ITSAppUsesNonExemptEncryption: heb je het nodig en wat vul je in?

Laatst gecontroleerd op 24 juli 2026.

Wat App Store Connect eigenlijk vraagt

Apps die via de App Store worden verspreid worden juridisch «geëxporteerd» vanuit de Verenigde Staten en vallen dus onder de Export Administration Regulations (EAR). Gebruikt je build versleuteling, dan moet App Store Connect weten of het de gewone soort is (vrijgesteld) of de soort waarvoor papierwerk nodig is (niet vrijgesteld). Meer betekent de vraag niet.

De adder: vrijwel elke app gebruikt tegenwoordig versleuteling, want elke HTTPS-aanroep doet dat. «Gebruikt je app versleuteling?» is dus bijna altijd ja — maar het antwoord dat je deblokkeert gaat over de vraag of die versleuteling vrijgesteld is, en voor de overgrote meerderheid van de apps is dat zo.

Beslisboom: gebruik je niet-vrijgestelde versleuteling?

Loop ze op volgorde af. De eerste die klopt bepaalt je antwoord.

1. Gebruikt je app helemaal geen versleuteling, of niets meer dan wat iOS zelf biedt? → Vrijgesteld. Antwoord NEE (ITSAppUsesNonExemptEncryption = false).
2. Blijft al je versleuteling beperkt tot HTTPS/TLS of de standaard crypto-API's die Apple in iOS/macOS meelevert (CryptoKit, Keychain, Secure Enclave, enz.)? → Vrijgesteld. Antwoord NEE. Dit dekt de overgrote meerderheid van de apps.
3. Gebruik je versleuteling alleen voor authenticatie — wachtwoorden hashen, tokens ondertekenen — en niet om content van gebruikers te versleutelen? → Vrijgesteld. Antwoord NEE.
4. Lever je je EIGEN versleutelingsalgoritme mee, of gebruik je crypto om gebruikersdata te beschermen voorbij het bovenstaande (bijvoorbeeld een eigen end-to-end-schema, een eigen cipher, bestanden versleuteld met je eigen sleutelbeheer)? → Mogelijk niet vrijgesteld. Antwoord JA en doorloop de zelfclassificatie (zie hieronder).

Standaardcryptografie hergebruiken via je eigen gemakswrapper maakt het niet niet-vrijgesteld — het gaat om het onderliggende algoritme, niet om het jasje eromheen. Pas het uitvinden of insluiten van een niet-standaard algoritme kantelt je naar niet vrijgesteld.

De twee manieren om te antwoorden — en waarom de plist wint

Er zijn precies twee plekken om dit te beantwoorden. Ze zijn niet gelijkwaardig: de een vraagt het bij elke release, de ander antwoordt één keer en blijft beantwoord.

Het exacte plist-fragment

Voeg dit toe aan de Info.plist van je app-target (of via het tabblad Info / een xcconfig). Het is een boolean:

<key>ITSAppUsesNonExemptEncryption</key>
<false/>

Doe daarna Clean Build Folder (⇧⌘K), archiveer opnieuw en upload. Op false zetten is alleen juist als je app volgens de boom hierboven vrijgesteld is — het is een juridische verklaring, geen mute-knop. Eén subtiliteit: een build die al in App Store Connect staat pikt de sleutel niet met terugwerkende kracht op. Beantwoord de vraag van die ene build met de hand om hem nu vrij te geven, en stuur de sleutel mee in je volgende archief zodat het nooit meer gevraagd wordt.

Wanneer je de vrijstelling / zelfclassificatie echt nodig hebt

Als stap 4 van de boom klopte — je levert niet-standaard of eigen versleuteling mee — is JA antwoorden niet het einde. Je neemt echte verplichtingen op je onder de EAR:

• Zelfclassificatie: bepaal de ECCN van je app (doorgaans 5D002) en bevestig dat die in aanmerking komt voor License Exception ENC onder EAR §740.17.
• Jaarlijks zelfclassificatierapport: voor de meeste massamarkt-apps met versleuteling moet je één keer per jaar een rapport mailen naar BIS en naar de ENC/NSA-coördinator voor versleutelingsverzoeken (het eindejaarsrapport).
• CCATS: sommige producten hebben eerst een formele classificatie (CCATS) van het Bureau of Industry and Security nodig; App Store Connect vraagt dan om die machtiging.
• Documentatie in App Store Connect: je geeft de grondslag van je vrijstelling of je CCATS/ERN-gegevens op in het gedeelte versleuteling, per release, tenzij je een compliancecode hebt aangeleverd.

Dit is echt zeldzaam voor consumenten-apps. Gebruik je CryptoKit, Keychain, TLS en niets exotisch, dan ben je vrijgesteld en geldt niets hiervan: antwoord NEE en ga door.

Niet zeker of je crypto vrijgesteld is? Apple verwijst naar het Amerikaanse Bureau of Industry and Security; de praktische toets is «heb ik een versleutelingsalgoritme geïmplementeerd, of roep ik alleen dat van Apple aan / gebruik ik HTTPS?». Het laatste is vrijgesteld.

De veelvoorkomende misser: de sleutel ontbreekt helemaal

Meestal bijt dit niet door een verkeerde waarde, maar door géén waarde. Ontbreekt de sleutel:

• Elke TestFlight-build belandt in «Missing Compliance» en je testers kunnen hem niet installeren tot je de vraag in App Store Connect beantwoordt — uitnodigingen komen stilletjes niet aan.
• Een build die je voor de App Store indient gaat niet door naar de beoordeling tot de compliance is opgelost, dus blijft hij stilstaan terwijl jij denkt dat hij in de wachtrij staat.
• Omdat de vraag bij elke upload terugkeert, loopt een CI/CD-pijplijn die automatisch indient bij elke run vast — het klassieke «waarom hangt TestFlight?».

De oplossing is dezelfde als hierboven: zet ITSAppUsesNonExemptEncryption één keer in Info.plist (als je vrijgesteld bent) zodat geen enkele build ooit nog in de status Missing Compliance komt.

Veelgestelde vragen

Ook interessant: Het privacymanifest van Apple (PrivacyInfo.xcprivacy) · Checklist voor het indienen in de App Store

Bronnen

• Apple Developer — Complying with encryption export regulations
• Apple Developer — Overzicht van exportcompliance
• US Bureau of Industry and Security — Versleuteling en de Export Administration Regulations (EAR §740.17)