サイトの鍵マーク。証明書には種類があると知っておく

ブラウザのアドレス欄に鍵のマークが出ていれば安心、という理解で止まっている人は多いはずです。実のところ、鍵マークが示しているのは「通信が暗号化されている」ことで、それ以上ではありません。

サイトを運営する側になると、この違いが具体的な選択になります。証明書には種類があり、確認の水準が違い、価格も発行までの時間も違います。無料で取れるものもあります。

この記事では、確認の水準による三つの種類、無料と有料の違い、一枚でどこまで守れるか、申し込みから発行までの手続き、そして期限の管理を整理します。

鍵マークが出ていれば同じ、ではない

証明書が果たす役割は二つあります。ひとつは通信を暗号化すること。もうひとつは、通信している相手がその証明書に書かれた相手であることを示すことです。

暗号化については、証明書の種類によらず同じ仕組みが使われます。だから、無料の証明書でも通信の暗号化は行われます。ここで差は出ません。

差が出るのは、二つめの部分です。証明書を発行するときに、どこまで確認したのか。そのドメインを使える人かどうかだけを確認したのか、組織の実在まで確認したのか。

利用者から見ると、この違いは分かりにくくなっています。以前は表示で区別されていましたが、今はブラウザの表示だけで判断するのは難しい。証明書の中身を見れば分かりますが、そこまで見る人は少ない。

だから、証明書の選択は「利用者に見せるため」よりも「自分の側の説明のため」という性格が強くなっています。何をどこまで確認された証明書を使っているか、と説明できる状態にしておくという意味です。

確認の水準で三つに分かれる

一つめは、ドメインを使えることだけを確認する種類です。発行が早く、費用も抑えられます。個人のサイトやブログ、社内向けの用途で広く使われています。

二つめは、組織の実在まで確認する種類です。登記の情報や電話での確認など、申し込んだ組織が実際に存在するかを確かめます。発行までに日数がかかり、費用も上がります。

三つめは、さらに厳格な手続きで確認する種類です。確認の項目が多く、発行までの日数も長くなります。金融や公共の分野で使われることが多い水準です。

どれを選ぶかは、サイトで何を扱うかで決まります。情報を見せるだけのサイトと、申し込みや決済を受けるサイトでは、求められる説明の水準が違います。

社内の規定や、取引先からの要請で水準が決まっている場合もあります。自分で選ぶ前に、決まりがあるかを確認しておきます。主要な認証局の SSL サーバ証明書を扱う国内の正規代理店のような代理店では、各認証局の証明書を種類ごとに扱っています。

無料のものと有料のものの違い

無料の証明書は、ドメインの確認だけで発行されます。自動で発行と更新ができる仕組みが整っていて、多くのレンタルサーバーが標準で対応しています。

違いのひとつは有効期間です。無料のものは期間が短く、自動で更新する前提で運用されます。自動更新が止まると、気づかないうちに切れます。

もうひとつは、組織の確認ができないことです。組織の実在を示す必要がある場合、無料の選択肢はありません。

保証や対応の違いもあります。有料の証明書には、発行元による補償の仕組みや、問い合わせへの対応が付いていることがあります。何かあったときに聞ける先があるかどうかは、業務で使う場合に効いてきます。

だから、判断は「無料で足りるか」という問いになります。組織の確認が要らず、自動更新が確実に動く環境なら、無料で足ります。そうでない場合は、有料の選択肢を検討します。

使っているサーバーの制約も関わります。契約しているサービスが特定の証明書しか扱えない場合や、持ち込んだ証明書を設定できない場合があります。買う前に、置けるかどうかを確かめておきます。

一枚でどこまで守るか

証明書は、対象となる名前が決まっています。一つの名前だけを対象にするもの、複数の名前をまとめて対象にできるもの、ある名前の下の階層をまとめて対象にできるものがあります。

一つの名前だけのものは、単純で分かりやすい代わりに、サイトが増えると枚数が増えます。管理する枚数が増えると、期限の管理も煩雑になります。

複数の名前をまとめられるものは、関連する複数のサイトを一枚で扱えます。あとから名前を追加できるかどうかは、製品によって違います。

下の階層をまとめて対象にできるものは、名前が増える見込みがある場合に向きます。ただし、対象になる階層には決まりがあるため、自分の構成に合うかを確認します。

構成が決まっていない段階では、判断が難しいところです。当面必要な分から始めて、増えたときに見直すという進め方でも問題ありません。対象の範囲による種類の違いは、販売しているサイトの案内で比べられます。

