2026.11.12 セキュリティ

公的個人認証とは：JPKIの仕組みと民間事業者の導入3方式・費用【2026年】

公的個人認証（JPKI）は、マイナンバーカードのICチップに入った電子証明書を使い、オンラインで「本人であること」と「文書が改ざんされていないこと」を確かめる公的な仕組みです。e-Taxやマイナポータルだけでなく、銀行の口座開設や携帯電話の契約など民間の本人確認にも広がり、デジタル庁の一覧では導入した民間事業者が1,431社（2026年9月30日時点）に達しています。この記事では、署名用と利用者証明用という2種類の電子証明書の違い、事業者側で行う失効確認の流れ、民間事業者が組み込む3つの方式、J-LISに払う手数料と無料措置の期限を整理し、自社で採用すべきかの判断基準まで示します。

まとめ：公的個人認証の仕組みと民間事業者が選ぶ導入方式の結論

公的個人認証は、地方公共団体情報システム機構（J-LIS）が発行する電子証明書と、その失効情報を照会する仕組みの組み合わせです。民間事業者が得られるのは「住民票と一致する氏名・住所・生年月日・性別」と「いまも有効か」の2点で、マイナンバー（個人番号）そのものは本人確認に使いません。

組み込み方は3つあります。自ら主務大臣の認定を受けるプラットフォーム事業者方式は、新規の審査だけで5〜10か月かかり、一般の事業会社には重すぎます。犯罪収益移転防止法などで本人確認義務を負う事業者は、認定済みのプラットフォーム事業者に検証を委託するSP事業者方式が現実的です。年齢確認や会員の重複防止が目的なら、デジタル庁のデジタル認証アプリの認証APIをOpenID Connectで組み込むのが最も軽い選択肢になります。

費用面では、J-LISの失効情報提供手数料（署名用1件20円・利用者証明用1件2円）が、CRL方式は恒久的に、OCSP方式は2027年3月31日まで無料です。無料期限の後を見込んで、照会件数を見積もりに入れておく必要があります。

公的個人認証サービスの定義と、J-LISが発行する2種類の電子証明書の役割

根拠法は「電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律」（平成14年法律第153号、通称：公的個人認証法）です。e-Gov法令検索の公的個人認証法では、第1条で電子署名と電子利用者証明の円滑な利用を目的に掲げ、第2条で「署名認証業務」と「利用者証明認証業務」を分けて定義しています。この2つの業務が、カードに入る2種類の電子証明書に対応します。

署名用電子証明書と利用者証明用電子証明書で異なる用途と記録情報

2種類の電子証明書は、鍵も記録内容も暗証番号も別です。事業者がどちらを受け取るかで、得られる情報と手数料が変わります。

項目	署名用電子証明書	利用者証明用電子証明書
主な用途	申込書や契約への電子署名	ログイン時の本人の証明
基本4情報	記録あり（氏名・住所・生年月日・性別）	記録なし
暗証番号	英数字6〜16桁・5回誤りでロック	数字4桁・3回誤りでロック
J-LIS手数料（本来の単価）	1件20円	1件2円
有効期間	発行から5回目の誕生日まで

暗証番号の桁数とロック回数は公的個人認証サービスポータルサイトの案内によります。口座開設のように氏名と住所を確定させたい場面では署名用を、2回目以降のログインでは利用者証明用を使うのが基本の組み合わせです。証明書と認証局の一般論は電子証明書とは？仕組み・種類・取得方法と手数料・有効期限を一覧で解説にまとめています。

マイナンバーを使わずに本人を確かめる民間事業者の署名検証者という立場

公的個人認証で民間事業者が担う役割は「署名検証者」または「利用者証明検証者」です。受け取った電子署名と電子証明書を検証し、J-LISから失効情報を受けて有効性を確かめます。ここで扱うのは電子証明書のシリアル番号と基本4情報で、12桁のマイナンバーは本人確認の処理に登場しません。

