行われるべきである。 これにより、アプリケーション開発者は、再生を開始するために取得するコンテンツを 最適化できるよう、妥当なヒントを得ることができる。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を実行しなければならない （MUST）。

1. policy に存在する 辞書メンバーがない場合、 新しく作成された TypeError で拒否された promiseを返す。

2. promise を新しいpromiseとする。

3. 次の手順を実行するためにタスクを キューに入れる。

   1. policy の各辞書 メンバーについて、次の手順を実行する。

      1. キーが有効な MediaKeysPolicy メンバーでない、または値の型が正しくない場合、promise を TypeError で拒否し、これらの手順を中止する。

   2. policy の各辞書 メンバーについて、次の手順を実行する。

      1. CDM が、その 辞書 メンバーに対する MediaKeyStatus を判定できない場合、promise を NotSupportedError で拒否し、これらの手順を中止する。

   3. policy の各辞書 メンバーについて、次の手順を実行する。

      1. CDM が、その 辞書 メンバーについて復号済みメディアデータの提示をブロックする場合、 promise を "output-restricted" で解決し、これらの手順を中止する。

   4. promise を "usable" で解決する。

4. promise を返す。

setServerCertificate()

ライセンスサーバーへのメッセージの暗号化に使用されるサーバー証明書を提供する。

そのような証明書を使用するキーシステムでは、アプリケーションはサーバー証明書を 明示的に設定するために setServerCertificate() を呼び出すべきである（SHOULD）。 そうしない場合、ライセンス交換が失敗することがある。

注

一部のキーシステムは、"message" イベントをキューに入れるアルゴリズムを介して サーバーから証明書を要求することもサポートする。しかし、 これはそのような証明書を使用するすべてのキー システムでサポートされているわけではない。

サーバー証明書の内容はキーシステム固有である。 実行可能コードを含んではならない（MUST NOT）。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を実行しなければならない （MUST）。

1. このオブジェクトの cdm implementation 値によって表されるキーシステム実装がサーバー証明書をサポートしない場合、false で解決された promise を返す。

2. serverCertificate が空である場合、新たに作成された TypeError で拒否された promise を返す。

3. certificate を、serverCertificate によって保持されているバイトのコピーを取得する結果とする。

4. promise を新しい promise とする。

5. 次の手順を並列に実行する:

   1. sanitized certificate を、certificate の検証済みおよび/またはサニタイズ済みバージョンとする。

      注

      ユーザーエージェントは、証明書を CDM に渡す前に、徹底的に検証するべきである。これには、 値が妥当な 制限内にあることの確認、無関係なデータまたはフィールドの除去、事前解析、サニタイズ、 および/または完全にサニタイズされたバージョンの生成が含まれ得る。ユーザーエージェントは、 フィールドの長さおよび値が妥当であることを確認するべきである。不明なフィールドは 拒否または削除されるべきである。

   2. このオブジェクトの cdm instance を使用して、sanitized certificate を処理する。

   3. 前の手順が失敗した場合、適切なエラー 名を名前に持つ新しい DOMException で promise を拒否する。

   4. true で promise を解決する。

6. promise を返す。

このセクションは、ストレージおよび永続性に関する一般的な要件を記述する。

MediaKeys オブジェクトの persistent state allowed 値が false である場合、そのオブジェクトの cdm instance は、このオブジェクトまたは これが作成する任意のセッションに対する操作の結果として、状態を永続化したり、 以前に永続化された状態にアクセスしたりしてはならない（SHALL NOT）。

MediaKeys オブジェクトの persistent state allowed 値が true である場合、そのオブジェクトの cdm instance は、このオブジェクトまたは これが作成する任意のセッションに対する操作の結果として、状態を永続化したり、 以前に永続化された状態にアクセスしたりしてもよい（MAY）。

ユーザーエージェントは、永続化されたデータを、 このオブジェクトのDocumentのオリジンだけが アクセスできるように、常に保存しなければならない。加えて、ユーザーエージェントは、そのデータを現在の 閲覧プロファイルにのみ アクセス可能にしなければならない。ユーザーエージェントは、他の 閲覧プロファイル、ユーザーエージェント、およびアプリケーションが保存されたデータにアクセスすることを 許可してはならない。ユーザーデバイスに保存される情報を参照。

永続ストレージをサポートする際の追加の考慮事項については、10. セキュリティおよび11. プライバシーを参照。

sessionId 型は DOMString, readonly

このオブジェクト、および関連付けられたキーまたはライセンスの セッションID。

expiration 型は unrestricted double, readonly

セッション内のすべてのキーについての有効期限時刻、またはそのような 時刻が存在しない場合、あるいはライセンスが明示的に期限切れにならない場合は NaN。これは CDM によって決定される。 この値は、セッションの存続期間中に変更される可能性がある。たとえば、ある操作が ウィンドウの開始をトリガーする場合などである。

closed 型は Promise<MediaKeySessionClosedReason>, readonly

セッション閉鎖アルゴリズムの実行の結果として オブジェクトが閉じられるときに通知する。 このpromiseは履行されるだけであり、拒否されることはない。

keyStatuses 型は MediaKeyStatusMap, readonly

セッションに既知であるキー IDから、関連付けられたキーの現在のステータスへの読み取り専用マップへの参照。 各エントリーは一意なキーIDを持たなければならない（MUST）。