枚数を減らすと管理は楽になりますが、一枚が使えなくなったときの影響は広がります。逆に分けておくと、影響は狭い代わりに管理する対象が増えます。運用する人数と、サイトの重要度で決めることになります。

申し込みから発行までの手続き

まず、鍵と申請の情報を作ります。サーバーで作業するか、サービス側で用意される場合もあります。ここで入れる情報が、証明書に載る内容になります。

次に審査です。ドメインの確認だけなら、メールに届いたリンクを開く、指定されたファイルを置く、といった作業で済みます。早ければその日のうちに発行されます。

組織の確認が入る種類では、書類の提出や電話での確認が加わります。登記の情報と申し込みの情報が一致しているか、連絡先が確かめられるか。ここで日数がかかります。

発行されたら、サーバーに設定します。証明書と、中間の証明書、鍵。この三つの組み合わせを正しく置く必要があります。設定の手順は環境によって違うため、使っているサーバーの手引きに従います。

設定が終わったら、確認します。ブラウザで開いて鍵マークが出るか、中間の証明書が正しく送られているか。確認用のサービスを使うと、抜けを見つけられます。

つまずきやすいのは、中間の証明書を置き忘れることです。手元のブラウザでは問題なく見えるのに、別の環境では警告が出る、という形で現れます。複数の環境で確認しておくと安心です。

作った鍵の保管も忘れないようにします。なくすと再発行が必要になります。誰がどこに保管しているのかを、担当者以外にも分かる形にしておきます。

期限の管理でつまずかない

証明書には有効期間があります。切れると、ブラウザに警告が出て、利用者は先へ進めません。申し込みフォームや決済を扱うサイトでは、そのまま機会を失います。

だから、期限の管理は仕組みにします。カレンダーに入れる、監視の仕組みで通知を受ける、自動更新にする。人の記憶に頼ると、担当が変わったときに落ちます。

自動更新にしている場合も、動いているかを確かめる仕組みが要ります。自動化は「動かなくなったことに気づかない」という弱点を持っています。

複数のサイトを持っている場合は、一覧を作ります。どのサイトに、どの種類の証明書が、いつまで。この表があると、担当が変わっても引き継げます。

更新のときに、種類を見直す機会にもなります。始めた頃と今で、サイトの役割が変わっていることがあります。ドメインとサーバーの更新については https://zero-press.net/columns/domain-server-koushin にまとめてあります。

よくある質問

無料の証明書で足りますか。組織の確認が要らず、自動更新が確実に動く環境なら足ります。業務で使い、問い合わせ先が必要な場合は有料の選択肢を検討します。

どれを選べばよいですか。サイトで扱う内容で決まります。申し込みや決済を受けるサイトでは、組織の確認が入る種類が選ばれることがあります。社内の規定や取引先の要請も確認します。

発行にどのくらいかかりますか。ドメインの確認だけなら短く済みます。組織の確認が入る種類は、書類や連絡の確認があるため日数がかかります。

複数のサイトをまとめられますか。対象の範囲によって種類が分かれています。あとから名前を追加できるかは製品によって違うため、確認してください。

更新は自動にできますか。証明書と環境によります。自動にした場合も、動いているかを確かめる仕組みを別に用意します。

切れたらどうなりますか。ブラウザに警告が表示され、利用者は先へ進みにくくなります。期限は仕組みで管理してください。

価格はどのくらいですか。認証局と種類、対象の範囲によって幅があります。販売しているサイトの案内で、現在の価格と有効期間を確認してください。

まとめ

暗号化と、相手の確認は別のものです。鍵マークが出ていることは、暗号化されていることを示すだけです。

対象の範囲で種類が分かれます。一つの名前か、複数か、下の階層まで。今の構成と、増える見込みで選びます。

期限の管理は仕組みにします。人の記憶に頼らず、通知と一覧で引き継げる形にします。サイトのセキュリティを点検する方法は https://zero-press.net/columns/site-security-shindan にまとめてあります。