SSL証明書の有効期限が短くなる？47日時代に向けた更新の準備を解説

はい、短くなります。公開サイト向けの証明書の最大有効期間は2026年3月15日⁠に200日⁠へ短縮され、2027年3月15日⁠に100日⁠、2029年3月15日⁠に47日⁠になります。

今日やることは、自社の証明書を1枚ずつ書き出す作業の開始です。URLや機器名、発行者、期限、更新の方法、担当の5列⁠で十分です。次の更新が来てから調べるのではなく、今ある証明書の数を先に数えます。

この記事は公開情報を整理したものです。私たちが各製品を導入や検証したわけではありません。サイト全体の守り方はWebサイト・サーバー防御のカテゴリから見られます。

いつ、どこまで短くなる？

日程は、認証局とブラウザの団体CA/Browser Forumが定める基準（Baseline Requirements）⁠に書かれています。2025年の投票SC-081v3⁠で決まったものです。

年間の更新回数は、365日⁠を有効期間で割った私たちの計算です。実際は期限の前に更新するので、もっと増えます。Let's Encryptは残りが3分⁠の1になった時点での更新⁠を勧めています。47日⁠の証明書に当てはめると約31日ごと、年12回前後です。

上限は発行日で決まります。短縮の直前に398日⁠で発行された証明書なら、期限は2027年4月まで残ります。そのため、1年更新の証明書をお持ちの会社では、これからの更新で初めて変化に出会う場合があります。

短くする理由について、Let's Encryptは誤発行や鍵の漏えいの影響を受ける期間を短くできることと、自動化が進むことの2点⁠を挙げています。

自社は何をいつまでにやる？

次の節目は2027年3月15日です。100日⁠になると、更新は年4回前後⁠になります。人の手でも回せなくはありませんが、枚数が増えると予定に組み込むのが難しくなります。自動化の工事に時間がかかる機器もあるので、2026年度の予算の話として今から動いてください。

たとえば証明書が10枚ある会社では、47日⁠になると年80回近い更新作業が発生します。1回⁠の作業が短くても、担当者の休みや繁忙期と必ず重なります。

1. 証明書を全部書き出す

サイトの証明書だけでは足りません。公開の認証局から発行された証明書を使っているものは、すべて対象です。見落としやすいのは次の場所です。

• 採用サイトやキャンペーン用のサブドメイン
• 取引先向けの受発注サイト
• メールサーバーやVPN装置の管理画面
• ロードバランサーなど、サーバーの手前で暗号化を処理する機器

逆に、社内だけで使うプライベート認証局の証明書は、この基準の対象ではありません。自社がどちらを使っているかを発行者の欄で分けます。

2. 更新の方法で4つ⁠に分ける

サービスが更新する例として、エックスサーバーは有効期限を延ばす再発行を原則として自動で行う⁠と案内しています。ただし企業認証やEVは、利用者の手続きが必要な場合があります。AWSのCertificate Managerは、DNS検証を使っていれば更新を自動で行います。同じサービスでも証明書の種類や検証の方法で扱いが変わるので、契約中のものごとに確かめます。

手作業しか残らない機器が、準備の中で最も時間のかかる部分です。サイトの手前にロードバランサーやCDNを置き、そこで証明書を処理する構成に変えれば、機器の内側を触らずに済む場合があります。

3. 自動にできるものから移す

自動化の標準的な仕組みがACMEです。認証局と更新用のソフトが、申請から発行までを自動でやり取りします。無料の証明書だけの話ではなく、DigiCert⁠はCertbotなど外部のソフトにも対応し、GlobalSign⁠もACMEを提供しています。

設定では2つ⁠を確かめます。1つ目は、更新の時期が固定の日数になっていないかです。Let's Encryptは60日⁠の固定間隔では足りなくなる⁠と明記しています。認証局が更新の時期を知らせるARIという仕組みに対応したソフトなら、時期を任せられます。

2つ目は、ドメイン確認の方法です。2029年にはドメイン確認の再利用が10日⁠になるので、発行のたびに確認が要る前提で考えます。確認の情報をWebサーバーかDNSに自動で置けないと、更新はそこで止まります。

DNSを更新用のソフトに触らせたくない場合に備えて、記録を変えずに済むDNS-PERSIST-01という方式の標準化も進んでいます。Let's Encryptは2025年12月時点で2026年中の提供を見込むと説明していました。使える状況かどうかは、各認証局の最新の案内で確かめてください。

4. 外からの監視を入れる

自動化すると、人が更新を意識しなくなります。だから止まったときに気づく別の仕組みが要ります。Let's Encryptも、更新されないときに通知する監視⁠の用意を勧めています。

監視では、サイトが実際に返している証明書の期限を外から確かめます。残りが有効期間の3分⁠の1を切っても替わらないなら、更新が止まっている合図です。通知先は担当者1人⁠にせず、委託先と社内の2か所にしておきます。

有効期間が短くなると、更新が止まってから切れるまでの余裕も減ります。100日⁠の証明書なら残り3分⁠の1で約33日ありますが、47日なら約16日です。年末年始や大型連休を挟むと、残りの日数はさらに心細くなります。

5. 委託先と契約を確かめる

制作会社や保守会社に任せている場合、次の質問をそのまま送れます。

• 当社の証明書の更新は、自動ですか、手作業ですか
• 有効期間が100日⁠、47日⁠になったときの更新の頻度と費用は、今の契約に含まれますか
• 更新が止まったときに誰が気づき、何時間以内に対応しますか
• 自動化できない機器や証明書はありますか

契約期間と証明書の期間の違いにも注意します。年単位の契約でも、証明書の期間は最大200日です。エックスサーバーの案内にも、契約期間中に有効期限が切れるケースが発生する⁠とあります。契約期限と証明書の期限を、一覧では別の列にしてください。

企業認証（OV）やEVを使っている会社は、確認の日程がもう1つ増えます。基準では、企業情報の確認結果の再利用は398日までです。証明書は自動で更新できても、書類の確認は年に一度来ると考えて、担当と時期を決めます。

製造業の会社で詰まりやすいのはどこ？

たとえば、取引先向けの受発注サイトを工場の近くのサーバーで動かし、保守は年に一度の契約で頼んでいる場合です。今までは年1回⁠の訪問や作業に合わせて証明書も更新できました。100日⁠になると、この周期が合わなくなります。

このとき、外部に公開している入口だけを手前のサービスに移せば、古いサーバーの中を変えずに証明書を自動で扱える可能性があります。止められない受発注のシステムなら、作業は工場の長期休暇に合わせることになるので、逆算して早めに予定を押さえます。

証明書の選び方はSSL証明書の製品比較で、ACMEへの対応を含めて見比べられます。サーバーそのものの守りはサーバーセキュリティの製品比較、書き換えに気づく手段はWebサイト改ざん検知の製品比較で別に確かめてください。無料の証明書を法人で使うときの注意はLet's Encryptは会社のサイトで使えるかに、入口ごとの守り方は不正アクセスの入口別の見直し手順⁠にまとめました。