• LIGの広告成功事例
LIGPR WEB

SSLとは?SSL証明書の基本から購入・更新時の正しい選び方まで

SSLとは?SSL証明書の基本から購入・更新時の正しい選び方まで

こんにちは、管理部のtetsuです。

Webサイトのシステム構築をする際、サイトによってはSSL証明が必要になることもあるかと思います。
最近では、GoogleがSEOの指標の1つとして「SSL対応をしているか、常時SSLをしているか」を見るという話もあるので、SSL通信にするかどうかで悩んでいるWeb担当者の方などもいらっしゃるのではないでしょうか。

今回は、システム開発会社「エスロジカル」さんにご協力いただき、SSL証明書の基本から、購入・更新時に知っておきたい正しい選び方までをまとめました。新規でSSL証明書を発行しようとしている方や、SSL証明書の更新が迫ってきている方は、ぜひ参考にしてみてください。

そもそもSSL通信とは?

SSLとは、Secure Sockets Layer の略称で、インターネット上の通信を暗号化する技術のことです。Webサーバとクライアント(PCやスマホなど)の通信を暗号化することで、第三者によるデータの盗聴や改ざんなどを防ぐことができます。

 
https

SSL通信の際は、上図のようにURLの前に鍵マークがつき、URLの冒頭が「http」から「https」に変わります。
SSLが標準的に使われているのは、個人情報を送信するWebサイトやクレジットカード情報などを登録するECサイトなど。つまり、大事な情報を守るためのセキュリティとして使われることが多いです。

仮に、通信経路に盗聴器のような仕掛けがあったとしても、SSL通信を使用していればその通信内容を解読されることはありません。盗聴器のような仕掛けとはパケットスニファーと呼ばれるもので、分析ツールや管理ツール、個人情報の悪用を目的としているものが多いそうです。
悪用されて個人情報の流出などが起こると企業の信頼度も落ちてしまうので、SSL通信でしっかりと対策する必要があります。

また、Webサイトからクライアントに発行されるCookie情報をハイジャックされないように、全ページをSSL化したサイトも増えはじめています。悪意を持った第三者によって偽のCookieをセットされた場合、結果的にユーザが危険にさらされてしまうことがあります。それを防ぐのに有効である常時SSL化をすることで、ユーザを守ることができるんです。

以上のことから、SSL通信の重要性やGoogleがSSL対応をSEOの指標の1つに採る理由をわかっていただけたかと思います。

SSL証明書とその種類について

SSL通信をおこなうには、SSL証明書を取得しなければいけません。SSL証明書は、Webサイトの運営組織が認証局に企業などの発行先情報を送付し、証明書の発行を依頼して得られます。

 
slogical

このように、サイトに訪れたユーザがプライベート接続であることや運営元の企業を確認できるものがSSL証明書で、このSSL証明には3種類のものがあります。

 
slogical002

上図のようにSSL証明書を詳しく見てみると、青下線のある部分で「EV SSL」とありますよね。これは、3種類の中で最もセキュリティ性に優れているEV証明書であることを示しています。

SSL証明書の種類は下記のとおりで、上から順に価格が安く、発行時間が早くなっています。

  • ドメイン認証型(DV証明書)
  • 実在証明型(OV証明書)
  • Extended Validation(EV証明書)

それぞれの特徴を詳しく見ていきましょう。

ドメイン認証型(DV証明書)

ドメイン認証型は、通信を暗号化するだけのものです。ですから、オンラインでドメインの実在確認をおこなうだけで、簡単に発行することができます。(他の2種類には、書類提出などがある)
通信の暗号化のみを目的とするのであれば、ドメイン認証型の証明書で十分だそう。

ただし、発行されるSSL証明書に企業情報は埋め込まれないので、本格的な利用をしたい法人ユーザの方には、すこし物足りないかもしれません。

実在証明型(OV証明書)

実在証明型は、企業がWebサイトを運営していることを証明するものです。商業登記簿謄本(登記事項証明書)や帝国データバンクの情報を元に、運営企業の実在が確認されてから発行されます。審査の最終ステップは、電話の確認でおこなわれることが多いそう。

発行されるSSL証明書の属性やサイトシールに企業情報が埋め込まれるので、「なりすまし防止」の用途でも利用することができます。加えて、ユーザは接続しているWebサーバの運営元を確認できるので、安心してWebサイトを閲覧したり情報を送信したりすることができます。

EV(Extended Validation)証明書

これまでのSSLサーバ証明書は、資格審査の内容が統一されていなかったそうで、偽りの詐欺ページ(いわゆるフィッシングサイト)に流用されてしまうなどの事例があったそう。
これらの対策のために業界では資格審査の基準を定め、それに準拠した新しいサーバ証明書が発行されることになりました。それがEV証明書です。実在証明型よりもさらに厳格な審査がおこなわれるので、発行までに時間がかかります。

ブラウザのアドレスバーが緑色になることで、ひと目で「なりすまし防止」の機能を確認することができます。金融機関などでもよく利用されていて、Webサイト上での脅威が日に日に増大している状況から、今後需要が増えると予想されています。

