SSL証明書とHTTPSの基本

httpとhttpsの違い

ウェブサイトのアドレスの先頭が「http」ではなく「https」になっているのを見たことがあるかもしれません。「s」は「Secure（安全な）」の意味で、ブラウザとサーバーの間の通信が暗号化されていることを示しています。暗号化されていない通信（http）では、入力したフォームの内容やパスワードなどが、通信経路上の第三者に読み取られたり書き換えられたりするおそれがあります。

この暗号化を実現するために必要なのが「SSL証明書」（現在の技術では正確には「TLS証明書」ですが、慣例的にSSL証明書と呼ばれます）です。証明書には、そのサイトの運営者を確認した認証機関の情報も含まれており、通信の暗号化に加えて、アクセスしているサイトが本物であることを示す役割も持っています。

httpsでないと何が起きるか

主要なブラウザ（Google Chromeなど）は、2018年前後から、暗号化されていない（http のみの）サイトに対してアドレスバーに「保護されていない通信」「安全ではありません」といった警告を表示するようになりました。訪問者にこの警告が表示されると、サイトへの信頼感が下がり、フォームへの入力をためらう要因になります。また、検索エンジンがサイトを評価する際の要素の一つとしてhttps化を扱っているとも言われています。

証明書には期限があり、更新が必要

SSL証明書には有効期限があります。現在、世界で広く使われている無償の証明書発行サービス「Let's Encrypt」が発行する証明書は、発行から90日間有効です（90日より短い期間を選べる場合もあります）。期限が切れると、ブラウザに強い警告が表示され、サイトが正しく表示されなくなることもあります。

多くのレンタルサーバーやホスティングサービスでは、証明書の取得・更新が自動化されており、運営者が手動で作業する必要はありません。ただし、サーバーを移転した直後や、独自の仕組みで証明書を管理している場合など、自動更新が正しく設定されていないと、更新が止まってしまうことがあります。

何をすべきか

1. サイトのURLが「https」で始まっているか確認する（ブラウザでサイトを開くだけで確認できます）
2. SSL証明書の更新が自動化されているか、管理会社に確認する
3. サーバーの移転やリニューアルをした場合は、https化と証明書の自動更新が引き継がれているかを特に確認する

外から見える範囲のhttps設定は、無料診断でも確認できます。更新の仕組みがよく分からない場合は、教材「制作会社に確認すること」のチェックリストも活用してください。

参考にした公開情報

• IPA：TLS暗号設定ガイドライン（紹介ページ）
• Let's Encrypt：About（英語、無償発行・自動更新について）
• Let's Encrypt Community：証明書の有効期間（90日）について（英語）

この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。