こんにちは、キノトロープアカデミーです。

「キノトロープアカデミー」は、Web業界のトップランナーである株式会社キノトロープの社員が講師を務めるオンラインアカデミーです。リモートワーク時代に不可欠な「個のスキル」を高め、職人のような「匠」を目指す人を増やしたい。そんな願いを込め、基礎から経営判断、業務フローまで、一生モノのナレッジを惜しみなく公開していきます。

＜Web担当者編 第12回＞
Webサイト制作における基礎知識『SSL証明書の購入･更新の手続き』
についてお伝えします。

担当は高橋です。

WebサイトをHTTPS化するSSL証明書は、現在ほぼ必須の対応となっています。

証明書にはドメイン認証・企業認証・EV認証の種類があり、サイトの用途や取り扱う情報の重要度に応じて適切なものを選ぶことが大切です。

購入・更新の手続きはWeb制作会社に任せるか自社で行うかによって流れが異なりますが、いずれにせよ事前に必要な情報を把握しておくことでスムーズに進められます。

”Webサイト制作における基礎知識『SSL証明書の購入･更新の手続き』”をテーマに、
今日お伝えしたいことは3つあります。

この講座はSSL証明書についての理解を深めるための内容となっています。

対象としては、
・Web担当者でSSL証明書の購入や更新が必要となったときに、どうしたらよいか調べている人
・SSL証明書の何を購入したらよいかわからない人
・SSL証明書の更新が必要といわれたが何をしたらよいかわからない人
などが当てはまる方が対象となります。主にWeb担当者向けの内容となっています。

技術面での詳しい内容はここでは説明していませんのでご了承ください。

他、レンタルサーバや各種のサービスではSSL証明書の購入や導入を丸ごと代行してもらえる場合もありますので、その場合の内容は含んでおりません。

SSL証明書とはWebサイト等インターネット接続を安全・安心に行うためのものです。

大きくは、
１．暗号化通信を行う
２．実在証明を行う
ことで利用されています。

WebサイトのURLで、httpが非暗号化通信、httpsがSSLを用いた暗号化通信です。

Webサイトを運営する上で、httpsはすでにほぼ必須となってきています。

これはブラウザや、検索エンジンが非暗号化通信のサイトを優遇しない、または閲覧や機能が制限されるなどの流れとなってきているためです。

そのため、当然ながらSSL証明書を利用しhttps通信を行うことは今後必須と考えるのがよいでしょう。

システム全体像の中では、範囲の記述が微妙ですがユーザが利用するブラウザ側と
暗号化通信を行うサーバ側、Apache httpdなどの範囲が対象となります。

補足として、SSLはSecure Socket Layer の略で暗号化プロトコルですが、すでにこのプロトコルはセキュアではありません。

現在は実際にはTLS(Transport Layer Security)というSSLを強化した後継プロトコルが
利用されています。

自然、一般名称としては暗号化通信『SSL』と読んでいるため、ここでもSSLと呼んでいます。

一般のブラウザ・ユーザがhttpsでサイトを正常に表示するためにはSSL証明書を通常は購入する必要があります。

そこで選択肢と決めるべき、確認するべき内容があります。それは、

A．認証の種類
（ドメイン認証、企業認証、EV認証）
B．証明書発行元
（digicert,GlobalSign,Let’sEncrypt,AmazonのACM<AWS利用の場合＞）
C．複数ドメインの考慮
（１ドメイン、ワイルドカード、マルチドメイン）
D．証明書の期間
（半年、１年、複数年契約）

まず、A.証明書の種類 です。
・ドメイン認証
・企業認証
・EV認証
の３つがあります。

【A.認証の種類】
ドメイン認証はドメインを管理していることが確認できれば発行可能で、Let’sEncryptというサービスを使い無料で発行することも可能です。

また、AWSを利用している場合でもドメイン認証は無料で発行することが可能です。

つぎに企業認証です。これは申請した企業が存在していることの証明です。

申請すると実際に会社代表番号などの経由で、証明書発行会社から確認が入ります。そのため企業にもよりますが、１，２週間程度期間が必要となります。

最後にEV認証です。企業認証のより厳格な確認が行われるものです。登記簿など各種複数の書類が必要であるため、１か月以上かかる場合もあります。

普通のユーザはどの証明書が利用されているかはわかりませんが、大手の企業であれば企業認証以上を決済情報や個人情報などより、重要な情報をとりあつかうサイトではEV証明書を利用されることが多いです。

【B．証明書発行元】
digicert、GlobalSign、Let’sEncrypt、AmazonのACMなどがあり金額も異なります。

費用は発行元により変わってきます。以前はガラケーやブラウザの対応範囲で発行元ごとにも違いが大きかったですが、スマホや新しいブラウザの範囲での対応範囲はほぼ変わらない状態です。

【C．複数ドメインの考慮】
ドメインを１つだけ取得するのか複数取得するのかです。複数取得などの場合は契約方法などで料金が圧縮できる場合もあります。

大きくは
・サブドメインすべてを対象とするワイルドカード証明書
・*.kinotrope.co.jp複数のドメインをひとまとめにできるマルチドメイン証明書
などがあります。

インストールの手続きなども簡略化できる場合がありますので、複数ドメインを管理している場合は考慮が必要です。

【D．証明書の期間】
通常は１年となります。証明書の発行元によっては、３か月だったり、日付が指定できたりする場合もあります。

以前は２年以上などの指定もできましたが、ブラウザ側で１年以上の証明書を無効とする変更があったことにより、現在では最大で１年となります。
※ただ、契約上複数年で割り引くようなサービスはあります

手続きを行うにあたって大きく分けると、
A.すべてWeb制作会社に任せる場合
B．購入取得は自社で行う場合
となります。

【A.すべてWeb制作会社に任せる場合】
この場合はWeb制作会社にサイトおよびサーバの管理を行ってもらっていて、SSL証明書の購入も代行してもらう場合です。

企業認証の場合であれば、確認の電話連絡を受け、問題ない旨伝え、費用を支払うだけとなります。

【B．購入取得は自社で行う場合】
この場合は、購入の際にCSRファイルというものが必要となります。CSRは「公開鍵」というものと、申請者の署名が記載されています。

これを通常はWeb制作会社に依頼する形となります。CSRファイル作成してくださいと依頼することと、CSRファイル作成必要な次の情報をあわせて伝えてあげるとよいでしょう。

国名、都道府県、市区町村、組織名、部署名CommonName・ドメイン名です。

特にEV認証の場合は、登記簿の内容と違っている場合は認証が通らない、または修正で時間がかかる場合もありますので、注意が必要です。

完了すると証明書が送られてきますので、それをWebサイト制作会社に送付して、SSL証明書をインストールしてもらう形となります。

CSRをWeb制作会社から受け取ったら、証明書発行元で購入や更新の申請を行います。そして発行された証明書をWeb制作会社に送りSSL証明書のインストール更新をおこなってもらう流れとなります。

最後までご覧いただきありがとうございました。

の３点についての内容でした。