idbok

Appearance

OpenID Foundation FAPI WG 活動レポート (2025年1月) ​

執筆日: 2026-05-19（2025 年 1 月の活動を約 1 年 4 か月遡って再構成した遡及レポートです）

1. 概要 ​

FAPI (Financial-grade API) Working Group は、金融 API をはじめとする高保証用途向けに OAuth 2.0 のプロファイルを策定する OpenID Foundation のワーキンググループである。2025 年 1 月時点の共同議長は Nat Sakimura (NAT Consulting)、Dave Tonge (Moneyhub)、Dima Postnikov、Anoop Saxena (Intuit) の 4 名で、エディタ業務は Daniel Fett (Authlete)、Dave Tonge、Joseph Heenan (Authlete) を中心に進められていた。

2025 年 1 月は、前年 12 月 9 日に開始された FAPI 2.0 Security Profile および FAPI 2.0 Attacker Model の 60 日間パブリックレビュー期間（〜 2 月 7 日）の最中にあたり、Final 化投票の正式公示（Notice of Vote、Marie Jordan 発出）が 1 月 24 日に行われた月である。Final 投票そのものは翌 2 月（早期投票 2/1 開始、本投票 2/8 〜 2/15、結果アナウンス 2/19）に持ち越されるため、本月は「Final 化の直前準備」と「次の Final ターゲットである FAPI 2.0 Message Signing および JARM 周辺の前進」が並走するフェーズとなった。

月内の主要な動きは以下のとおり。

  • 2025-01-08: Dave Tonge が Issue #727 を起票し、FAPI 2.0 Message Signing の Working Group Last Call (WGLC) プロセス開始を宣言。同日 Issue #728 で draft-ietf-oauth-jwt-introspection-response-12 への依存問題を提起
  • 2025-01-08: Dave Tonge が JARM (JWT Secured Authorization Response Mode) のエラータ化に向けた Working Group Last Call を発出（フィードバック期限 2025-01-17）
  • 2025-01-10: Pacific コール（2025-01-10 GMT+1 02:00）が Nat Sakimura により中止
  • 2025-01-22: Dave Tonge が FAPI 2.0 Message Signing の WGLC を正式アナウンス（フィードバック期限 2025-01-31）、Joseph Heenan が Issue #730（FAPI-CIBA セキュリティ分析参照追加）、Issue #731（FAPI2-MS セキュリティ分析参照追加）を起票
  • 2025-01-24: OIDF が FAPI 2.0 Security Profile / Attacker Model Final 投票の Notice of Vote を公示
  • 2025-01-29: Atlantic コール開催（簡略アジェンダ、FAPI-CIBA 残課題中心）
  • 2025-01-31: Nat Sakimura が EIC 2025 への WG 提案「Open Banking - Global FAPI Ecosystems Roundup」を投函

openid-specs-fapi ML の 2025-January アーカイブ には 11 件の投稿が収録されている。年明け休暇明けのスロースタートで件数は少ないが、内容は Final 化準備と並走する Message Signing / JARM のプロセス前進、セキュリティ分析参照の整備など、編集作業として濃い。

2. 公開された仕様・ドラフト改訂 ​

FAPI 2.0 Security Profile / Attacker Model — Final 化投票公示 ​

1 月の最重要イベントは、Notice of Vote for FAPI 2.0 Security Profile and Attacker Model Final Specification の発出である（2025-01-24、Marie Jordan, OIDF Secretary）。投票スケジュールは次のとおり。

日付イベント
2024-12-09 〜 2025-02-0760 日間のパブリックレビュー期間
2025-01-24Notice of Vote 発出
2025-02-01早期投票（Early voting）開始
2025-02-08 〜 2025-02-15本投票期間（OIDF メンバー対象）

投票対象は FAPI 2.0 Security Profile および FAPI 2.0 Attacker Model の 2 仕様で、Final 化されると以降の改訂は行われず、知的財産保護（IPR）が確定する。1 月時点ではドラフト本体はパブリックレビュー版のまま凍結フェーズに入っており、WG の議論は「Final 後の波及対応」と「次の Final ターゲット (Message Signing)」へ早くも軸足が移っていた。