注記

マップのエントリーとその値は、イベントループが回るたびに更新される可能性がある。 マップが不整合になったり部分的に更新されたりすることはないが、アクセスの間に イベントループが回った場合、アクセス間で変更される可能性がある。キー ID は、 load() または update() 呼び出しの 結果として追加される可能性がある。キー ID は、既存のキーに関する知識を削除する （または既存のキーの集合を新しい集合で置き換える）update() 呼び出しの 結果として削除される可能性がある。キー ID は、有効期限切れなどにより使用不能になった場合でも 削除されない。その代わり、そのようなキーには "expired" などの 適切な状態が与えられMUST。

注記

一部の古いプラットフォームには、キー ID を公開しない キーシステム実装が含まれる場合があり、 適合するユーザーエージェント実装を提供することが不可能になる。そのような場合、 相互運用性を最大化するために、空でないリストが適切であるときは常に （たとえば、このオブジェクトによって表されるキーセッションが キーを含むことができる場合）、 マップには、1 バイトのキー ID 0 と、このオブジェクトの集約された状態に 最も適した MediaKeyStatus を含む 単一のペアが設定される。

onkeystatuseschange 型は EventHandler

keystatuseschange イベントの イベントハンドラー。

onmessage 型は EventHandler

message イベントの イベントハンドラー。

generateRequest()

initData に基づいてライセンス要求を生成する。アルゴリズムが成功し、 promise が解決される場合、型が "license-request" または "individualization-request" であるmessageが常にキューに入れられる。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を実行し MUST：

1. このオブジェクトの closing or closed 値が true である場合、 InvalidStateError で reject された promise を返す。

2. このオブジェクトの uninitialized 値が false である場合、 InvalidStateError で reject された promise を返す。

3. このオブジェクトの uninitialized 値を false とする。

4. initDataType が空文字列である場合、新しく作成された TypeError で reject された promise を返す。

5. initData が空である場合、新しく作成された TypeError で reject された promise を返す。

6. このオブジェクトの cdm implementation 値によって表される Key System 実装が、 initDataType をInitialization Data Typeとしてサポートしていない場合、 NotSupportedError で reject された promise を返す。文字列比較は大小文字を区別する。

7. init data を、 initData によって保持されているバイトのコピーを取得する 結果とする。

8. session type をこのオブジェクトの session type とする。

9. promise を新しい promise とする。

10. 次の手順を並行して実行する：

    1. init data が initDataType に対して有効でない場合、 promise を、新しく作成された TypeError で reject する。

    2. sanitized init data を、 init data の検証済みかつサニタイズ済みの版とする。

       ユーザーエージェントは、Initialization Data を CDM に渡す前に、 徹底的に検証し MUST。これには、フィールドの長さと値が 妥当であることの検証、値が妥当な制限内にあることの検証、および無関係な、 サポートされていない、または未知のデータやフィールドの除去が含まれる。 ユーザーエージェントが Initialization Data を事前解析、 サニタイズ、かつ／または完全にサニタイズ済みの版として生成することが RECOMMENDED。initDataType によって指定される Initialization Data 形式が複数のエントリーをサポートする場合、 ユーザーエージェントは CDM に不要なエントリーを削除し SHOULD。ユーザーエージェントは Initialization Data 内のエントリーを並べ替えてはならない MUST NOT。

    3. 先行する手順が失敗した場合、promise を、新しく作成された TypeError で reject する。

    4. sanitized init data が空である場合、promise を NotSupportedError で reject する。

    5. session id を空文字列とする。

    6. message を null とする。

    7. message type を null とする。

    8. cdm を、このオブジェクトの cdm instance 値によって表される CDM インスタンスとする。

    9. cdm を使用して次の手順を実行する：

       1. sanitized init data が cdm によってサポートされていない場合、 promise を NotSupportedError で reject する。

       2. 次のリストから、session type の値に対する手順に従う：

          "temporary"

          requested license typeを、一時的な 永続化不能 ライセンスとする。CDMは、 ライセンスに関連する情報を永続化してはならず、また永続化を要求しては ならない（MUST NOT）。

          "persistent-license"

          requested license typeを、永続化可能なライセンスとする。

       3. session id を一意の Session ID 文字列とする。

          session type に対して Is persistent session type? アルゴリズムを実行した結果が true である場合、 その ID は、このオブジェクトの Document のorigin 内で、時間の経過を通じて、Document 間および閲覧セッション間を含めて一意でなければならない MUST。

       4. sanitized init data に基づいて、 requested license type のライセンス要求を生成できる場合：

          1. message を、 initDataType ごとに解釈された sanitized init data に基づいて生成された、 requested license type のライセンス要求とする。

             CDM である cdm は、 sanitized init data を介して提供されていない、 media data を含むストリーム固有のデータを使用してはならない MUST NOT。

             CDM である cdm は、この時点でセッション ID を含む セッションデータを保存すべきではない SHOULD NOT。Session Storage and Persistence を参照。

          2. message type を "license-request" とする。

          そうでない場合：

          1. message を、 sanitized init data に基づいて requested license type のライセンス要求を生成できるようになる前に 処理する必要がある要求とする。

             その後の update() 呼び出しにおいて、 CDM は、initDataType ごとに解釈された sanitized init data に基づいて、 requested license type のライセンス要求を生成し MUST。

          2. message type を、message の型、 すなわち "license-request" または "individualization-request" を反映するものとする。

    10. 次の手順を実行するようにタスクをキューに入れる：

        1. 先行する手順のいずれかがリソース不足により失敗した場合、 promise を QuotaExceededError で reject する。

        2. 先行する手順のいずれかがその他の理由で失敗した場合、 promise を、その name が適切な error name である新しい DOMException で reject する。

