Let's Encryptは会社のサイトで使える？商用利用と注意点の整理

Let's Encryptは、会社のサイトでも無料で使えるSSL/TLS証明書の発行機関です。使えるかどうかより、更新が止まったときに誰が気づいて直すかを決めておくことが、法人で使うときの論点になります。

今日やることは、自社のサイトの証明書を1つ開いて、発行者と有効期限を見ることです。発行者がLet's Encryptなら、更新を担当している人か会社の名前を横に書いてください。名前が出てこなければ、そこが最初に片づける点です。

この記事は公開情報を整理したものです。私たちが製品やサービスを導入や検証したわけではありません。サイト全体の守り方はWebサイト・サーバー防御のカテゴリから見られます。

商用サイトに使っても規約違反にならない？

ならないと読めます。公式のFAQは「世界中の個人と組織」⁠が証明書を取得、更新、管理できるサービスだと説明しています。料金もかかりません。

利用規約（2026年7月6日版）⁠は⁠、利用者が会社や組織の代理で契約する場合を想定した書き方です。代理する権限があることを表明する条項もあります。会社で使うなら、誰が会社の代理としてこの規約に同意したのかを記録に残してください。

レンタルサーバーなどの事業者が、管理の手数料を取ることはあります。FAQにも、事業者が管理費用として少額を請求する場合があると書かれています。証明書そのものは無料でも、契約全体が無料とは限りません。

無料と有料で何が違う？

Let's Encryptと一般の有料製品を比べると、通信を暗号化するという役割に差はありません。差が出るのは、発行される種類と、困ったときの窓口です。

種類について、Let's EncryptはOVとEVを出す予定がないとしています。取引先の調査票や社内規程で企業の実在を確認できる証明書を求められているなら、そこで候補から外れます。

窓口についても、公式は少人数の運営なので利用者を直接支援できないと説明しています。自社に詳しい人がいない場合は、保守を頼む会社が対応範囲に含めているかを契約で確かめます。保証は、規約に「as-is（現状のまま）」⁠と明記されています。有料の製品を比べるときはSSL証明書の製品比較で、認証の種類とサポートを見比べられます。

法人で使うときの注意点は？

期限切れの通知は届かない

Let's Encryptは、期限切れの通知メールを2025年6月4日に終了しました。以前の感覚で「切れそうならメールが来る」⁠と考えている会社は、ここを直す必要があります。

公式は代わりに外部の監視サービスを案内しています。監視サービスの一覧⁠に複数の例があり、その中のRed Sift Certificates Liteは250枚まで無料と書かれています。一覧は情報提供であり、Let's Encryptが保証するものではないとも明記されています。

有効期間が短くなる

標準の有効期間は今は90日です。公式の予定では、2027年2月10日⁠に64日⁠、2028年2月16日⁠に45日⁠へ短くなります。新しい証明書が対象なので、変更後の最初の更新から短くなります。

更新を自動化していれば、多くの場合は設定を変えずに済むと公式は説明しています。ただし、更新の間隔を「60日ごと」⁠と固定している場合は間に合いません。保守を頼んでいる会社には、更新の間隔が固定か、期限に応じて変わるかを聞いてください。証明書業界全体の日程はSSL証明書の有効期限が短くなる話⁠にまとめました。

自動更新はサーバーの変更で止まることがある

更新のたびに、ドメインを管理していることの確認が行われます。公式の確認方式の説明⁠によると、よく使われるHTTP-01方式は80番ポートでしか行えません。

つまり、80番ポートを閉じる変更をすると、この方式の更新は止まる可能性があります。サーバー移転、DNSの移管、ファイアウォールの設定変更をするときは、作業の確認項目に「証明書の更新」⁠を入れます。すべてのサブドメインに使えるワイルドカード証明書は、DNSを使う方式でしか発行されません⁠。DNSの権限をどこに置くかも決めておきます。

発行回数に上限がある

発行の上限は、登録ドメインごとに7日間で50枚⁠、まったく同じドメインの組み合わせで7日間に5枚です。通常の更新はこの上限の対象外です。

ふだん気にする場面はほとんどありません。困るとすれば、障害の復旧で新しいサーバーを作り直しながら、発行を何度もやり直す場合です。上限に達すると、しばらく同じ組み合わせの証明書を取れません。復旧の手順では、やり直す前に原因を確かめる順番にします。

自動更新が止まったときの備えは？

止まってから考えると、期限の残り日数との勝負になります。平常時に4つ決めておきます。

監視は、サーバーの中ではなく外から見るものを選びます。サーバーそのものが止まっていても気づけるからです。公式も、更新されないときに通知が届く監視を用意するよう勧めています⁠。

通知のしきい値は有効期間に合わせます。公式は、残りの有効期間が3分⁠の1になった時点で更新することを勧めています。90日⁠の証明書なら残り30日⁠、45日なら残り15日です。この時点を過ぎても新しい証明書に替わらなければ、更新が止まっている合図と考えられます。担当者の休みも考えて、残り日数に余裕のあるうちに通知が届くようにします。

更新の成功と、サイトに反映されたことは別の話です。新しい証明書が発行されていても、Webサーバーが古いものを読み込んだままなら、利用者には古い証明書が届きます。監視で見るのはサイトが実際に返している証明書の期限です。

製造業の会社ならどこを見る？

たとえば、製品サイトは制作会社が管理し、取引先向けの受発注サイトは情報システムの委託先が管理している場合を考えます。同じ会社の名前でも、サーバーごとに更新の担当が分かれます。

このとき、製品サイトの証明書が切れると、利用者のブラウザには警告が出ます。受発注サイトで同じことが起きると、取引先の担当者が操作できずに電話をかけてくるかもしれません。

そこで、サブドメインごとに「証明書の発行者・期限・更新の担当・監視の有無⁠」⁠の4列⁠で一覧を作ります。受発注や図面のやり取りに使うサイトは、止まったときに連絡する取引先まで書いておくと、復旧の順番を決められます。

会社のサイトに向くのはどんな場合？

判断は次の表で整理できます。

証明書は通信を暗号化し、ドメインの管理者を確認する仕組みです。サイトの中身まで守るものではありません。管理画面の乗っ取りやソフトの弱点への備えは入口別の不正アクセス対策⁠で確かめてください。サーバー側の対策はサーバーセキュリティの製品比較、書き換えに気づく手段はWebサイト改ざん検知の製品比較で見られます。