FAPI 2.0 Message Signing — WGLC 開始 ​

Dave Tonge は 1 月 8 日 14:12 UTC に ML #003241 で Issue #727 を起票し、Message Signing 仕様の WGLC プロセス開始を宣言した。Issue 本文は短く「Start WGLC process」のみだが、これは Security Profile / Attacker Model の Final 化に続く次の Final 化候補として Message Signing を据えるという WG の戦略を示す節目の起票である。

これと同日 14:35 UTC、Tonge は ML #003242（Issue #728）で WGLC 準備中に判明した依存問題を別途提起した:

I was just reviewing the message signing spec to start the WGLC and I noticed that we depend on: draft-ietf-oauth-jwt-introspection-response-12 ... This draft hasn't been updated for some time, ideally I don't think we should go to final with a dependency on an expired draft?

長期間更新のない IETF ドラフトへの参照を Final 候補仕様に残してよいかという論点で、最終的には 1 月 22 日 13:35 UTC の ML #003245 で Tonge 自身が「given that the spec is in the RFC queue we have decided to proceed with the review process」と整理し、WGLC を進行する判断を取った。

1 月 22 日の ML #003245 では、Tonge が「all remaining issues for the FAPI2 Message Signing Spec」が解決済みであるとし、フィードバック期限を 2025-01-31 に設定して FAPI 2.0 Message Signing の WGLC を正式に呼びかけている。これによりパブリックレビュー前の WG 内最終確認フェーズに突入した。

FAPI 2.0 Message Signing — セキュリティ分析参照の追加 ​

Joseph Heenan は 1 月 22 日 15:04 UTC に ML #003248 で Issue #731（FAPI2-MS: Add reference to security analysis）を起票。シュトゥットガルト大学による独立セキュリティ分析が Message Signing の非否認 (non-repudiation) コンポーネントを既にカバーしており、Final 候補としてその参照を明示すべきとの提案である。これは 2 月 19 日 Atlantic コール議事録に記録される「Message signing specification awaits researcher security analysis before final submission」という WG 整理の論拠そのものを編集面で補強するもので、Final 化要件の前提整備に位置づけられる。

JARM — エラータ化に向けた WGLC ​

Dave Tonge は 1 月 8 日 14:39 UTC に ML #003243 で JARM (JWT Secured Authorization Response Mode for OAuth 2.0) のエラータ化に向けた Working Group Last Call を発出した。

  • 対象ドラフト URL: https://openid.bitbucket.io/fapi/oauth-v2-jarm.html
  • 直近のコミット 1 件のみを反映
  • フィードバック期限: 2025-01-17（重大な論点が出ない限り、これをもってエラータプロセスへ移行）

JARM はもともと 2022 年 11 月に Final として承認済みであり、今回の WGLC は Errata Set 1 を確定させるための前段である。実際のエラータ承認投票は半年後の 2025-07-28 〜 2025-08-04 に実施され、最終的に「JWT Secured Authorization Response Mode for OAuth 2.0 (JARM) incorporating errata set 1」として公開されることになるが、その出発点は本 1 月の WGLC である。

FAPI-CIBA — RAR / セキュリティ分析参照の更新 ​

Dave Tonge は 1 月 22 日 13:41 UTC に ML #003246 で Issue #729（Update RAR reference in CIBA）を起票。CIBA 仕様内の Rich Authorization Requests (RAR) への参照が依然ドラフトを指しており、すでに RFC 化された RFC 9396 を参照するように更新する必要があるという指摘である。

これに続き、Joseph Heenan が 1 月 22 日 14:48 UTC に ML #003247 で Issue #730（FAPI-CIBA: Add reference to security analysis）を起票:

The FAPI2 security analysis linked from the security analysis page includes a security analysis of FAPI-CIBA, so we should include a link to it in the FAPI-CIBA spec.