        3. sessionId 属性を session id に設定する。

        4. このオブジェクトの callable 値を true に設定する。

        5. promise を undefined で resolve する。

        6. session に対して Queue a "message" Event アルゴリズムを実行し、message type と message を提供する。

11. promise を返す。

load()

指定されたセッション用に保存されたデータをこのオブジェクトに読み込む。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を実行し MUST：

1. このオブジェクトの closing or closed 値が true である場合、 InvalidStateError で reject された promise を返す。

2. このオブジェクトの uninitialized 値が false である場合、 InvalidStateError で reject された promise を返す。

3. このオブジェクトの uninitialized 値を false とする。

4. sessionId が空文字列である場合、新しく作成された TypeError で reject された promise を返す。

5. このオブジェクトの session type に対して Is persistent session type? アルゴリズムを実行した結果が false である場合、新しく作成された TypeError で reject された promise を返す。

6. origin を、このオブジェクトの Document のorigin とする。

7. promise を新しい promise とする。

8. 次の手順を並行して実行する：

   1. sanitized session ID を、sessionId の 検証済みかつ／またはサニタイズ済みの版とする。

      注記

      ユーザーエージェントは、sessionId 値を CDM に渡す前に 徹底的に検証すべきである。少なくとも、長さと値が妥当であること （たとえば、数十文字より長くなく、英数字であること）の確認を含むべきである。

   2. 先行する手順が失敗した場合、または sanitized session ID が空である場合、 promise を、新しく作成された TypeError で reject する。

   3. このオブジェクトの Document 内に、 closed でない MediaKeySession オブジェクトであって、 その sessionId 属性が sanitized session ID であるものが存在する場合、 promise を QuotaExceededError で reject する。

      注記

      言い換えれば、この閲覧コンテキスト内で、この sanitized session ID に対して、 型に関係なく閉じられていないセッションがすでに存在する場合は、セッションを作成しない。

   4. expiration time を NaN とする。

   5. message を null とする。

   6. message type を null とする。

   7. cdm を、このオブジェクトの cdm instance 値によって表される CDM インスタンスとする。

   8. cdm を使用して次の手順を実行する：

      1. origin 内に sanitized session ID 用に保存されたデータが 存在しない場合、promise を false で resolve し、 このアルゴリズムの並行手順を中止する。

      2. 保存されたセッションの session type が、現在の MediaKeySession の session type と同じでない場合、 promise を、新しく作成された TypeError で reject する。

      3. session data を、origin 内の sanitized session ID 用に保存されたデータとする。これは他の origin からの データ、または origin に関連付けられていないデータを含んではならない MUST NOT。

      4. いずれかの Document 内に、closed でない MediaKeySession オブジェクトであって session data を表すものが存在する場合、promise を QuotaExceededError で reject する。

         注記

         言い換えれば、いずれかの閲覧コンテキスト内で、 この sanitized session ID に対して閉じられていない 永続セッションがすでに存在する場合は、セッションを作成しない。

      5. session data を読み込む。

      6. session data がセッションの expiration time を示す場合、expiration time をその有効期限時刻とする。

      7. メッセージを送信する必要がある場合、次の手順を実行する：

         1. message を、session data に基づいて生成された メッセージとする。

         2. message type を、そのメッセージに適切な MediaKeyMessageType とする。

   9. 次の手順を実行するようにタスクをキューに入れる：

      1. 先行する手順のいずれかが失敗した場合、promise を適切な error name で reject する。

      2. sessionId 属性を sanitized session ID に設定する。

      3. このオブジェクトの callable 値を true に設定する。

      4. 読み込まれたセッションがいずれかのキーに関する情報を含む場合 （known keys がある場合）、 session に対して Update Key Statuses アルゴリズムを実行し、各キーの key ID と、適切な MediaKeyStatus を提供する。

         キーの状態を確実に決定するために追加処理が必要である場合は、 "status-pending" を使用する。1 つ以上のキーに対する追加処理が完了したら、 実際の状態を用いて Update Key Statuses アルゴリズムを再度実行する。

      5. session に対して Update Expiration アルゴリズムを実行し、 expiration time を提供する。

      6. promise を true で resolve する。

      7. message が null でない場合、session に対して Queue a "message" Event アルゴリズムを実行し、message type と message を提供する。

9. promise を返す。

update()

ライセンスを含むメッセージを CDM に提供する。

response パラメーターは、CDM に提供されるメッセージを含む。 内容は Key System 固有である。これは実行可能コードを含んではならない MUST NOT。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を実行し MUST：

1. このオブジェクトの closing or closed 値が true である場合、 InvalidStateError で reject された promise を返す。

2. このオブジェクトの callable 値が false である場合、 InvalidStateError で reject された promise を返す。

3. response が空である場合、新しく作成された TypeError で reject された promise を返す。

4. response copy を、 response によって保持されているバイトのコピーを取得する 結果とする。

5. promise を新しい promise とする。

6. 次の手順を並行して実行する：

   1. sanitized response を、 response copy の検証済みかつ／またはサニタイズ済みの版とする。

      注記

      ユーザーエージェントは、response を CDM に渡す前に徹底的に検証すべきである。 これには、値が妥当な制限内にあることの検証、無関係なデータやフィールドの除去、 事前解析、サニタイズ、かつ／または完全にサニタイズ済みの版の生成が含まれ得る。 ユーザーエージェントは、フィールドの長さと値が妥当であることを確認すべきである。 未知のフィールドは reject されるか削除されるべきである。

   2. 先行する手順が失敗した場合、または sanitized response が空である場合、 promise を、新しく作成された TypeError で reject する。

