IETF-W3C

W3Cの新しい作業草案は、センサーデータの「何に当たるか」だけでなく「何につながるか」を示した。実装側にとって重要なのは、表を採用した事実より、失われる関係がないと確かめた記録だ。

会員が選んだ理事には、候補者を推薦した組織とは別の相手への責任が生じる。W3Cの新しい選挙結果を読む鍵は、理事会の法人統治と、会員が担う技術標準の手続を同じ権限とみなさないことだ。

ページのスクリプトは機能を要求できる。しかし、その要求をどこで審査し、何を返すかはページだけでは決まらない。W3Cの脅威モデル草案が最上位の図を改め、この違いを見通しやすくした。

短く読めるファイルが、読み込み時にも小さく収まるとは限らない。W3Cの改訂草案はその落差を明記したが、実際のパーサーにどんな制限を掛けるかは運用側の判断として残る。

ブラウザーがプライバシー上の希望を送り、サイトが対応を表明し、その後にデータが処理される。W3Cの新しい作業草案を読む際、この三段階を一つの「遵守済み」表示にまとめてはいけない。

9月改訂で目立つのは新しい書き込み権限ではない。`Accept` を省いた取得時のRDF形式と、間接指定したグラフ名のUTF-8解釈である。どちらも、実際に書き込んでよいかという判断とは別に確かめなければならない。

電子書籍のメモを別の読書アプリに持ち込むとき、同じ本に付いているか、表示された書き手が本物かは別の確認である。W3Cの改訂草案は、その境界を安全上の課題として明記した。

争いのある情報を保存することと、その内容を自分の判断として表明することは違う。W3Cが公表したRDF 1.2の意味論草案は、この違いを画面上の注釈ではなく、グラフの解釈そのものに置いている。

進捗を示す段階と、規格に適合したという判断を同じものとして扱えば、誰が追加の配慮を求め、誰が見送ったのかが見えなくなる。W3Cの九月草案は、その混同を解く設計を提示した。

W3Cが公開した検証可能な資格情報の脅威モデル草案は、署名の成否だけでは見えない運用上の判断を描く。問題を列挙したことと、発行者や検証者が対策を実行したことは同じではない。

あるサービスの利用条件を守ることと、ブラウザー全体の選択権を明け渡すことは違う。W3Cの新しい草案は、その境目を一段具体的にした。

W3Cが公表したワークショップ報告は、ポリシーの記述形式だけでなく、処理するソフトウェアの振る舞いを適合性の対象に据えるよう提案した。

W3Cの新たな作業草案は、検証可能なクレデンシャル内の状態参照を小さくする。その節約が、失効や停止を判定する責任まで肩代わりするわけではない。

規格を参照する際、本文の内容だけでなく、その文書が審査中なのか確定版なのかを確かめる。W3Cが9月22日に更新した二つの仏語訳では、同じページが両方の答えを示している。

同じRDFトリプルでも、資料に記されていたものと、規則から導かれたものでは意味が違う。W3Cが公開したSHACL 1.2の新たな作業草案は、その推論過程を定義する一方、結果を生んだ規則の記録を任意としている。推論結果を判断材料にする側の責任が、そこに残る。

WebAuthn Level 4の最初の公開草案は、リモートデスクトップ経由の認証に明確な役割分担を置いた。ローカルのブラウザはオリジン単位の許可を確認し、リモート側が作ったクライアントデータをそのまま署名へ渡す。しかし、その許可はリモート側のオリジン判断が正しかったことまでは示さない。

2026年9月11日、W3CはWeb Authentication Working Groupの新しいチャーターを承認し、2026年から2028年までの活動枠組みを開始した。この変更で重要なのは、技術仕様そのものの承認ではなく、拡張された作業範囲に対して誰がどの条件で参加し、どの範囲のPatent Policy上のコミットメントを引き受けるかという制度的な引き継ぎである。新チャーターの有効化、猶予期間中の継続参加、正式な再参加、Patent Policyへの新たなコミットメントは、それぞれ異なる状態として管理されなければならない。

9月17日に開かれた五つのレビュー依頼は、W3C Publishing Maintenance Working Groupの次期憲章案が手続き上の新しい段階に入ったことを示す。ただし、新しい権限が成立したわけではない。現行憲章は2027年2月5日まで有効で、次期案はなお精緻化の途中にある。

