SSLとは？意味や仕組み、種類を簡単にわかりやすく解説

インターネットが普及し始めたばかりのころ、ウェブサイトのやり取りはすべて「平文（ひらぶん）」とよばれる、暗号化されていない状態で送受信されていました。そのため、通信内容が第三者に盗み見られる危険性があり、クレジットカード番号、ログイン情報、個人情報など、大切なデータを送ることは極めてハイリスクでした。

こうした課題を解決するために、1990年代半ばにNetscapeが開発したセキュリティ技術が「SSL（Secure Sockets Layer／セキュア・ソケッツ・レイヤー）」です。ウェブ上で個人情報や決済情報など、重要なデータを安全に送受信するための仕組みとして使われるようになりました。

その後、SSLはさらに安全性を高めるために改良され、「TLS（Transport Layer Security／トランスポート・レイヤー・セキュリティー）」という新しい仕組みに進化をとげました。現在では、実際の安全な通信の多くはTLSによって行われていますが、「SSL証明書」という呼び方が広く定着しているため、今でもSSLという言葉が使われています。この記事では、SSLの意味や仕組み、種類、導入の流れなどをまとめました。

SSL/TLSとは

SSLは、データを暗号化して安全にやりとりするセキュリティ技術です。単にSSLと呼ばれたり、SSL/TLSと呼ばれたりします。TLSは、SSLが改良されたものです。過去のSSL技術は、現在では使われていませんが、TLSが開発された当時、すでにSSLという名称が定着していたため、TLSもSSLと呼ばれています。SSL/TLSと併記されることもあります。この記事でも、SSLという用語を使って説明します。

SSL証明書とは

SSL証明書とは、SSL通信を使うために必要なデジタル証明書です。「このサイトは本物です」と証明してくれる身分証明書のようなもので、ブラウザと安全に通信できるようにする役割があります。SSL証明書があると、ウェブサイトとブラウザの間で、情報を暗号化してやりとりすることができるので、通信内容を第三者にのぞき見られたり、データを書きかえられたりするのを防ぐことができます。

SSL証明書は、ウェブサイトの本人確認、HTTPSの有効化、暗号化された接続の作成に使われます。英語では、SSL/TLS certificate、digital certificate、certなどと呼ばれることもあります。

例えるなら、SSL証明書がない状態は、情報をハガキで送っているようなものです。見ようと思えば、誰でも内容を見て、書きかえることができてしまいます。しかし、SSL証明書があり、SSL通信ができると、差出人の身元を保証した上で、情報を鍵付きのケースに入れて送ることができます。ケースの鍵は、受け取り手のみが開けることができ、第三者に開けられる心配がありません。

SSL証明書が重要な理由

SSL証明書は、単に「鍵アイコンを表示するためのもの」ではありません。ウェブサイトの安全性、訪問者の信頼、検索エンジンでの評価、決済の安全性に関わる重要な基盤です。

通信中のデータを暗号化する

SSL証明書によってHTTPS通信が有効になると、ウェブサイトと訪問者のブラウザの間で送受信される情報が暗号化されます。これにより、パスワード、問い合わせフォームの入力内容、配送先住所、クレジットカード情報などが通信途中で読み取られにくくなります。

正しい接続先であることを確認する

SSL証明書は、ブラウザが本来アクセスすべきウェブサイトに接続しているかを確認する役割も担います。これにより、通信の途中に第三者が割り込み、情報を盗み取る「中間者攻撃」のリスクを下げることができます。

ブラウザ表示や検索評価にも関わる

現在の主要ブラウザでは、HTTPのままのページに対して「保護されていません」といった警告が表示されることがあります。こうした表示は、訪問者の不安につながり、離脱の原因になりかねません。

また、HTTPSは検索エンジンが重視するページ体験の要素にも関係します。SSL証明書を導入してHTTPS化しておくことは、現代のウェブサイト運営における基本対応といえるでしょう。

決済セキュリティを支える

ECサイトでは、SSL/TLSによって決済情報の送信を暗号化できます。ただし、SSL証明書だけで決済まわりの安全対策がすべて完了するわけではありません。カード情報を保存、処理、送信する事業者には、アクセス制御、監視、テスト、安全なシステム管理など、より広いセキュリティ対策が求められます。