SSL証明書の選び方

SSL証明書は、SSL証明型を発行している各社によっても特徴があります。

 

slogical003

例えば、Webサイトの閲覧中に上記のマークを見たことがある方もいらっしゃるのではないでしょうか? こちらは、SSL証明書をWebサイト上で表記するための“サイトシール”と呼ばれるマークで、「シマンテック(旧ベリサイン)」というSSL証明書ブランドのものなんです。このように、SSL証明書にはいくつかのブランドがあり、価格や性能もそれぞれ。

例えば、個人申込みができるものや法人申込みのみ取り扱っているもの、携帯電話にほぼ100%対応しているものや全く非対応のものなど、さまざまなブランドがあります。

ですから、運営しているWebサイトに1番合ったものを選びましょう。エスロジカルさんによると、下記のように選ぶことができるそう。

SSL証明書の選び方例
  • できるだけ安くSSL通信を実現したい → 低価格な「RapidSSL」を購入
  • 格安でサイトシール付きのSSL環境を構築したい → 「QuickSSL Premium」を購入
  • 実在証明(OV)型で低価格なSSL証明書を導入したい →「トゥルービジネスID」を購入
  • シマンテックの証明書を格安で導入したい → 「シマンテック Secure Site」や「シマンテック Secure Site EV」を購入
  • 迅速な企業認証をおこないたい→ 「サイバートラスト SureServer」を購入

運営しているWebサイトに合ったものを見つけるためには、さまざまなSSL証明書を比較しなければなりませんよね。エスロジカルさんでは各社SSL証明書の詳しい比較表があるので、ぜひ参考にしてみてください。

>>SSL証明書の比較表を見てみる<<

SSL証明書の更新について

SSL証明書には有効期限があり、その有効期限はSSL証明書そのものに埋め込まれているので、有効期限が近づいてきたら更新をする必要があります。
SSL証明書を更新する際には、更新用のSSL証明書を新たに申請し、更新用に発行されたSSL証明書をWebサーバにインストールし直さなければなりません。

多くのSSL証明書は期限切れ90日前から更新可能となっており、早めに更新しても期限に損が生じることはない(期限切れ約1ヵ月前に1年の有効期限で更新すると、約13ヵ月の長さを持つ証明書で発行される)ので、できるだけ早めに準備しておきましょう。

また、同じブランドのSSL証明書で更新をする際、いままでと同じ代理店を選ぶ必要はありません。あまり知られていないことですが、SSL証明書の更新は、より安くてしっかりとしたサポートをしてくれる代理店を選び直すきっかけともなるんですね。

SSL証明書更新時に注意したいこと

1番に注意したいことは、時間に余裕をもって対応することです。
特に、実在証明型やEV証明書の更新では、基本的に組織審査のやり直しからおこなうそう。ですから、期限切れギリギリの申請だと、有効期限に更新するSSL証明書の発行が間に合わないなんてことも。

 
無題

SSL証明書が期限切れになってしまうと、ブラウザでhttpsにアクセスしたときに上図のような赤い警告画面になってしまうんです。次画面に遷移することでWebサイトを閲覧することはできるのですが、ユーザ心理として、このような警告画面から次画面に遷移するのには躊躇われますよね。

Webサイトがユーザに閲覧されなくなってしまっては元も子もないので、SSL証明書の更新はできるだけ前もって社内外の対応を進めていきましょう。

まとめ

SSL証明書などがセキュリティ対策だとはわかっていても、詳しいことを知らずに使用していた方もいらっしゃるのではないでしょうか?
また、インターネットに詳しくないユーザも多くいるからこそ、Webサイトの運営側が情報の保護をきちんとおこなわなければいけません。

今回、情報提供してくださったシステム開発会社「エスロジカル」さんでは、サイフにやさしいSSL証明書を販売していますので、改めてご紹介いたします。

「サイフにやさしいSSL証明書」なら、エスロジカル

slogical006
https://www.slogical.co.jp/ssl/

エスロジカルさんは、世界的なセキュリティ企業『シマンテック』グループの正規代理店で、国内最安で高品質なSSL証明書を販売しているシステム開発会社です。
他代理店で購入したSSL証明書でもエスロジカルさんで更新をすることができ、コスト削減を見込むことができます。加えて、新規購入の方でも安心してSSL通信を開始することができるようにサポートが充実しているんです。

充実したサポート体制

  • 後払い(翌月末払いなど)や公費払いに対応している
  • 各種経理書類の発行が迅速
  • インストール代行サービスもおこなっている
  • 企業に合ったSSL証明書を選んでくれる

ぜひSSL証明書の購入・更新時には、「サイフにやさしいSSL証明書」を利用してみてください。

>>サイフにやさしいSSL証明書を詳しく見てみる<<

この記事を書いた人

tetsu
tetsu 管理部 2012年入社
手塚です。LIGの土台を支えています。インフラからプログラミング、果ては経理、会計までと、広い守備範囲でみんなをサポートしています。