この区別は社内説明で効いてきます。「マイナンバーを取り扱うので番号法の安全管理措置が必要」という誤解から検討が止まる例があるためです。マイナンバーを取得するのは、保険会社が控除証明や支払調書のために券面事項入力補助APから番号を読む場合など、別の目的があるときに限られます。電子署名の法的効果の土台は電子署名とは？意味・仕組み・種類と法的効力で確認できます。

民間事業者が公的個人認証を本人確認に組み込む仕組みと失効確認の流れ

総務省の「公的個人認証サービス利用のための民間事業者向けガイドライン」第1.8版（2026年4月13日掲載）は、事業者側に必要な機能を署名検証・紐付け・利用者証明検証に分けて説明しています。順に見ると、システムで作り込む範囲がはっきりします。

署名検証で確かめる認証パス・有効期間・失効状況とOCSP15分の鮮度

利用者が申込書に電子署名して送ると、事業者は「署名用電子証明書の認証パス」「有効期間」「失効状況」を順に検証し、最後に電子署名そのものを検証します。認証パスと署名の検証は一般的なX.509の処理で、公的個人認証に固有の技術は要りません。

固有なのは失効状況の照会方法です。1件ずつ問い合わせるOCSP方式は失効情報が15分単位で更新され、1日1回リストを受け取るCRL方式は1日単位の更新になります。カードを紛失した利用者が24時間365日のコールセンターに連絡すれば、OCSPなら15分以内に一時停止が反映されます。送金や高額決済の直前に確認するならOCSP、夜間バッチで会員の異動を拾うだけならCRL、という使い分けが基本です。

利用者証明用電子証明書を自社の会員IDに紐付ける発行番号の照会

利用者証明用電子証明書には氏名も住所も入っていません。単体では誰の証明書か分からないため、事業者は自社の会員IDや口座番号と証明書を紐付ける処理を持つ必要があります。

ガイドラインが示す方法は、初回に受け取った署名用電子証明書の発行番号をJ-LISに送り、同じ人の利用者証明用電子証明書の発行番号を返してもらうものです。この対応表を自社のID基盤に保存しておけば、2回目以降は4桁の暗証番号とカードのタッチだけでログインを確かめられます。ID基盤側の設計論点は認証・ID管理とは？MFA・SSO・OIDC・IDaaSの違いと選定で整理しています。

本人同意に基づく最新の基本4情報提供で転居後の住所を取り直す仕組み

電子証明書は転居や氏名変更で失効します。2023年5月からは、利用者の事前同意があれば、失効後もJ-LISから最新の基本4情報を受け取れる「最新の利用者情報（基本4情報）提供サービス」が始まりました。プラットフォーム事業者がJ-LISから直接受け取り、SP事業者はプラットフォーム事業者経由で受け取る形です。

生命保険の年金支払いや、会員へのダイレクトメール送付先の更新など、住所の鮮度で損失が出る業務では効果が大きい機能です。ただし手数料は1件20円で、後述する無料措置の対象外になります。

導入方式の比較：プラットフォーム事業者・SP事業者・デジタル認証アプリ

デジタル庁の公的個人認証サービス（JPKI）のページは、民間事業者の導入方式として「プラットフォーム事業者になる方式」と「サービスプロバイダ事業者になる方式」を挙げています。これに2024年6月に始まったデジタル認証アプリを加えた3つが、2026年11月時点の選択肢です。

方式	主務大臣認定	立ち上げ期間の目安	向いている事業者
プラットフォーム（PF）事業者	自社で取得・毎年更新	認定まで6か月〜1年	他社に本人確認を提供する事業者
サービスプロバイダ（SP）事業者	不要（PF事業者に委託）	連携開発の規模で決まる	口座開設・携帯契約など義務のある事業者
デジタル認証アプリ（認証API）	不要	OIDC連携の開発で決まる	年齢確認・会員登録の確度向上