   3. message を null とする。

   4. message type を null とする。

   5. session closed を false とする。

   6. cdm を、このオブジェクトの cdm instance 値によって表される CDM インスタンスとする。

   7. cdm を使用して次の手順を実行する：

      1. sanitized response の形式が何らかの点で無効である場合、 promise を、新しく作成された TypeError で reject する。

      2. sanitized response を処理し、次のリストから最初に一致する条件の規定に従う：

         sanitized response がライセンスまたはキーを含む場合

         注記

         これには、初期ライセンス、更新されたライセンス、および ライセンス更新メッセージが含まれる。

         sanitized response を処理し、 次のリストから最初に一致する条件の規定に従う：

         sessionType が "temporary" であり、かつ sanitized response が、それに含まれる ライセンス、キー、または類似のセッションデータを含むセッションデータを 保存すべきであることを指定していない場合

         セッションデータを保存せずに sanitized response を処理する。

         sessionType が "persistent-license" であり、かつ sanitized response が永続化可能なライセンスを含む場合

         sanitized response に含まれるライセンス／キーおよび関連する セッションデータを保存して、sanitized response を処理する。 そのようなデータは、このオブジェクトの Document のorigin のみがアクセスできるように保存されなければならない MUST。

         そうでない場合

         promise を、新しく作成された TypeError で reject する。

         Session Storage and Persistence も参照。

         各セッションのキーを含む状態情報は、たとえ重複するキー ID を含む場合でも、 あるセッションを閉じても他のセッションの観測可能な状態に影響しないような方法で 保存されなければならない MUST。

         注記

         sanitized response がキーかつ／または関連データを含む場合、 cdm は、おそらくキーおよび関連データをキー ID によって インデックス付けして（メモリ内に）保存する。

         注記

         セッション内の置換アルゴリズムは Key System 依存である。

         注記

         CDM 実装が、MediaKeySession オブジェクトごとの標準かつ合理的に高いキーの最小数を、標準の置換アルゴリズムとともにサポートし、 さらに標準かつ合理的に高い数の MediaKeySession オブジェクトをサポートすることが RECOMMENDED。 これにより、合理的な数のキー回転アルゴリズムをユーザーエージェント間で 実装できるようになり、同じ要素内のさまざまなストリーム （たとえば、適応ストリーム、さまざまなオーディオトラックおよびビデオ トラック）が異なるキーを使用するユースケースで、再生中断の可能性を 低減できる。

         sanitized response が record of license destruction の確認応答を含み、かつ sessionType が "persistent-license" である場合

         次の手順を実行する：

         1. key session を閉じ、 このオブジェクトに関連付けられた保存済みセッションデータを すべて消去する。これには sessionId および record of license destruction が含まれる。

            注記

            このオブジェクトの sessionId の値を用いた、その後の load() 呼び出しは、そのセッション ID 用に保存されたデータが存在しないため失敗する。

         2. session closed を true に設定する。

         そうでない場合

         セッションデータを保存せずに sanitized response を処理する。

         注記

         たとえば、sanitized response は、別の message イベントを生成するために使用される情報を含む場合がある。この場合、 内容を sessionType と照合して検証する必要はない。

      3. メッセージを送信する必要がある場合、次の手順を実行する：

         1. message をそのメッセージとする。

         2. message type を、そのメッセージに適切な MediaKeyMessageType とする。

   8. 次の手順を実行するようにタスクをキューに入れる：

      1. session closed が true である場合：

         このオブジェクトに対して Session Closed アルゴリズムを理由 "release-acknowledged" で実行する。

         そうでない場合：

         次の手順を実行する：

         1. このオブジェクトについて CDM にknown なキーの集合が 変更された場合、またはいずれかのキーの状態が変更された場合、 session に対して Update Key Statuses アルゴリズムを実行し、各既知のキーの key ID と、適切な MediaKeyStatus を提供する。

            キーの状態を確実に決定するために追加処理が必要である場合は、 "status-pending" を使用する。1 つ以上のキーに対する追加処理が完了したら、 実際の状態を用いて Update Key Statuses アルゴリズムを再度実行する。

         2. セッションの expiration time が変更された場合、 session に対して Update Expiration アルゴリズムを実行し、 新しい有効期限時刻を提供する。

         3. 先行する手順のいずれかが失敗した場合、 promise を、その name が適切な error name である新しい DOMException で reject する。

         4. message が null でない場合、 session に対して Queue a "message" Event アルゴリズムを実行し、 message type と message を提供する。

      2. promise を undefined で resolve する。

7. promise を返す。

close()

アプリケーションがセッションをもはや必要としておらず、 CDM が セッションに関連付けられた任意のリソースを解放してそれを閉じるべきであることを示す。 永続化されたデータは解放または消去されるべきではない。

注記

返される promise は、要求が処理されたときに解決され、 セッションが閉じられると、 closed 属性の promise は "closed-by-application" で解決される。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を実行し MUST：

1. このオブジェクトの closing or closed 値が true である場合、 undefined で解決された promise を返す。

2. このオブジェクトの callable 値が false である場合、 InvalidStateError で reject された promise を返す。

3. promise を新しい promise とする。

4. このオブジェクトの closing or closed 値を true に設定する。

5. 次の手順を並行して実行する：

   1. cdm を、このオブジェクトの cdm instance 値によって表される CDM インスタンスとする。

   2. cdm を使用して、このオブジェクトに関連付けられた key session を閉じる。

      注記

      key session を閉じると、明示的に保存されていないライセンスおよびキーが破棄される。

   3. 次の手順を実行するようにタスクをキューに入れる：

      1. promise を undefined で resolve する。

      2. このオブジェクトに対して Session Closed アルゴリズムを理由 "closed-by-application" で実行する。

6. promise を返す。

remove()