オンラインストアにとって、決済の安全性は売上と信頼に直結します。SSL証明書は、その土台となる重要な対策です。

SSL証明書が発行される仕組み

SSL証明書は、ウェブサイトの身元を保証する第三者機関である認証局（CA）によって発行されます。

認証局は、厳しい基準をクリアした組織であり、現在も世界で100ほどしかありません。認証局自体が定期的に監査を受けることで、信頼性が保たれています。認証局は、SSL証明書を発行するにあたって、サイトの所有者、名前、所在地などの情報を調査し、審査します。そして、「問題なし」と判断した場合のみ証明書を発行します。

証明書には、認証局の「秘密鍵」でデジタル署名が行われるため、証明書の本物・偽物は、あとから誰でも確認できる仕組みになっています。多くの場合、SSL証明書の取得には、年間数千円〜数万円ほどの費用がかかりますが、一部のレンタルサーバーは、無料のSSL証明書を提供しています。

無料で利用できる代表的な仕組みとして、非営利団体が運営する自動発行型の認証局もあります。また、ウェブホスティングサービスやECサイト構築サービスでは、契約プランにSSL/TLS証明書が含まれていることも少なくありません。

SSL証明書自体は、数キロバイト程度の小さなデジタルデータで、次のような情報が含まれています。

• 証明書が発行されたドメイン名（例：https://example.com）
• 証明書を取得した会社・組織名（証明書の持ち主）
• 証明書を発行した認証局の名前
• 認証局によるデジタル署名
• 対象となるサブドメイン（例：shop.example.comなど）
• 証明書の発行日と有効期限
• 公開鍵（秘密鍵は証明書には含まれません）

SSL証明書が適用されたウェブサイトのURLは「https」から始まり、ブラウザのアドレスバーには鍵アイコンが表示されます。鍵アイコンをクリックすると、サイトの所有者、接続に関する詳細情報を確認できます。

SSL証明書チェーンとは

SSL証明書チェーンとは、ブラウザが「このウェブサイトのSSL/TLS証明書は信頼できる認証局から発行されている」と確認するための信頼の流れです。ウェブサイトの証明書から、信頼されたルート証明書までをつなぐ経路と考えるとわかりやすいでしょう。

一般的な証明書チェーンは、次のような構造です。

ウェブサイト証明書 → 中間CA証明書 → ルートCA証明書 → ブラウザの信頼ストア

ウェブサイト証明書は、サーバーにインストールされ、対象のドメイン名や公開鍵を含みます。中間CA証明書は、ウェブサイト証明書とルートCA証明書をつなぐ役割を持ちます。ルートCA証明書は、ブラウザやOSがあらかじめ信頼している最上位の証明書です。

このチェーンの一部が不足していたり、有効期限が切れていたり、設定が間違っていたりすると、ブラウザに警告が表示されることがあります。SSL証明書を正しく導入するには、証明書そのものだけでなく、証明書チェーン全体が正しく構成されていることが大切です。

SSL通信の仕組み

SSL通信では、データが暗号化され、正しい鍵を持っていないと読めません。この仕組みにより、第三者にデータを盗み見られる心配がなくなります。

SSL通信では、実際に通信を開始する前に、公開鍵と秘密鍵という、対になった鍵を使い、お互いに正しい通信相手であることを確認します。公開鍵で暗号化した情報は、秘密鍵でしか解読できず、秘密鍵で暗号化した情報は、公開鍵でしか開けることができません。ただし、公開鍵と秘密鍵をつかった通信（非対称暗号方式）は時間がかかるため、最初に相手の確認が終わると、ブラウザとサーバーは、より速く効率的にやりとりできる通信用の共通鍵（セッションキー）を決めます。

この通信前の短いプロセスを、「ハンドシェイク」と呼びます。

SSLハンドシェイクの流れ

1. 利用者がブラウザで、SSL対応のウェブサイト（サーバー）に接続する
2. ブラウザがサーバーに対して「安全に通信したいです」とリクエストを送る
3. サーバーが、自分のSSL証明書のコピーをブラウザに送る
4. ブラウザが証明書と証明書チェーンの信頼性を確認する
5. 証明書に問題がなければ、ブラウザがサーバーに「OK」の合図を送る
6. ブラウザとサーバーが、通信に使う暗号化方式を決める
7. その接続で使う一時的な共通鍵（セッションキー）を安全に作成する

ハンドシェイクは数ミリ秒で完了し、以降の通信は、共通鍵を使って暗号化され、安全にやりとりされます。この共通鍵は、その接続のために一時的に使われる鍵です。毎回の通信で公開鍵暗号を使い続けるよりも効率がよく、サイトの表示速度にも配慮された仕組みです。