CIBA は FAPI 2.0 系の Security Profile / Attacker Model とは別系統で運用されているが、シュトゥットガルト大学による FAPI2 セキュリティ分析の射程に CIBA も含まれており、Final 仕様としての参照網羅性を高めるための後始末である。

RFC 9700 の公表（外部参照の前提変化） ​

参考までに、1 月の OAuth エコシステムでは「RFC 9700: Best Current Practice for OAuth 2.0 Security」が正式公開された。FAPI 2.0 Security Profile / Attacker Model はそれまで草案段階の「OAuth 2.0 Security Best Current Practice (BCP)」を参照していたが、RFC 化により 1 月以降は RFC 9700 へ更新可能になった。実際の参照差し替え作業は翌 2 月の Issue #733 で着手される。

3. ミーティングと議論 ​

FAPI WG は Atlantic コール（隔週水曜 14:00 UTC）と Pacific コール（金曜朝、Asia-Pacific 帯）を運用している。2025 年 1 月分の各コールについて ML 上で確認できる情報を以下に整理する。Bitbucket wiki 上の議事録ページ（FAPI_Meeting_Notes_YYYY-MM-DD_*）は SPA レンダリングのため公開取得経路からは本文を抽出できず、ML 上のリマインダー・議事録通知から再構成する。

2025-01-01 Atlantic コール（中止） ​

前年 12 月 23 日に Mike Leszcz が「Canceled event: FAPI WG Atlantic Call @ Wed Jan 1, 2025」（ML #003238）を発出し、元日のコールはキャンセル済み。

2025-01-08 Atlantic コール ​

1 月最初の Atlantic コールに該当する時間帯。ML 上に当日の Sakimura 発リマインダーは確認できないが、Dave Tonge の Issue 起票（#727, #728）と JARM WGLC 投函がすべて 1 月 8 日午後 UTC に集中しており、コール内で取り上げられたタスクを ML に展開する流れであった可能性が高い。

2025-01-10 Pacific コール（中止） ​

Nat Sakimura は 1 月 10 日付で ML #003244 で「Canceled event: FAPI WG Pacific Call @ Fri 2025-01-10 2am - 3am (GMT+1)」を発出。標準アジェンダ（Antitrust Statement → Roll Call → Adoption of Agenda → Events → External Organisations → PRs and Issues → AOB）構成だったが当該回はキャンセルとなった。年明けで Asia-Pacific 帯の出席者調整が難しい時期である。

2025-01-22 Atlantic コール ​

ML 上には直接のリマインダー・議事録投稿は確認できないが、Tonge の Message Signing WGLC 投函（ML #003245）および Heenan の Issue #730 / #731 起票が同日 13:35 〜 15:04 UTC に集中しており、Atlantic コール（14:00 UTC 開始）の前後で議論を集約・タスク化した動きと整合する。コール内では:

  • Security Profile / Attacker Model のパブリックレビュー進捗確認
  • Message Signing WGLC の正式開始判断
  • FAPI-CIBA の参照更新（RAR、セキュリティ分析）
  • JARM WGLC（フィードバック期限 1/17 経過済み）の整理

が議題に含まれたと推察される。

2025-01-29 Atlantic コール ​

Nat Sakimura は当日 13:47 UTC（コール開始 13 分前）に ML #003250 で「Reminder and the agenda for the call today」を発出。本人が「Sorry for sending it late.」と前置きした上で、「Since Dave is not available today and much of the PRs and Issues are around FAPI-CIBA etc., it can be a brief call.」とコメントしており、Dave Tonge 不在のため短時間運用となった。標準アジェンダ（Roll Call → Adoption of Agenda → Events → External Organisations → PRs → Issues → AOB）構成。FAPI-CIBA 関連の未処理タスクを集中レビューする位置づけのコールである。

Pacific コール（1 月後半） ​

ML 上に 1 月後半の Pacific コール開催・キャンセル通知は確認できない。隔週運用の構造から推察すれば 1 月 24 日もしくはその近辺に予定されていた可能性があるが、ML 上の直接的な記録は残っていない。

4. メーリングリストの主要スレッド ​

2025 年 1 月の openid-specs-fapi ML は 11 件の投稿を含む。技術内容を中心とする主要スレッドを 4 本選定する。

Issue #727 - Working Group Last Call - FAPI2.0 Message Signing — 2025-01-08 / 2025-01-22 Tonge ​