セッションに関連付けられたすべてのライセンスおよびキーを削除する。 persistent session types については、 release message acknowledgement が update() によって処理されると、各セッション型に対して定義されるとおり、その他のセッションデータが 消去される。

このメソッドが呼び出されたとき、ユーザーエージェントは次の手順を実行し MUST：

1. このオブジェクトの closing or closed 値が true である場合、 InvalidStateError で reject された promise を返す。

2. このオブジェクトの callable 値が false である場合、 InvalidStateError で reject された promise を返す。

3. promise を新しい promise とする。

4. 次の手順を並行して実行する：

   1. cdm を、このオブジェクトの cdm instance 値によって表される CDM インスタンスとする。

   2. message を null とする。

   3. message type を null とする。

   4. cdm を使用して次の手順を実行する：

      1. いずれかのライセンスかつ／またはキーがセッションに関連付けられている場合：

         1. セッションに関連付けられたライセンスかつ／またはキーを破棄する。

            注記

            これは、ライセンスかつ／またはキーがメモリ内、永続ストア内、 またはその両方にあるかどうかにかかわらず、それらを破棄することを意味する。

         2. 次のリストから、このオブジェクトの session type の値に対する手順に従う：

            "temporary"

            次の手順を続行する。

            "persistent-license"

            1. record of license destruction を、 このオブジェクトによって表されるライセンスの record of license destruction とする。

            2. record of license destruction を保存する。

            3. message を、 record of license destruction を含む、 またはそれを反映するメッセージとする。

   5. 次の手順を実行するようにタスクをキューに入れる：

      1. session に対して Update Key Statuses アルゴリズムを実行し、セッション内のすべての key ID と、 それぞれに対する "released" MediaKeyStatus 値を提供する。

      2. session に対して Update Expiration アルゴリズムを実行し、 NaN を提供する。

      3. 先行する手順のいずれかが失敗した場合、promise を、その name が 適切な error name である新しい DOMException で reject する。

      4. message type を "license-release" とする。

      5. promise を undefined で resolve する。

      6. message が null でない場合、 session に対して Queue a "message" Event アルゴリズムを実行し、 message type と message を提供する。

5. promise を返す。

MediaKeyStatusMap オブジェクトは、 キーIDから関連付けられたキーの現在の ステータスへの読み取り専用マップである。

キーのステータスは、そのキーが現在使用されているかどうか、およびメディアデータから独立している。

WebIDL[Exposed=Window, SecureContext] interface MediaKeyStatusMap {
  iterable<BufferSource,MediaKeyStatus>;
  readonly attribute unsigned long size;
  boolean has (BufferSource keyId);
  (MediaKeyStatus or undefined) get (BufferSource keyId);
};

WebIDLenum MediaKeyStatus {
  "usable",
  "expired",
  "released",
  "output-restricted",
  "output-downscaled",
  "usable-in-future",
  "status-pending",
  "internal-error"
};

MediaKeyStatus 列挙型は次のように定義される:

MediaKeyMessageEvent オブジェクトは、message イベントに使用される。

WebIDLenum MediaKeyMessageType {
  "license-request",
  "license-renewal",
  "license-release",
  "individualization-request"
};

MediaKeyMessageType は次のように定義される:

WebIDL[Exposed=Window, SecureContext]
interface MediaKeyMessageEvent : Event {
  constructor(DOMString type, MediaKeyMessageEventInit eventInitDict);
  readonly attribute MediaKeyMessageType messageType;
  readonly attribute ArrayBuffer         message;
};

WebIDLdictionary MediaKeyMessageEventInit : EventInit {
  required MediaKeyMessageType messageType;
  required ArrayBuffer         message;
};

メソッドは、返されたpromiseを単純例外 [WEBIDL] または DOMException で拒否することにより エラーを報告する。アルゴリズムでは、[WEBIDL] の次の 単純 例外および DOMException 名が使用される。 アルゴリズムで指定された原因は各名前と並べて示されるが、これらの名前は他の理由にも 使用してよい（MAY）。

このセクションは、アルゴリズムを補完するセッションストレージおよび永続性の概要を提供する。

次の要件は、Storage and Persistence の要件に加えて適用される。

このオブジェクトの session type に対して Is persistent session type? アルゴリズムを実行した結果が false である場合、ユーザーエージェントおよび CDM は、いかなる時点においても、 セッションに関する記録またはデータを永続化してはならない MUST NOT。 これには、ライセンス、キー、ライセンス 破棄の記録、および Session ID が含まれる。

このセクションの残りは、Is persistent session type? アルゴリズムが true を返すセッション型に適用される。

CDM は、 update() が最初に呼び出されるまで、 Session ID を含むセッションデータを保存すべきではない SHOULD NOT。 具体的には、CDM は、generateRequest() アルゴリズム中にセッションデータを保存すべきではない SHOULD NOT。これにより、アプリケーションがセッションを認識し、 最終的にそれを削除する必要があることを把握できるようになる。

セッションに関連付けられたすべてのデータは、セッションが消去されるときに消去されなければならない MUST。たとえば、 update() において ライセンス破棄の記録 の確認応答を処理する場合などである。Persistent Data を参照。