現在のウェブサイトでは、古いSSLプロトコルではなくTLSが使われています。安全な運用のためには、SSL 2.0、SSL 3.0、TLS 1.0、TLS 1.1などの古いプロトコルを無効化し、最新のTLSと安全な暗号スイートを使うことが推奨されます。

SSL証明書の種類

SSL証明書には主に3種類あり、それぞれ認証のレベルや、認証にかかる時間と費用が異なります。すべての種類で通信の暗号化はできますが、認証局が発行前にどこまで身元を確認するかが異なります。自社の用途に合ったSSL証明書を選ぶことで、ウェブサイトの安全性と信頼性を高めることができます。

DV（ドメイン認証型）証明書

費用の目安：無料〜年間数千円

DV証明書は、ドメイン所有者の確認のみが行われる、もっとも基本的なSSL証明書です。無料のSSL証明書のほとんどがこのタイプに該当します。

短時間の簡単な認証プロセスで発行されるため、手間が少なく、比較的低コストで取得できます。認証はメールなどを使った自動の確認プロセスで行われ、組織の実在性までは確認されません。そのため、セキュリティレベルは最も基本的なものにとどまり、サイトそのものの信頼性を保証するものではありません。

DV証明書は次のようなサイトに適しています。

• 個人ブログ
• ランディングページ
• ポートフォリオサイト
• 小規模事業者のホームページ

OV（組織実在認証型）証明書

費用の目安：年間1〜数万円程度

OV証明書は、ドメイン所有者の確認に加えて、申請した企業や団体の実在性も審査されるSSL証明書です。発行時には、住所や電話番号、法人登録情報などの確認が必要です。認証局（CA）が厳格に審査を行うため、サイト訪問者に対して「この会社は本当に存在している」という信頼感を与えることができます。

セキュリティレベルは中程度で、対外的な信用が求められるサイト向けです。

OV証明書は次のようなサイトに適しています。

• 企業の公式サイト
• 団体や学校などの公式サイト
• 取引先や顧客に安心感を与えたいビジネスサイト

EV（拡張認証型）証明書

費用の目安：年間数万円〜十数万円程度

EV証明書は、審査が最も厳格なSSL証明書です。ドメインの所有者確認に加えて、申請した企業や団体が確かに存在し、合法的に運営されているかどうかが審査されます。発行時には、企業の登記情報、財務情報、運営状況など、16の審査項目でチェックが行われるため、取得までには時間がかかります。

EV証明書を導入したウェブサイトでは、鍵アイコンをクリックすると、企業名が表示されるので、訪問者は「このサイトは信頼できる企業が運営している」と判断しやすくなります。セキュリティレベルも最高クラスです。

EV証明書は次のようなサイトに適しています。

• 金融機関の公式サイト
• ECサイト
• 官公庁・公共機関のサイト
• 大企業の公式サイト

HTTPとHTTPSの違い

HTTP（Hypertext Transfer Protocol／ハイパーテキスト・トランスファー・プロトコル）は、SSL証明書がない平文での通信方法、HTTPS（Hypertext Transfer Protocol Secure／ハイパーテキスト・トランスファー・プロトコル・セキュア）は、SSL証明書を適用した通信方法を指します。

HTTPでは、誰かに内容をみられたり、書きかえられたりするリスクがあります。これにSがつき、HTTPSになると、SSL化され、通信が暗号化されているという意味になります。HTTPSでは、送り主と受け取り手のみしか開けられないので、第三者に内容を盗み見られる心配がありません。

現在では、HTTPS通信が標準になっています。HTTPSのサイトでは鍵アイコンが表示され、「このサイトは安全です」というメッセージが表示されます。反対に、HTTPのサイトは「保護されていません」と警告が表示され、訪問者が不安になり、サイトを離脱する原因にもなります。ウェブサイトを運営するのであれば、HTTPS化は必須です。

Shopifyでは、Shopifyに追加されたドメインに無料のTLS証明書が提供されます。証明書が発行されると、ストアURLはHTTPからHTTPSに切り替わり、古いHTTP版のURLにアクセスした訪問者も安全なHTTPS版へ自動的にリダイレクトされます。

SSL証明書が危険にさらされたら

不正アクセスや詐欺被害は、ECサイトを運営するうえで常につきまとうリスクです。安全を証明するSSL証明書ですが、サイバー攻撃などによって秘密鍵が流出し、不正利用されてしまった事例もあります。こうしたリスクを未然に防ぐことが重要ですが、万が一起きてしまったときは、次のように対処しましょう。