ML #003241 と ML #003245 は FAPI 2.0 Message Signing の WGLC を立ち上げる二段構成のスレッドである。1 月 8 日の Issue #727 が WGLC プロセス開始を宣言し、1 月 22 日の正式アナウンスでフィードバック期限 2025-01-31 を WG 全体に告知。これにより Message Signing は Security Profile / Attacker Model に続く次の Final ターゲットとして公式に走り始めた。WGLC 期間中に大きな反論コメントが ML に投稿されなかったことから、WG 内コンセンサスは概ね固まっていたと判断できる。実際のパブリックレビュー（Notice of Public Review）は 4 か月後の 2025-05-29 まで持ち越されるが、その布石はこの 1 月の WGLC である。

Issue #728 - FAPI 2.0 Message Signing reliance on draft-ietf-oauth-jwt-introspection-response-12 — 2025-01-08 Tonge ​

ML #003242 で Tonge は Message Signing 仕様の Final 候補化に際し、長期間更新が止まっている IETF ドラフト draft-ietf-oauth-jwt-introspection-response-12 への参照を残してよいかを問題提起した。Final 仕様の参照健全性に関わる論点だが、結果的に 1 月 22 日 WGLC 本投函で「当該仕様は RFC キューに既に入っているため WGLC を進行する」と整理された。Final 公開時点までに当該 IETF ドラフトが RFC 化されない場合の扱いは未解決のまま持ち越しとなる。Final 仕様が IETF の RFC 化サイクルとどう接続するかという、OpenID Foundation 系仕様の構造的課題を示す例である。

Working Group Last Call - JARM (Errata) — 2025-01-08 Tonge ​

ML #003243 で Tonge は JARM のエラータ化に向けた WGLC を発出。フィードバック期限 1 月 17 日を設定し、「unless substantial issues necessitate additional working group discussion, we will proceed with the official errata process」とアナウンスした。期限内に ML 上で重大な反論は投稿されず、Tonge は所定の手順でエラータプロセスへ移行する判断を取った。Final 仕様の保守メカニズムとして OIDF が用意するエラータプロセスを FAPI WG が初めて本格運用するケースであり、結果は半年後の 7 月 28 日 〜 8 月 4 日投票（Errata Set 1）として現れる。

Berlin Group - Workplan for 2025 — 2025-01-29 Rundgren ​

ML #003249 で Anders Rundgren が Berlin Group の 2025 年ワークプラン（特に「Wallet integration」API イニシアチブ）を FAPI WG に持ち込み、Berlin Group の方向性と FAPI WG の立ち位置の比較論を提起した。Rundgren は次のように整理している:

  • Berlin Group は決済 API への Wallet 連携を志向するが、Wallet の標準化は「少なくとも 5 年先」であり、現状のスケーラビリティに疑問がある
  • FAPI WG 自身は「Wallet API war」に参戦する計画はない
  • EU パイロットでは Merchant と TPP の役割定義に混乱があり、ステークホルダーロールの明確化が不十分

これに対する WG 内の直接的な ML 返信は ML 上には確認できないが、FAPI 2.0 (OAuth 2.0 ベース) と OpenID4VP / Wallet 系 (DCP WG が主導) との関係を WG メンバーが意識する論点として記録された。FAPI WG が「Wallet API war」に参戦せず Open Banking / Open Finance に集中する旨は、Dave Tonge による 2024-12-19 の WG 再憲章提案 (ML #003240) とも整合する。

5. Issue トラッカー上の動き ​

FAPI WG の Issue トラッカーは Bitbucket (bitbucket.org/openid/fapi/issues) で運用されており、GitHub 側に公開仕様リポジトリはこの時点では存在しない。1 月の ML 上で明示的に起票・言及された Issue は以下の 5 件。