期間の目安はデジタル庁のページと総務省ガイドラインの記載によります。SP事業者とデジタル認証アプリの期間は公表値がないため、自社の改修規模で見積もります。

主務大臣認定を自ら取るPF事業者方式と新規5〜10か月の審査

PF事業者になるには、J-LISと守秘義務の誓約を交わして技術仕様を入手し、認定基準に沿った設計書と証明書類を作ってデジタル庁と総務省に申請します。ガイドライン第1.8版によると、申請から可否の通知までは新規でおおよそ5〜10か月、更新で3か月程度です。認定の有効期間は政令で1年と定められ、毎年の更新審査が続きます。

デジタル庁の資料では、2025年12月31日時点の大臣認定事業者は26社でした。NTTデータ、TIS、日本電気、GMOグローバルサインなど、本人確認を事業として他社に売る会社が中心です。自社サービスのためだけに認定を取る理由は、照会件数が極端に多く委託料が見合わない場合を除けば、ほぼありません。

PF事業者に検証を委託するSP事業者方式が導入事業者の大半を占める理由

SP事業者は、PF事業者のAPIやSDKを自社のアプリ・Webに組み込み、電子証明書の受付と有効性確認を委託します。大臣認定の手間がなく、自社で失効情報を保管する必要もありません。2025年12月31日時点の民間事業者914社のうち888社が、この委託型かデジタル認証アプリの利用者でした。

導入事業者の内訳では、預金取扱金融機関が457社と最も多く、証券35社、生命保険31社、ITサービス81社と続きます。用途は口座開設、住宅ローン契約、保険料控除証明書の発行時の本人確認などです。デジタル庁のJPKI導入事業者及び事例一覧で、同業他社がどの場面で使っているかを確かめてから方式を決めると、社内の合意が早まります。

デジタル認証アプリの認証APIをOpenID Connectで組み込む方式

デジタル認証アプリは、デジタル庁が官民のサービス事業者に提供するAPIです。利用者証明用電子証明書で本人を確かめる「認証API」と、署名用電子証明書で署名値を返す「署名API」の2種類があります。デジタル庁開発者サイトの実装ガイドラインでは、認証は認可コードフローで行い、PKCEはS256、クライアント認証はprivate_key_jwt、IDトークンの署名はES256と定めています。認可コードの有効期限は発行から60秒です。

公開されているOpenID Providerの設定は、次のコマンドで確認できます。

curl -s https://auth-and-sign.go.jp/api/realms/main/.well-known/openid-configuration

2026年11月12日に取得した値では、scopes_supportedがopenid・name・address・birthdate・gender・mynumber・picture・signなど10種、response_types_supportedはcodeのみでした。氏名や住所は、カードの券面事項入力補助APから読み取った値がUserInfoで返ります。OIDCのIDトークン検証の手順はOIDC（OpenID Connect）とは？仕組み・IDトークンの検証手順で解説しています。

署名APIには注意が要ります。民間事業者の場合、署名の検証と失効確認はデジタル庁側で行われず、PF事業者との連携が前提です。結果もJWEで暗号化されて返るため、署名まで必要な事業は結局SP事業者方式と同じ委託契約を結ぶことになります。利用者側の操作と対応機種はデジタル認証アプリをAndroidで使う方法を参照してください。

公的個人認証の費用：J-LIS手数料20円・2円と無料措置の期限

費用は「J-LISに払う手数料」「PF事業者に払う委託料」「自社システムの改修費」の3層で考えます。公表されているのは1層目だけで、2層目と3層目は事業者ごとの見積もりになります。

失効情報提供手数料の単価と2027年3月31日までのOCSP無料措置

J-LISの失効情報提供手数料は、有効性確認を行った件数に応じた従量制で、署名用が1件20円、利用者証明用が1件2円です。デジタル庁の発表により、2023年1月発生分から「当面3年間」無料になりました。その後、ガイドライン第1.8版の表では、CRL方式は恒久的に無料、OCSP方式は2027年3月31日まで無料と期限が示されています。