1. 証明書を無効化し、必要に応じてウェブサイトを制限する

すぐに認証局に連絡して、該当のSSL証明書を無効化する手続きをとりましょう。すでに攻撃を受けている可能性がある場合は、ホスティング事業者やシステム担当者と連携し、ウェブサイトへのアクセスを一時的に制限して、被害の拡大を防ぎます。

2. 原因を調査する

なぜ証明書が不正利用されたのか、原因を確認します。セキュリティ会社やシステム担当者に相談するなどして、サーバーログ、アクセス記録、直近の設定変更を確認し、不審なアクセスがなかったかどうかを調査しましょう。

見覚えのないIPアドレスからの接続履歴、秘密鍵の漏えいが疑われる形跡、マルウェア感染、証明書確認時のエラーや検証失敗が繰り返し発生している場合は、不正アクセスが疑われます。

3. 証明書を再発行する

新しいSSL証明書を発行してもらい、新しい秘密鍵を生成し、サーバーにインストールして設定します。古い鍵は絶対に使い回さないでください。

4. セキュリティを強化する

原因を踏まえて、同じことが二度と起きないように、ウェブサイト全体のセキュリティ対策を見直しましょう。HTTPSのバインディング設定、証明書の検証設定、リダイレクトルール、対応しているTLSバージョンも確認するのがおすすめです。

DV証明書を適用していた場合は、OV証明書やEV証明書など、より強固なSSL証明書に切り替えるのもいいでしょう。不正アクセスや証明書の異常をすばやく検知する、監視システム、更新アラート、セキュリティスキャンを導入するのも効果的です。

Shop Pay（ショップペイ）向けのShopify Protectのようなセキュリティサービスでは、不正注文をAIで自動検知できたり、不正取引に対する返金トラブルの補償サポートが受けられたりします。

複数のドメインをSSLで保護するには

1つのSSL証明書で保護できるのは、通常1つのドメイン名だけです。ですが、多くの企業ではサブドメインを使ったり、複数のドメインを使ったりします。そういった場合は、保護したい範囲に合わせて証明書を選びます。

シングルドメイン証明書

シングルドメイン証明書は、1つのドメインまたはサブドメインを保護する証明書です。証明書ごとに更新期限や秘密鍵を管理する必要があるため、複数のドメインやサブドメインを運用する場合は、管理の手間が増えることがあります。

ワイルドカードSSL証明書

同じウェブサイト内で、「mail.example.com」や「shop.example.com」など、サブドメインを使い分けて異なる機能を提供している場合は、ワイルドカードSSL証明書を取得するのがおすすめです。ワイルドカードSSL証明書は、1枚のSSL証明書で、ウェブサイトのメインドメインと、関連する同一階層のサブドメインをまとめて保護できる証明書です。コストを抑えながら、証明書管理も簡単にできます。

例えば、*.example.com向けのワイルドカード証明書であれば、shop.example.comやblog.example.comを保護できます。

マルチドメインSSL証明書（MDC）

「example.com」「example.net」など、マルチドメインSSL証明書（MDC）は、複数の異なるドメイン名をまとめて保護する証明書です。統一通信証明書（UCC）と呼ばれることもあります。

マルチドメインSSL証明書を使えば、1枚で複数のドメインを保護できるため、ドメインごとに証明書を分ける必要がありません。追加するドメインは、申し込み時にSAN（Subject Alternative Name／サブジェクト・オルタナティブ・ネーム）と呼ばれる項目に登録します。

ドメインを追加または削除する場合は、証明書の更新や再発行が必要になることがあります。登録できるドメイン数の上限は、認証局や証明書の種類によって異なります。

SSL証明書の有効期限が切れるとどうなるのか

SSL証明書の有効期限が切れることは、ビジネスから「信頼の証」を取り上げられてしまうようなもので、次のようなリスクがあります。

• 訪問者が不安に感じて離脱する：SSL証明書が切れているウェブサイトでは、訪問者の画面に警告メッセージが表示されます。こうした警告を見ると多くの人はサイトから離脱してしまいます。
• SEOに悪影響が出る：Googleなどの検索エンジンも、安全なサイトを優先して表示するため、SSL証明書の有効期限が切れているサイトは、検索順位が下がる可能性があります。
• 消費者の信頼を損なう：セキュリティ警告を目にしたユーザーに一度不信感を抱かれると、証明書を更新して安全になった後でも、サイトに戻ってきてもらえなくなることがあります。