CDM は、所与のセッションのデータが、いずれかの Document 内でclosed でない MediaKeySession オブジェクト 1 つのみに存在することを 保証しなければならない MUST。 言い換えれば、sessionId パラメーターで指定されるセッションを表す MediaKeySession がすでに存在する場合、 それが generateRequest() によって作成したオブジェクトがまだアクティブであるためであれ、別の オブジェクトに load() によって読み込まれているためであれ、 load() は 失敗しなければならない MUST。セッションは、それを表したことのあるすべてのオブジェクトが closed である場合に限り、再度読み込まれてもよい MAY。

Is persistent session type? アルゴリズムが true を返す型を使用してセッションを作成するアプリケーションは、後で、まず remove() を使用して削除処理を開始し、 その後、メッセージ交換を伴う可能性のある削除処理が正常に完了することを保証することによって、 保存されたデータを削除すべきである SHOULD。 CDM も適宜セッションを削除してもよい MAY が、アプリケーションは これに依存すべきではない SHOULD NOT。

永続ストレージをサポートする際の追加の考慮事項については、10. Security および 11. Privacy を参照。

mediaKeys 型は MediaKeys, readonly, nullable

このメディア要素について、暗号化されたメディアデータを 復号するときに使用される MediaKeys。

onencrypted 型は EventHandler

encrypted イベントのイベントハンドラー。すべての HTMLMediaElement により、コンテンツ属性およびIDL属性の両方としてサポートされなければならない （MUST）。

onwaitingforkey 型は EventHandler

waitingforkey イベントの イベントハンドラー。すべての HTMLMediaElement により、コンテンツ属性およびIDL属性の両方としてサポートされなければならない（MUST）。

setMediaKeys()

再生中にメディアデータを復号する際に使用する MediaKeys を提供する。

注記

再生中に関連付けられた MediaKeys オブジェクトを クリアまたは置き換えるサポートは、実装品質の問題である。多くの場合、 それは悪いユーザー体験または promise の reject をもたらす。

このメソッドが呼び出されたとき、ユーザーエージェントは次の 手順を実行しMUST：

1. このオブジェクトの attaching media keys 値が true である場合、 InvalidStateError で reject された promise を返す。

2. mediaKeys と mediaKeys 属性が 同じオブジェクトである場合、undefined で解決された promise を返す。

3. このオブジェクトの attaching media keys 値を true とする。

4. promise を新しい promise とする。

5. 次の手順を並行して実行する：

   1. 次のすべての条件が成り立つ場合：

      • mediaKeys が null でなく、

      • mediaKeys によって表される CDM インスタンスが すでに別のメディア要素によって使用されており、

      • ユーザーエージェントがそれをこの要素で使用できない

      ならば、次の手順を実行する：

      1. 次の手順を実行するようにタスクをキューに入れる：

         1. このオブジェクトの attaching media keys 値を false とする。

         2. promise を QuotaExceededError で reject する。

      2. これらの手順を中止する。

   2. mediaKeys 属性が null でない場合、次の手順を実行する：

      1. ユーザーエージェントまたは CDM が 関連付けの削除をサポートしていない場合、次の手順を実行する：

         1. 次の手順を実行するようにタスクをキューに入れる：

            1. このオブジェクトの attaching media keys 値を false とする。

            2. promise を NotSupportedError で reject する。

         2. これらの手順を中止する。

      2. 関連付けを現在削除できない場合、次の手順を実行する：

         注記

         たとえば、一部の実装では再生中の削除を許可しないことがある。

         1. 次の手順を実行するようにタスクをキューに入れる：

            1. このオブジェクトの attaching media keys 値を false とする。

            2. promise を InvalidStateError で reject する。

         2. これらの手順を中止する。

      3. mediaKeys 属性によって表される CDM インスタンスを、 メディア データの復号に使用することを停止し、メディア 要素との関連付けを削除する。

      4. 先行する手順が失敗した場合、次の手順を実行する：

         1. 次の手順を実行するようにタスクをキューに入れる：

            1. このオブジェクトの attaching media keys 値を false とする。

            2. promise を適切な error name で reject する。

         2. これらの手順を中止する。

   3. mediaKeys が null でない場合、次の手順を実行する：

      1. mediaKeys によって表される CDM インスタンスを、 メディア データを復号するためにメディア要素に関連付ける。

      2. 先行する手順が失敗した場合、次の手順を実行する：

         1. 次の手順を実行するようにタスクをキューに入れる：

            1. mediaKeys 属性を null に設定する。

            2. このオブジェクトの attaching media keys 値を false とする。

            3. promise を、その name が適切な error name である新しい DOMException で reject する。

         2. これらの手順を中止する。

   4. 次の手順を実行するようにタスクをキューに入れる：

      1. mediaKeys 属性を mediaKeys に設定する。

      2. このオブジェクトの attaching media keys 値を false とする。

      3. promise を undefined で resolve する。

      4. mediaKeys が null でない場合、メディア要素に対して Attempt to Resume Playback If Necessary アルゴリズムを実行する。

6. promise を返す。

MediaEncryptedEvent オブジェクトは、encrypted イベントに使用される。

WebIDL[Exposed=Window]
interface MediaEncryptedEvent : Event {
    constructor(DOMString type, optional MediaEncryptedEventInit eventInitDict = {});
    readonly        attribute DOMString    initDataType;
    readonly        attribute ArrayBuffer? initData;
};

WebIDLdictionary MediaEncryptedEventInit : EventInit {
  DOMString    initDataType = "";
  ArrayBuffer? initData = null;
};