Issue #内容
#727FAPI Message Signing。Dave Tonge が 2025-01-08 起票。WGLC プロセス開始の起点
#728FAPI 2.0 Message Signing reliance on draft-ietf-oauth-jwt-introspection-response-12。Dave Tonge が 2025-01-08 起票。長期未更新の IETF ドラフト依存に関する整合性確認 Issue
#729Update RAR reference in CIBA。Dave Tonge が 2025-01-22 起票。RAR の RFC 化（RFC 9396）に伴う参照更新
#730FAPI-CIBA: Add reference to security analysis。Joseph Heenan が 2025-01-22 起票。シュトゥットガルト大学による FAPI2 セキュリティ分析の CIBA 部分への参照追加
#731FAPI2-MS: Add reference to security analysis。Joseph Heenan が 2025-01-22 起票。Message Signing 仕様への非否認 (non-repudiation) 部分セキュリティ分析参照の追加

すべて Dave Tonge と Joseph Heenan による編集系 Issue で、Final 化サイクル上の「参照健全性確保」「次 Final 候補仕様の WGLC 準備」というテーマで一貫している。GitHub 側ではこの時点でも openid/fapi リポジトリは仕様本体を含まないため、議論本体は Bitbucket Issue + ML 上で行われている。

6. 関連イベント ​

Notice of Vote 公示（2025-01-24） ​

1 月最大のイベントは、Marie Jordan (OIDF Secretary) による Notice of Vote for FAPI 2.0 Security Profile and Attacker Model Final Specification の公示である。投票そのものは翌 2 月だが、OIDF メンバーへの正式アナウンスは 1 月 24 日付で発出された。投票は https://openid.net/foundation/members/polls/352 で実施。

EIC 2025 への WG 提案投函（2025-01-31） ​

Nat Sakimura は 1 月 31 日 08:17 UTC に ML #003251 で EIC 2025（European Identity Conference 2025）への WG 代表提案「Open Banking - Global FAPI Ecosystems Roundup」の投函を報告:

Open Banking ecosystems powered by the OpenID Foundation's FAPI are emerging across multiple continents, shaping the future of secure and interoperable financial APIs.

提案フォーマットはパネル可。複数大陸にまたがる FAPI ベース Open Banking エコシステムの包括レビューを意図したセッション設計で、Final 化が確定的な段階での「Final 後のエコシステム広報」を狙うタイミングである。

RFC 9700 公表（2025 年 1 月、IETF） ​

参考までに、FAPI WG の外部参照先である「OAuth 2.0 Security Best Current Practice」が 1 月中に RFC 9700 として正式 RFC 化された。FAPI 2.0 Security Profile / Attacker Model の Final 化に向けた参照差し替え作業（Issue #733）は翌 2 月に持ち越されるが、外部要因の好転として記録される。

7. 今後の予定 ​

2025 年 1 月完了直後の視点で、当時 WG が次月以降に予定していた動きは以下のとおり。

  • FAPI 2.0 Security Profile / Attacker Model Final 化投票の完了: 早期投票 2025-02-01 開始、本投票 2025-02-08 〜 2025-02-15、結果アナウンス目標 2 月後半
  • FAPI 2.0 Message Signing WGLC のクローズ: フィードバック期限 2025-01-31 をもって WGLC 終了、コメントの取り込みおよび history 節整備（Issue #735 として 2 月に起票される予定）を経てパブリックレビュー段階へ
  • JARM Errata Set 1 の正式エラータプロセス移行: 1 月 17 日期限の WGLC 完了を受け、OIDF のエラータ正式手続きへ
  • FAPI-CIBA の参照更新: Issue #729（RAR → RFC 9396）と Issue #730（FAPI2 セキュリティ分析参照追加）の取り込み
  • OAuth Security Workshop (OSW) 2025 への参加準備: 2025-02-26 〜 2025-02-28 アイスランド・レイキャビク開催。Daniel Fett は登録開始を 12 月時点で告知済み
  • EIC 2025 提案の採否確認: Sakimura 投函（2025-01-31）のセッション提案の採否・登壇者調整

8. 参考情報源 ​

メーリングリスト ​

議事録 (Bitbucket wiki) ​

公式アナウンス ​

仕様 ​

Issue トラッカー ​

関連情報 ​