SSL証明書とは、Webサイトと利用者の間のデータを暗号化し、そのURLを持つ企業や個人を確認するために使う電子証明書です。働きの説明はデジサートの解説によります。
今日やることは、自社の全サイトで証明書の期限と、更新の方法を書き出すことです。会社サイト、採用サイト、製品カタログ、問い合わせフォームのドメインを並べ、期限の日付、更新が自動か手動か、担当者を埋めます。
2026年3月から最長の有効期間が短くなったので、これまで年1回の手作業で済んでいた会社ほど、確かめる意味があります。
SSLとTLSは別のもの？
いま実際に使う通信の規格はTLSです。SSL 3.0はRFC 7568で使ってはならないとされ、TLS 1.0と1.1もRFC 8996で廃止扱いになりました。
名前だけが「SSL証明書」として残っており、製品名や契約画面ではこの呼び方が今も使われています。この記事でも、検索で使われている「SSL証明書」と書きます。
サーバーの暗号の設定まで確かめるときは、IPAのTLS暗号設定ガイドライン（2025年4月25日の第3.1.1版）が基準になります。設定の基準を「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」に分けています。
DV、OV、EVの違いは？
3つの違いは、発行前に認証局が確認する範囲です。デジサートの解説は、種類の名前は認証手順を表すと説明しています。
| 種類 |
確認する範囲 |
証明書で分かること |
| DV（ドメイン認証） |
ドメインを管理していること |
組織の詳細は表示されない |
| OV（企業認証） |
ドメインに加え、関連する組織 |
サイトを所有する組織の情報 |
| EV |
OVの確認に加え、事業の運営状況や申請者の雇用状況など |
サイトを所有する企業や親会社の詳細 |
どの種類でも、Webサイトの暗号化には使えます。追加で確認するのは「このドメインの向こうにいるのが誰か」です。
EVといえば、アドレス欄の横に表示が出る印象を持つ人もいるかもしれません。Chromeはバージョン77から、EVの表示をアドレス欄の横からページ情報の中へ移しました。Googleの説明によると、利用者の保護に意図どおりつながっていないと判断したためです。見た目で信頼を示すためにEVを選ぶなら、この変更を踏まえて判断してください。
自社にはどれが合う？
次の表は、私たちの整理です。業界の統一の基準ではありません。
| サイトの状況 |
考え方 |
| 会社案内、ブログ、製品紹介 |
DVでも暗号化はできる。更新の自動化を優先する |
| 問い合わせフォーム、取引先向けのページ |
DVかOV。組織の情報を証明書で示したいならOV |
| 取引先や社内規程でOVやEVの指定がある |
指定どおりにする |
| 証明書の種類を決めずに更新を続けている |
次の更新の前に、誰がなぜ選んだかを確かめる |
たとえば部品メーカーで、取引先の情報システム部門から、証明書の種類を調達の条件で指定されている場合があります。この場合は価格より指定が先です。指定がないなら、OVやEVの審査の手間と費用が、自社の目的に見合うかで判断します。
無料の証明書も選択肢です。Let's Encryptは発行に費用を請求しない認証局です。自動更新の設定がしやすいかは、サーバーやレンタルサーバーの対応によります。
自社サイトの証明書はどう確かめる？
ふだん使うブラウザで確かめられます。Chromeのヘルプのとおり、Webアドレスの左側のアイコンで安全性を確かめ、サイトの情報を開きます。表示の細かい部分はブラウザや版によって変わります。
確かめる点は次の6つです。
- 証明書の期限の日付
- 発行先のドメインが、開いているサイトと一致しているか
- 発行した認証局の名前
- 組織名の有無（OV、EVなら組織の情報が見える）
- HTTPのURLで開いたときに、HTTPSへ切り替わるか
- ページの中にHTTPで読み込んでいる画像や部品がないか
6番目は混在コンテンツと呼ばれます。MDNの解説によると、安全に読み込んだページが、HTTPなどの保護されていない通信でリソースを取得している状態のことです。ブラウザによっては自動で切り替えたり遮断したりするので、古い製品カタログの画像やフォームが、表示されなくなることがあります。見つける方法として、開発者コンソールの警告を見る手順が示されています。
サーバーの設定まで外から調べるなら、Qualys SSL Labsの無料サービスがあります。公開サイトのSSL設定を詳しく分析するものです。結果の読み方が難しければ、サーバーの保守業者に見せて相談してください。
見落としやすい場所
証明書は会社のメインのサイトだけではありません。採用サイトのサブドメイン、製品カタログの別ドメイン、展示会用の特設サイト、問い合わせフォームのサービスなど、制作会社や部署ごとに別々に管理していることがあります。
有効期間の短縮で何が変わる？
更新の回数が増えます。CA/Browser ForumのBaseline Requirementsが定める最長の有効期間は、次のとおりです。
| 発行日 |
最長の有効期間 |
| 2026年3月15日より前 |
398日 |
| 2026年3月15日から |
200日 |
| 2027年3月15日から |
100日 |
| 2029年3月15日から |
47日 |
この変更は2025年4月に採択された投票（SC081v3）で決まりました。ドメインや組織の確認データを使い回せる期間も、あわせて短くなります。OVやEVは、確認の手続きの回数も増える可能性があるので、発行元の案内を確かめてください。
認証局によっては、この日程より早い動きもあります。Let's Encryptは現在の90日を、標準の設定で2027年2月10日から64日、2028年2月16日から45日へ短くすると発表しています。
47日になると、更新は年に8回前後になります。手作業で続けるのは現実的に厳しいので、次の点を制作会社やレンタルサーバーに聞いて、自動にできる範囲を決めます。
- いまの証明書は自動で更新されているか
- 種類を変えても自動更新の対象になるか
- 更新に失敗したら、誰に通知が届くか
- 通知先に退職者や旧担当者のメールが残っていないか
期限が切れると、利用者のブラウザにはERR_CERT_DATE_INVALIDなどのエラーが出ます。取引先が見積もりフォームを開こうとして気づく、という順番になりかねないので、社内で先に気づく仕組みを用意します。製品を比べるときはSSL証明書の製品比較で、認証の種類と更新の方法を見比べられます。
証明書があれば安全なサイトと言える？
言えません。証明書が守るのは主に通信の途中です。デジサートの解説も、多くのフィッシングサイトが鍵アイコンとDV証明書を利用していると書いています。Chromeのヘルプも、安全なサイトでも個人情報の扱いに注意し、アドレスバーでサイト名を確かめるよう案内しています。
サイトの中のソフトの脆弱性や、管理画面の乗っ取りは、証明書の守備範囲の外です。入口の順番は不正アクセスの入口と防ぎ方、Webアプリケーションへの攻撃の影響を減らす手段はWAFの製品比較、書き換えに気づく手段はWebサイト改ざん検知の製品比較で確かめられます。サイトが止まる被害への備えはDDoS攻撃への備えの決め方にまとめています。サイト全体の守り方はWebサイト・サーバー防御のカテゴリから見られます。
