---
title: 公開の確定
lede: 記事、価格、規約、リリースなど、一度公開したものは取り下げても写しが残ります。公開を確定した人と、確定した版を、署名の記録として残す方法をまとめます。
shelf: operations
desk: security
use_case: generic.sign
edition: 1
source: MITRE ATT&CK T1539 Steal Web Session Cookie | https://attack.mitre.org/techniques/T1539/ | 2026-10-10
source: W3C Web Authentication Level 3 | https://www.w3.org/TR/webauthn-3/ | 2026-10-10
---

## 起きること

公開は、取り消しても元に戻らない操作です。読まれ、転載され、記録されたものは残ります。それなのに、公開のボタンは編集の画面の片隅にあり、ログインしていれば押せることが多い操作です。

- 下書きのまま、別の人が公開のボタンを押します。
- 承認された版と、実際に公開される版が食い違います。承認のあとで本文が書き換えられた場合です。
- 盗まれたセッションから、偽の告知や価格が公開されます[^1]。
- 公開の責任を問われたとき、誰がどの版で公開を確定したかを示せません。

## 問われること

公開に一般の手続を定めた法令はありません。ただ、公開するものによって、それぞれの規制が確認や記録を求めることがあります。開示の規制がかかる公表、広告の表示、規約の改定の告知などです。どの規制がかかるかは、公開するものと業によります。

どの場合も、あとで問われるのは同じ二つです。誰が公開を確定したか。確定したのはどの版か。

争いになったときの署名の扱いは、[パスキーの署名は、証拠として何になるか](/ja/notes/passkey-evidence) にまとめています。

## 残す記録

署名の対象（ハッシュ）に、公開する版そのものを含めます。本文が長ければ、本文のハッシュを含めます。

- 公開する版の本文、または本文のハッシュ
- 公開先（URL や配信の経路）
- 予約して公開するなら、公開の日時
- 版の番号と、依頼の番号

```json
"payload": {
  "purpose": "generic.sign",
  "message_digest": "<版の本文のハッシュ・公開先・日時・版番号の SHA-256>",
  "display_hint": "公開の確定"
}
```

公開の直前に、公開する本文からハッシュを計算し直し、署名のハッシュと一致することを確かめます。一致しなければ、確定された版と、これから公開する版が違います。その場合は公開を止め、もう一度確定を求めます。

署名は、Passkey の秘密鍵が、その版のハッシュから作った値に対して行います[^2]。一文字でも違う版は、同じ署名では通りません。

この読み物も、同じ形で公開しています。版ごとに編集の責任者が署名し、原稿と署名ファイルを公開しています（[読み物の版と署名](/ja/notes/editions-and-signatures)）。

## 署名だけでは足りないこと

- 署名は、確定した人がその内容に責任を持つことを残します。内容が正しいことは示しません。
- 公開したあとに、どこへ転載されたかは追えません。
- 公開を急ぐ場面（障害の告知など）で、署名を待てるかは事前に決めておきます。

## 次の一手

- [署名の手順](https://docs.clavis.nexus/signature)：依頼の登録から結果の受け取りまで
- [確認画面の文言と、署名の対象は別のもの](/ja/notes/shown-and-signed)