月10万件の口座開設を署名用でOCSP照会する事業者なら、無料期限の後は月200万円が上乗せされる計算です。主務大臣認定の取得・維持そのものに費用はかかりませんが、2027年4月以降の単価がどうなるかは2026年11月時点で公表されていません。予算は本来の単価で組み、減額されたら浮かせる考え方が安全です。

公的個人認証のPF事業者の委託料と自社改修費を見積もるときの内訳

PF事業者の料金は各社の個別見積もりで、公表されている例はほとんどありません。比較するときは、OCSPかCRLか、最新の基本4情報提供（1件20円・無料対象外）を使うか、スマートフォンのSDKが付くかを揃えて見積もりを取ります。

自社側の改修は、申込画面へのSDK組み込み、受け取った基本4情報と申告情報の突合、確認記録の保存、利用者証明用電子証明書との紐付けテーブルが主な範囲です。既存の会員DBやID基盤に手を入れる部分が多く、ここの設計で運用負荷が決まります。

2027年4月の犯収法改正とスマホ用電子証明書が導入判断に与える影響

公的個人認証の採否をいま決めておく理由は、法令と端末の両方で変化が控えているためです。

画像送信型eKYCの廃止で公的個人認証が非対面確認の軸になる業種

犯罪収益移転防止法施行規則の改正により、2027年4月1日から、本人確認書類の画像と容貌の画像を送る方式（いわゆるホ方式）などが廃止されます。非対面で残るのは、公的個人認証による確認（ワ方式）とICチップ情報の読み取りを使う方式が中心です。銀行・証券・資金移動・暗号資産・クレジットカードなど特定事業者は、施行日までに申込導線を作り替える必要があります。

方式ごとの号の対応と移行判断はeKYCとは？方式一覧（ホ・ヘ・ワ・カ）と2027年4月の犯収法改正で残る本人確認、窓口の対面確認は犯罪収益移転防止法の本人確認：2027年4月の対面IC読み取り義務化と改修要件で扱っています。

iPhone・Androidのスマホ用電子証明書に対応するときの変更認定

電子証明書はカードだけでなくスマートフォンにも入ります。Androidは2023年5月11日に電子証明書の搭載が始まり、iPhoneは2025年6月24日に電子証明書と属性証明の搭載が始まりました。暗証番号の代わりに端末の生体認証を使える機種もあり、利用者の離脱を減らせます。

見落としやすいのは認定の扱いです。ガイドライン第1.8版は、マイナンバーカード用の電子証明書だけを扱ってきた署名検証者がスマホ用を扱う場合、読み取りの動線などが変われば変更の認定が必要だとしています。SP事業者であれば、委託先のPF事業者がスマホ用に対応済みかを契約前に確かめておくことになります。

公的個人認証を採用する事業と見送る事業の判断基準と組み込み順序

方式の選び分けは「法令上の本人確認義務があるか」と「必要な情報は年齢だけか、住所までか」の2軸でほぼ決まります。

法令で本人確認義務がある事業はSP方式で2027年3月までに組み込む

犯収法の特定事業者や携帯電話不正利用防止法の対象事業者は、採用するかどうかではなく、いつまでに入れるかの問題です。この場合はSP事業者方式を選び、PF事業者の選定から始めます。OCSPの無料期限と施行日がともに2027年春に重なるため、照会件数の試算とPF事業者の見積もり比較は2026年度内に終える段取りが必要です。

ICチップを読めない顧客の受け皿として、対面や郵送の導線を残すかどうかも同時に決めます。全件を公的個人認証に寄せると、カードを持たない層の申込が止まるためです。

年齢確認や会員の重複防止だけならデジタル認証アプリの認証APIで足りる

酒類やチケットの年齢確認、地域サービスの住民限定登録、1人1アカウントの担保といった目的では、署名用電子証明書も失効情報の自社保管も要りません。デジタル認証アプリの認証APIでbirthdateやaddressのスコープを要求すれば、OIDCの連携開発だけで実装できます。ここでPF事業者と委託契約を結ぶのは過剰です。