SSL証明書には有効期限が必ず記載されており、期限切れは予測できます。SSL証明書の最大有効期間は397日（13ヶ月）で、ほとんどの証明書は1年間有効です。有効期限が切れる数週間前には、証明書を更新するようにしましょう。

期限切れを防ぐために、通常のウェブサイト保守の一部として次の点を確認しておくのがおすすめです。

• 証明書の有効期限を定期的に確認する
• 更新アラートを設定する
• 古い証明書が切れる前に、新しい証明書が有効になっているか確認する
• ブラウザのアドレスバーで、ドメイン名と認証局の情報を確認する

Shopifyに追加されたドメインでは、TLS証明書が無料で提供されます。外部で取得したドメインを接続した際にSSL保留中、またはSSL利用不可と表示される場合は、DNS設定を確認し、証明書の発行まで最大48時間ほど待つ必要があります。

SSL証明書の取得、導入の流れ

SSL証明書は、認証局に直接申請して発行してもらうこともできますが、ウェブホスティングプロバイダー、レンタルサーバー、ドメイン取得サービス、ウェブサイト作成サービスなどを経由し、他のサービスの契約とあわせて発行手続きを行うことができます。手軽かつ確実で、0円で取得できる場合もあります。

取得から導入までの主な流れは次のとおりです。

1. 利用中のサービスを確認する：まずはウェブサイトのプラットフォームやホスティングサービスを確認しましょう。サービスによっては、無料のTLS証明書が自動で提供されます。
2. 保護したいドメインを接続する：必要なDNSレコードを設定します。証明書の発行には時間がかかる場合があり、発行中はSSL保留中、TLS保留中のように表示されることがあります。
3. 必要な保護範囲を決める：1つのドメインだけでよいのか、関連するサブドメインも必要なのか、複数のドメインをまとめて保護したいのかを整理します。
4. 必要なセキュリティレベルを決定する：DV、OV、EVのどの認証レベルが適しているかを選びます。
5. サービス、または認証局を選択し、証明書を申請する：手動で取得する場合は、認証局を選び、CSR（Certificate Signing Request／証明書署名要求）を作成します。CSRには、ドメイン情報や公開鍵が含まれます。
6. 認証手続きを完了し、証明書を取得する：認証局の確認手続きを完了します。
7. 証明書をサーバーにインストールする：新しい秘密鍵を生成し、証明書をサーバーや管理画面に設定します。
8. HTTPSで正しく表示されるか確認する：ブラウザでサイトを開き、URLがhttpsから始まっているか、鍵アイコンが表示されているかを確認しましょう。
9. 外部読み込みの素材も確認する：画像、動画、ウェブフォント、スクリプトなどがHTTPで読み込まれていると、ページ全体が安全でないと表示されることがあります。外部アセットもHTTPSで読み込まれているか確認してみましょう。

ECサイト構築サービスのShopifyでは、Shopifyに追加されたドメイン全てに無料でSSL証明書が提供されます。Shopifyでウェブサイトを構築すると、自動でSSL化されるので、運営者がSSL化のために何か行動を取る必要はありません。

Shopifyでは、myshopify.comドメイン、Shopifyで購入または移管したドメイン、Shopifyに接続した外部ドメインに無料のTLS証明書が提供されます。証明書の発行後は、ストアのドメインステータスが接続済みになり、ストアURLの横に鍵アイコンが表示されます。

まとめ

SSL証明書は、ウェブサイトと訪問者の間のデータ通信を暗号化し、第三者による情報の盗聴や改ざんを防ぐ重要な役割を果たします。特に、オンラインストアではユーザーの個人情報や支払い情報を扱うため、SSL通信の導入は欠かせません。

SSL証明書は、データの暗号化だけでなく、サイトの本人確認、ブラウザ上の信頼表示、検索エンジンへの対応、決済セキュリティにも関わります。有効期限や証明書チェーン、TLSバージョン、外部アセットの読み込みも含めて、定期的に確認しておくと安心です。

Shopifyでは、すべてのストアに無料のSSL証明書が自動的に提供されるので、設定や更新の手間なく、安全な通信環境を確保できます。運営者はセキュリティ面での設定の心配をすることなくストアの運営を行うことができ、ユーザーは安心して買い物を楽しむことができます。

SSLについての理解を深め、訪問者が安心できるウェブサイト運営を目指しましょう。