ユーザーエージェントの実装者は、CDM が、 この仕様の機能を使用した保護されたメディアの再生に合理的に必要でない情報、ストレージ、 またはシステム機能にアクセスしないことを保証しなければならないMUST。 具体的には、CDM は次のことをしてはならない SHALL NOT：

• この仕様で明示的に許可されているようにユーザーエージェントを介する場合を除き、 ローカルまたはリモートのネットワークリソースにアクセスすること。

• この仕様の機能を使用した保護されたメディアの再生に合理的に必要な場合を除き、 ストレージ（たとえば、ディスクまたはメモリ）にアクセスすること。

• CDM 状態および永続データ以外のユーザーデータにアクセスすること。

• この仕様の機能を使用した保護されたメディアの再生に合理的に必要な場合を除き、 ハードウェアコンポーネントまたはデバイスにアクセスすること。

ユーザーエージェントの実装者は、上記の要件を満たすためにさまざまな技法を使用してもよい。 たとえば、独自の CDM も実装する ユーザーエージェントの実装者は、上記をそのコンポーネントの設計要件として含めてもよい。 第三者の CDM を利用するユーザーエージェントの実装者は、それが禁止された情報や コンポーネントにアクセスできない制約された環境（たとえば「サンドボックス」）で実行されることを 保証してもよい。

CDM との間のすべてのメッセージおよび通信、 たとえば CDM とライセンスサーバーの間の通信は、ユーザーエージェントを通して渡されなければならない MUST。CDM は、直接の帯域外ネットワーク要求を行ってはならない MUST NOT。Direct Individualization に記述されているもの以外のすべてのメッセージおよび通信は、この仕様で定義される API を介して アプリケーションを通して渡されなければならない MUST。 具体的には、アプリケーション固有、origin 固有、 またはコンテンツ固有の情報を含むすべての通信、またはアプリケーションによって指定された URL もしくはその origin に基づく URL に送信されるすべての通信は、API を通過しなければならない MUST。これには、すべてのライセンス交換メッセージが含まれる。

永続データには、CDM によって、または CDM に代わってユーザーエージェントによって保存され、 MediaKeys オブジェクトの破棄後も存在する すべてのデータが含まれる。 具体的には、Distinctive Identifier(s) を含む任意の識別子、 ライセンス、キー、キー ID、または ライセンス破棄の記録であって、 CDM によって、 または CDM に代わってユーザーエージェントによって 保存されたものが含まれる。

アプリケーションに公開される、または CDM による使用などを通じて アプリケーションが推測可能な値は、識別子として設計されているかどうかにかかわらず、 クライアントまたはユーザーを識別するために使用される可能性がある。このセクションは、 そのような懸念を回避、または少なくとも軽減するための要件を定義する。 識別子については追加の要件がある。

実装による識別子、特に特徴的な 識別子または特徴的な永続識別子の使用は、プライバシー上の懸念をもたらす。 このセクションは、そのような懸念を回避、または少なくとも軽減するための要件を定義する。 アプリケーションに公開される値の要件も、 アプリケーションに公開される識別子に適用される。

識別子、特に特徴的な識別子は、 個別化またはプロビジョニングと呼ばれるプロセスを通じて生成または取得される場合がある。 結果として得られる識別子は、アプリケーションによって関連付け不可能でなければ ならず、それらの使用は、単一の プロファイルからの単一のオリジンにのみ公開されなければならない。このプロセスは、 識別子が消去された後などに、複数回実行されても よい。

このプロセスは、ユーザーエージェントによって直接、またはアプリケーションを通じて実行されなければ ならない。2 種類の個別化についての仕組み、 フロー、および制約は、次の節で説明されるように異なる。どの方法が使用されるかは、 CDM の実装、および この仕様の要件、特に以下の要件の適用に依存する。

実装は、各 MediaKeySession オブジェクト内で複数のキーを サポートしなければならない（MUST）。

実装は、再生中のキー間のシームレスな切り替えをサポートしなければならない （MUST）。これには、同じ MediaKeySession 内のキーと、 別個の MediaKeySession オブジェクト内のキーの両方が 含まれる。

このセクションは、この仕様の実装によりサポートされるコンテンツ（メディア リソース）の特性を定義する。

"org.w3.clearkey" キーシステムは、ソースを復号するために 平文のクリア（暗号化されていない）キーを使用する。追加のクライアント側コンテンツ保護は 必要ない。このキーシステムを以下で説明する。

{
  "kids": [
    "LwVHf8JLtPrv2GUXFW2v_A",
    "0DdtU9od-Bh5L3xbv0Xf_A"
  ],
  "type": "temporary"
}

{
  "keys": [{
    "kty": "oct",
    "k": "tQ0bJVWb6b0KPL6KtZIy_A",
    "kid": "LwVHf8JLtPrv2GUXFW2v_A"
  }],
  "type": "temporary"
}

{
  "kids": [ "LwVHf8JLtPrv2GUXFW2v_A", "0DdtU9od-Bh5L3xbv0Xf_A" ]
}

{
  "kids": [
    "LwVHf8JLtPrv2GUXFW2v_A",
    "0DdtU9od-Bh5L3xbv0Xf_A"
  ]
}

ユーザーエージェントおよびキーシステム実装は、メディア データ、初期化データ、 update() に渡されるデータ、 ライセンス、キーデータ、およびアプリケーションにより提供されるその他すべてのデータを、 信頼できないコンテンツおよび潜在的な攻撃ベクトルとして扱わなければならない （MUST）。それらは、関連する脅威を軽減するために適切な保護策を 使用し、そのようなデータを安全に解析、復号などするよう注意しなければならない （MUST）。ユーザーエージェントは、データを CDM に渡す前に検証すべきである （SHOULD）。

