SSL/TLS証明書

SSL/TLS証明書とは

SSL/TLS証明書は、サイトが、そのドメインの正当な持ち主のものであることをブラウザに証明し、通信の暗号化に使う鍵を渡すためのデジタル証明書です。認証局(CA)が発行します。「SSL証明書」は通称で、現在使われている暗号化の仕組みはTLSです。

SSL/TLS証明書が必要な理由

証明書がない、または期限が切れていると、ブラウザは「接続がプライベートではありません」といった全画面の警告を出し、多くの訪問者はそこで離れます。フォームやログインの入力内容も、暗号化されずに送られます。

証明書のトラブルでもっとも多いのは、更新の失念による期限切れです。期限切れでは、サイトだけでなく、同じ証明書を使うAPIやメール配信などの通信が止まることがあります。

SSL/TLS証明書の仕組み

• 証明書には、対象のドメイン名(SAN)、発行者、有効期間、公開鍵、CAの署名が入っています。
• ブラウザは、サーバー証明書、中間証明書、ブラウザに内蔵されたルート証明書の順に、署名のつながりを検証します。
• 検証の種類は、ドメインの管理権限だけを確認するDV、組織の実在も確認するOV、EVの3つです。暗号化の強度は、どれも変わりません。

公的に信頼される証明書の最長有効期間は、CA/Browser Forumの決定により、2026年3月から2029年3月にかけて、398日から47日へ段階的に短くなります。手作業の更新では運用が回らなくなるため、自動更新が前提になります。

SSL/TLS証明書の確認方法

ブラウザのアドレスバーの鍵のアイコンから、証明書の発行者と有効期限を確認できます。コマンドでは次のとおりです。

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName

30日以内に切れるかどうかは、次のコマンドで判定できます。

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -checkend 2592000

「Certificate will not expire」と出れば、30日以上の余裕があります。

SSL/TLS証明書の設定例

無料で自動更新できるLet’s Encryptを、certbotで導入する例です。

sudo certbot --nginx -d example.com -d www.example.com
sudo certbot renew --dry-run

Apacheの場合は、--nginx を --apache に替えます。2行目は、自動更新が動くかの試験です。証明書ファイルを自分で指定する場合は、中間証明書を含む fullchain.pem を使います。

nginxの例です。

ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

Apacheの例です。

SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

WordPressでは、証明書自体はサーバー側で設定します。管理画面の「設定」「一般」で、サイトアドレスを https:// に変更します。

よくある間違いと注意点

• www ありと無しの片方だけが対象になっていると、もう一方でエラーになります。ワイルドカード証明書(*.example.com)は、example.com 自体や、a.b.example.com のような2階層目には使えません。
• 中間証明書を入れ忘れると、一部の端末やアプリだけでエラーになり、手元のブラウザでは気づけません。
• 自動更新を設定しても、更新の失敗には気づけません。有効期限の監視を別に用意します。
• 更新の通知メールの宛先が、退職した担当者のままになっていないかを確認します。
• 秘密鍵を漏らした可能性がある場合は、証明書の失効と再発行が必要です。

Webサイト セキュリティチェッカーで確認する

Webサイト セキュリティチェッカーは、証明書の有効期限、ドメイン名との一致、自己署名や中間証明書の不足、鍵の強度などを診断します。期限が近い場合は、残り日数も示します。

関連用語

• TLS
• HSTS
• 混在コンテンツ
• セキュリティヘッダー

関連する用語

• TLS
• HSTS
• 混在コンテンツ
• セキュリティヘッダー

サイトの設定を無料で確認する

サイトのURLを入力するだけで、SSL/TLS証明書 などの設定状況を診断できます。Webサイト セキュリティチェッカー「Security Checker X」は、登録なしで使えます。