PPAP（ピーピーエーピー）はコンピュータセキュリティの手法の一つ。
名称 「Password付きZIPファイルを送ります、Passwordを送ります、Angoka（暗号化）Protocol（プロトコル）」の略号である。
日本情報経済社会推進協会に所属していた大泰司章（おおたいし あきら）（現・PPAP総研）が問題提起し命名した。ピコ太郎の『PPAP』（ペンパイナッポーアッポーペン）の響きが「プロトコルっぽい」と言う人がいたことから大泰司が命名のヒントを得た。PPAPという用語は『日本情報経済社会推進協会』の発行する文書にも使われているJIPDECインフォメーション第187号（2019年9月25日）。
一方で、主に海外向けには「Password Protected Attachment Protocol」の略号として紹介されることもあるが、非公式なバクロニムの類であることには注意が必要である。実際、大泰司はこの略称として紹介していない。
具体的な方法 PPAPによるファイルの送受信は、次のような段階によって行われる。 送信者は、ファイルをパスワード付きzipファイルで暗号化し、メールに添付して送信する。 送信者は、1.で送信した添付ファイルのパスワードを、別途メールにて送信する。 受信者は、送信者から受け取った添付ファイルとパスワードによってファイルを復号し、中身を得る。 特に2.におけるパスワードの送信を、1.の添付ファイルと同一の経路で（メールやチャットといった手段を変えず、また同一メールアドレス宛に）送信することを、狭義のPPAPとして扱うことがある。
特徴 PPAPは誤ったセキュリティ対策であるにもかかわらず、日本国内では官民問わず利用されている。このPPAP方式によるメール送信を支援するためのソフトウェア製品も市販されている。
他方、日本国外ではほとんど見られない慣行である。
PPAPが使われ出す前は、パスワード付きzipファイルをメール送信し、パスワードを「送信先社名の略号」など関係者のみに通じる符丁が使われていたが、2010年代よりパスワードも同一経路で送信する手法が採られ始めた。
プライバシーマーク、およびISO/IEC 27000 シリーズの監査上、ファイルの暗号化に対応するための手法として広まったとされている。
批判 PPAPは、企業のセキュリティ対策を向上させるどころか、むしろ危険に晒しているとして、批判を受けている。主な批判は、次のようなものである。
セキュリティに関する批判 PPAPは典型的なである。セキュリティ対策をしているという安心感に不必要な費用を掛け、本来するべき対策をせず、また有用な対策に利用する費用が削られている。 攻撃者がzipファイルを添付したメールを入手できるならば、同じ手段で送られるパスワードも入手できると考えられる。もし有用にパスワードを使用するならば、別の手段でパスワードを送るべきである。 多くの企業では、ファイルのzip化とパスワードの送信を自動で行っている。手動であればパスワード送信前に誤送信に気付くという効果があるかもしれないが、自動化されているとその効果も得られない。 添付ファイルを暗号化zipファイルにアーカイブすることによって、もし添付ファイルがマルウェアに感染していたとしても、アンチウイルスソフトウェアのシグニチャ型対策、サンドボックス型対策のどちらにも検知されない可能性が高まる。 パスワード付きzipファイルのパスワード解析は、2012年時点で1秒間に45億回の試行が可能であるという報告がされており、もし暗号化zipファイル単体のみが攻撃者の手に渡ったとしても、中身を盗み見られる可能性は高い。暗号化の為にパスワード付きzipファイルを使う事がそもそもセキュリティ対策として有用ではない。
セキュリティ以外の批判 Windows Vista以降では、パスワード付きzipファイルを作成する機能が標準で搭載されていない。そのため、何らかの圧縮ソフトウェアを用意する必要があるが、企業間でファイルの授受を行う際に圧縮形式の統一が取れず混乱を招く恐れがある（特に、管理者によってアプリケーションのインストールを制限されている場合）。 スマートフォン端末等では、パスワード付きzipファイルを閲覧するために専用のアプリケーションが必要であるなど、テレワークの導入に障壁となりえる沢渡あまね「仕事ごっこ～その“あたりまえ”，いまどき必要ですか？」技術評論社、、pp.61-72「白ヤギさんと黒ヤギさん、ふたたび コミュニケーションに水を差すPPAP」。 わざわざ別のメールで指定されたパスワードを一々入力するという手間は、無駄が多い。 zipファイルでは日本語ファイル名が文字化けする可能性がある。一般にWindowsでは文字コードとしてShift_JISでエンコードするのに対し、iOSやAndroid、macOSではUTF-8を前提にデコードする場合が多い。
廃止の動き
官庁 平井卓也デジタル改革担当相は2020年11月、中央省庁の職員が文書などのデータをメールで送信する際のPPAPを廃止する方針であると明らかにした霞が関でパスワード付きzipファイルを廃止へ 平井デジタル相 ITmedia NEWS、2020年11月17日。その後、11月26日から内閣府と内閣官房においてPPAPを廃止した内閣府と内閣官房で脱“パスワード付きZIP”運用を開始 ファイル送信は内閣府のストレージサービス活用 ITmedia NEWS、2020年11月26日。今後、民間においてもPPAPからの脱却の動きがあると思われるパスワード付きzip PPAP 問題について NEC、NECセキュリティブログ、執筆者は宇井哲也、2021年1月8日。
民間 日立製作所は2021年10月に、同年12月以降日立グループ全体においてPPAPを廃止し、同時にパスワード付きZIPファイルのメール送受信そのものをグループ内で不可能にする予定であることを公表した。
代替案 PPAPの代替案として以下のようなものが提案されている。 オンラインストレージ ファイル送信サービス ビジネスチャット
公式の代替案 『PPAPからの脱却』（PPAP総研 大泰司章）では、以下のメール以外でのファイル共有を推奨している（上記と重複するものもある）。 オンラインストレージ ビジネスチャット グループウェア 電子契約サービス ERP SNS
出典 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号）pp.706-734 小特集 さようなら，意味のない暗号化ZIP添付メール：0．編集にあたって -儀式セキュリティPPAP：日本のセキュリティ・ルネサンスに向けて-」, 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号）pp.706-734 小特集 さようなら，意味のない暗号化ZIP添付メール：1「PPAPとはなにか─その発展の黒歴史─（大泰司章）」, 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号）pp.706-734 小特集 さようなら，意味のない暗号化ZIP添付メール：2「PPAPのセキュリティ意義（楠 正憲）」, 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号）pp.706-734 小特集 さようなら，意味のない暗号化ZIP添付メール：3「我々はなぜPPAPするようになってしまったのか（上原哲太郎）」,
関連項目 e-Japan コンピュータセキュリティ PPAP (曖昧さ回避) ハックロア
外部リンク 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号）pp.714-734 「さようなら，意味のない暗号化ZIP添付メール：4．座談会「社会からPPAPをなくすには？」 」, 日立がPPAP全面禁止へ、「秘文」の添付ファイル自動暗号化ツールも既に販売終了