実装は、アプリケーションに、プログラム制御フローに影響するアクティブコンテンツまたは パッシブコンテンツを返してはならない（MUST NOT）。

ユーザーエージェントは、ユーザーが安全にウェブを閲覧できる方法を提供する責任を負う。この 責任は、第三者からの機能を含め、ユーザーエージェントによって使用されるあらゆる機能に適用される。 ユーザーエージェントの実装者は、Key System の実装者から十分な 情報を取得し、Key System と統合することの セキュリティ上の影響を適切に評価できるようにしなければならない MUST。 ユーザーエージェントの実装者は、CDM 実装が、ユーザーエージェントがユーザーの セキュリティを提供するために十分な制御を提供し、かつ／またはサポートすることを 保証しなければならない MUST。ユーザーエージェントの実装者は、CDM 実装が、セキュリティ脆弱性が発生した場合に、迅速かつ先行的に更新可能であり、 実際に更新されることを保証しなければならない MUST。

完全にサンドボックス化されていない、かつ／またはプラットフォーム機能を使用する CDM 実装を悪用すると、攻撃者が OS またはプラットフォーム機能にアクセスしたり、 権限を昇格させたり（たとえば system または root として実行したり）、かつ／またはドライバー、 カーネル、ファームウェア、ハードウェアなどにアクセスしたりできる可能性がある。 そのような機能、ソフトウェア、およびハードウェアは、悪意あるソフトウェアまたは ウェブベースの攻撃に対して堅牢になるように書かれていない可能性があり、特に ユーザーエージェントと比較して、セキュリティ修正で更新されない可能性がある。 CDM 実装におけるセキュリティ 脆弱性の修正が存在しない、頻度が低い、または遅いことは、リスクを増大させる。そのような CDM 実装およびそれらを公開する UA は、すべてのデータの解析を含め、 セキュリティのあらゆる領域において特に注意しなければならない MUST。

ユーザーエージェントが、十分にサンドボックス化できない、またはその他の方法で十分に 保護できない Key System 実装をサポートすることを選択する場合、 ユーザーエージェントは、それを読み込む、または呼び出す前に、ユーザーが十分に情報を得ていること、かつ／または明示的な同意を与えることを保証する べきである SHOULD。

EMEおよびキーシステムにより 開示される情報に関する懸念は、2つのカテゴリに分類される: (a) 非特定情報であるが、 それでもユーザーエージェントまたはデバイスのフィンガープリンティング可能性に寄与し得る情報に関する懸念、 および (b) ユーザー追跡に直接使用され得るユーザー固有情報。

悪意あるアプリケーションは、サポートされている Key Systems のリストおよび関連情報を検出または 列挙することにより、ユーザーまたはユーザーエージェントをフィンガープリントできる可能性がある。適切な オリジン保護が提供されていない場合、これには、訪問済みのサイトの検出や、 それらのサイトのために保存された情報が含まれる可能性がある。特に、Key Systems は、origins 間で鍵またはその他のデータを共有しては ならない。

この仕様のいくつかの機能は、フィンガープリンティングにわずかに寄与し得る能力情報を公開する:

• encryptionScheme メンバーは、 MediaKeySystemMediaCapability のメンバーであり、キーシステムがどの暗号化方式を サポートするかを明らかにする。この情報は大部分が キーシステム自体により 決定されるため、アプリケーションによるキーシステムの選択からすでに示唆されるものを ほとんど超えない。

• getStatusForPolicy() は、指定されたHDCPポリシーを適用できるかどうかを明らかにする。これは現在接続されている ディスプレイチェーンの能力を反映し、ユーザーがディスプレイを再構成した場合、 セッション中に変化することがある。

ユーザーエージェントは、ユーザーの匿名性を保持すること、および/または閲覧活動の記録が クライアント上に永続化されないことを確保することを意図した動作モード（例: プライベートブラウジング）を サポートしてもよい。前のセクションで議論したプライバシー上の懸念は、そのようなモードを使用する ユーザーにとって特に重大な懸念となることがある。

そのようなモードをサポートするユーザーエージェント実装者は、これらのモードで キーシステムへのアクセスを無効化すべきかを慎重に検討すべきである （SHOULD）。例えば、そのようなモードは、 persistentState または distinctiveIdentifier をサポートまたは使用する MediaKeySystemAccess オブジェクトの作成を禁止してもよい （MAY）。これは CDM 実装の一部として、またはアプリケーションがそれらを "required" と示したためである。 実装がそのような作成を禁止しない場合、それらは、その使用を許可する前に、そのようなモードに 期待されるプライバシー特性への影響および潜在的な結果をユーザーに知らせるべきである （SHOULD）。

この仕様で定義されるAPIはセキュアオリジンでのみサポートされ、前のセクションで議論された情報を 保護する。識別子は、識別子を暗号化するで指定されるように 追加で暗号化される。

アプリケーションは、それらが使用するサーバーを含め、CDM からのデータまたはメッセージを伴う、 または含むすべての通信について、セキュアトランスポートを使用すべきである （SHOULD）。これには、message イベントから渡される すべてのデータ、および update() へのすべてのデータを 含むが、これらに限定されない。

すべてのユーザーエージェントは、ユーザーエージェントまたはアプリケーションがセキュアオリジンおよび トランスポートを強制したい場合に、安全でないコンテンツまたはトランスポートへの露出を避けるため、 混合コンテンツ [MIXED-CONTENT] を適切に扱わなければならない （MUST）。