カードを持たない顧客が主体の事業や確認が年1回未満の事業は見送る

次の条件に当てはまる場合、公的個人認証は採用しません。

顧客の多くが外国籍の短期滞在者や法人担当者で、マイナンバーカードを持たない
本人確認の法的義務がなく、確認するのは年1回未満の契約更新時だけ
確認したい情報が勤務先や資格など、基本4情報に含まれないもの

これらの事業では、委託料と改修費に対して得られる確度の上積みが小さく、既存のメール認証や多要素認証の強化に予算を回したほうが効果が出ます。どの方式でも、受け取った本人確認結果を自社のID基盤のどこに持たせるかが運用の分かれ目です。会員DBとの紐付けやSSOとの共存まで含めた設計は、認証基盤・ID管理システム開発でご相談いただけます。

公的個人認証の仕組み・有効期限・民間導入の認定と費用についてよくある質問

公的個人認証の仕組みと民間導入について、よく寄せられる質問に答えます。

公的個人認証とJPKIは同じものですか？

同じものです。JPKIは「Japanese Public Key Infrastructure」の略で、公的個人認証サービスの英語表記として、デジタル庁や公的個人認証サービスポータルサイト（jpki.go.jp）でも使われています。マイナンバーカードに入る署名用電子証明書と利用者証明用電子証明書を発行し、その失効情報を管理する仕組み全体を指す名称です。発行と失効情報の管理は地方公共団体情報システム機構（J-LIS）が担い、利用者の申請受付は住民登録のある市区町村の窓口が行います。

公的個人認証の電子証明書の有効期限はいつまでですか？

原則として、発行から5回目の誕生日までです。マイナンバーカード本体の有効期限（18歳以上は発行から10回目の誕生日まで）より短いため、カードが有効でも電子証明書だけが切れていることがあります。更新を受け付けるのは、有効期限の3か月前からの市区町村の窓口です。事業者側では、期限切れの電子証明書は有効期間の検証で無効と判定されるため、エラー画面で「電子証明書の更新が必要」と利用者に伝える文言を用意しておくと、問い合わせを減らせます。

民間事業者が公的個人認証を使うのに認定は必要ですか？

自ら電子証明書の有効性確認を行うプラットフォーム事業者になる場合は、主務大臣の認定が必要です。認定の有効期間は1年で、毎年更新します。一方、認定済みのプラットフォーム事業者に検証を委託するSP事業者方式や、デジタル庁のデジタル認証アプリの認証APIを使う場合は、自社で認定を取る必要はありません。2025年12月31日時点で、民間事業者914社のうち認定事業者は26社で、残りの888社は委託型かデジタル認証アプリの利用者でした。

公的個人認証で事業者はマイナンバーを取得しますか？

本人確認の処理では取得しません。事業者が受け取るのは電子証明書と、署名用電子証明書に記録された氏名・住所・生年月日・性別の基本4情報です。マイナンバーが必要な事業（保険会社の支払調書作成など）は、券面事項入力補助APから別途読み取る機能を使います。デジタル認証アプリでもmynumberのスコープを要求した場合だけ取得されるため、本人確認だけが目的ならスコープに含めないことで番号法上の取り扱いを避けられます。

公的個人認証の手数料はいつまで無料ですか？

J-LISの失効情報提供手数料は、2023年1月発生分から無料措置が続いています。総務省の民間事業者向けガイドライン第1.8版では、1日1回リストを受け取るCRL方式は恒久的に無料、1件ずつ照会するOCSP方式は2027年3月31日まで無料とされています。本来の単価は署名用1件20円、利用者証明用1件2円です。最新の基本4情報提供（1件20円）は無料措置の対象外で、PF事業者への委託料も別にかかります。