W3C Advisory Boardは、大規模言語モデルを使ったかどうかにかかわらず、共有した成果には本人が責任を負うと述べた。明快な原則である。しかし同じ文書のステータス欄は、これはAdvisory Boardが支持するGroup Noteであり、W3C全体やそのメンバーが支持したものではないと明記する。妥当な助言を、審査と訂正が可能な規則へ変えるには、誰が採択し、どの証拠を残し、誰が異議を扱うのかを別に定めなければならない。

iPhoneでは、Safariの一部データを書き出し、別のブラウザーへ取り込む手順がすでに文書化されている。これは特定の製品とバージョンで動く仕組みだ。9月15日に発足したW3CのBrowser Data Portability Community Groupが担うのは、その一段手前にある原則の議論である。想定される成果物はCommunity Group Reportであり、それだけでW3C標準、法的義務、ベンダーの採用表明、検証済みの相互運用性になるわけではない。

HTTP/2 Rapid Resetは、プロトコルの合法的な動作が、実装の資源管理と運用上の防御の弱点を通じて、複数の組織にまたがるサービス停止リスクへ変わった事例である。問題を見つけ、脆弱性を記録し、標準を見直し、ベンダーが修正を出すことは重要だ。しかし、それぞれは修復の別々の段階にすぎない。実際の露出が閉じたことを示すには、利用中の実装、パッケージ、設定、展開状況を確認しなければならない。

IETFとW3Cを結ぶ公開記録は、標準化とWeb技術をめぐる協力の歴史を示す。しかし、その関係を一つの法人、共通の管理主体、または統一された責任経路として読むことはできない。問題は、協力が存在するかではなく、どの文書がどの権限を示し、異議申立てや責任追及を誰に向けるべきかである。

TLSの再ネゴシエーション問題は、単なる古い暗号方式の欠陥ではなかった。同じ接続上で続けて行われるハンドシェイク同士を暗号学的に結び付ける仕組みがなかったため、攻撃者が先に置いたアプリケーションデータの前に、別の利用者の認証コンテキストを接続できた。RFC 5746はその境界を修復し、TLS 1.3は再ネゴシエーション自体を廃止した。しかし、仕様の公開は、稼働中の全経路が修復済みだという証明ではない。

IETFとW3Cはしばしば一つの標準化インフラとして語られる。しかし、両者の意思決定を同じ制度として扱うと、誰がどの権限を持ち、どの文書がその権限を与え、異議申立てがどこまで届くのかを見誤る。IETFでは標準化プロセス上の役割と、行政・法人上の責任が分かれている。W3Cでは技術的な決定手続きがProcess Documentに定められる一方、参加条件や組織上の義務は会員契約や法的文書にも依存する。

IETFの標準はネットワークを直接運用しない。それでも、QUIC、HTTP/3、DNSSEC、BGP、PIM-SMのような仕様が実装されると、接続の維持、経路の回復、名前解決の検証、マルチキャストの到達性は、標準文書だけでは完結しない複数の運用主体に分散する。問題は、仕様が存在するかではなく、障害時にどの主体が状態を戻せるかである。

匿名のアンケートだからこそ、率直に書けることがある。W3Cが新たに始めた会員向け調査と広いコミュニティ向け調査は、いずれも回答を匿名と説明する一方、後日のインタビューを希望する人にメールアドレスの記入を促している。回答とのひも付けが起きた証拠はない。しかし、ひも付けられない仕組みも公開画面からは分からない。今必要なのは疑いではなく、分離を検証できる短い説明だ。

W3CがRecommendationにしたWebAuthn Level 3には、4種類のブラウザーを並べた固定テスト報告が付いている。移行記録はさらに、Chromeの実装の一部がEdgeと異なると注記した。違いを認識した点は重要だが、「一部」がどの機能、どの層、どの結果を指すのかは公開記録から追えない。

8月11日版の *ARIA in HTML* 勧告は、2026年3月22日を「最終更新」とする実装報告を参照している。しかし公開リポジトリでは、5月20日に大規模な更新が入り、27日にも同じファイルが修正された。3月が実装状況の基準日で、5月が文書の改訂日なら両方とも正しい。問題は、一つの表示が二つの時刻を兼ねていることだ。