SSL証明書は無料で足りる？有料との違いと会社のサイトでの判断基準

会社案内と問い合わせフォームが中心のサイトなら、SSL証明書は無料のドメイン認証で足りることが多いです。無料か有料かで暗号の強さは変わらず、違いは運営者の確認の範囲と、認証局の保証です。

今日やることは、自社の証明書の中身を見ることです。ブラウザのアドレスバーから証明書の情報を開き、発行者、有効期限、組織名の有無を控えます。そのうえで、誰が更新の担当か、自動更新になっているかを確かめてください。

無料と有料で暗号の強さは違う？

違いません。サイバートラストの説明もさくらインターネットの説明も、認証レベルの違いは確認する範囲にあるという整理です。高い証明書にすれば暗号が強くなる、という理解は正しくありません。

通信の安全性は、むしろサーバー側の設定に左右されます。IPAはTLS暗号設定ガイドライン⁠を公開し、サーバーの構築者や運営者向けに暗号設定の考え方を示しています。古い設定が残っていないかは、証明書の価格とは別に、サーバー会社や制作会社へ確認する項目です。

有料との違いは認証と保証の2つ

認証は3段階あります。さくらインターネットの整理⁠をもとに、違いを並べます。

Let's Encryptは、公式のよくある質問⁠でドメイン認証だけを発行すると明記し、企業認証やEV認証の発行予定はないとしています。無料で組織まで証明したい、という希望には応えられません。

認証は画面でどう見える？

表示の差は大きくありません。サイバートラストの製品情報は、企業認証についてブラウザ上の表示がドメイン認証と区別できないと説明しています。EV認証も、古いブラウザの緑色のアドレスバーは2024年9月時点で出なくなっています。さくらインターネット⁠の説明では、鍵アイコンをクリックすると運営組織が表示される形です。

つまり、有料の認証を選べば訪問者が一目で違いに気づく、という期待はしないほうが安全です。組織名は、確かめようとする人が開いたときに読める情報です。

保証は何を守ってくれる？

保証は、認証局の過失で損害が出た場合の補償が中心です。金額と条件は認証局と製品で違います。一例として、GMOグローバルサイン⁠は認証業務上の過失について、製品ごとに150万円⁠、1,500万円⁠、3,750万円⁠の上限を示しています。

Let's Encryptの利用契約は、認証局の文書で明記した場合を除き、証明書を現状のまま提供するとしています。公共サービスとして無料で発行するため、責任を負えないという定めもあります。同社は利用者への直接のサポートも提供していません⁠。困ったときの窓口は、サーバー会社か、公式の資料とフォーラムになります。

ここを読み違えないでください。この例の補償は、自社のサイトが不正アクセスされたときの保険ではありません。対象は認証局の過失による損害です。条件は、購入前に各社の規定で確かめます。

会社のサイトではどう選ぶ？

次の表は、ここまでの違いをもとにした私たちの判断基準です。

たとえば、樹脂部品のメーカーが、問い合わせフォームで図面を受け取っている場合を考えます。この場合に確かめるのは、証明書の価格より、期限切れで送信できなくなる状態を防げているかです。入札や取引の条件に証明書の種類が書かれていれば、その要件に合わせます。

有料にすれば更新の手間は減る？

減りません。CA/Browser Forumの基本要件で、公開サーバー用の証明書の最長期間は次のように短くなります。無料か有料かを問いません。

実際に、GMOグローバルサインでは1年契約が199日⁠の証明書2枚⁠で提供される形に変わりました。1年分の料金を払っても、入れ替えは年1回では済みません。

無料側も短くなります。Let's Encryptの発表では、標準の証明書は今の90日から、2027年2月10日⁠に64日⁠、2028年2月16日⁠に45日⁠へ変わります。同じ発表は、更新を60日おきに固定している仕組みでは足りなくなると注意しています。

レンタルサーバーの機能なら、更新は任せられる場合があります。さくらのレンタルサーバ⁠の無料SSLは、コントロールパネルから登録した場合に自動更新です。ただし、片方の設定に有料の証明書が残った状態では自動更新できないという注意があります。自社のサーバーがどちらの状態かを見てください。

有料を選ぶときは何を確かめる？

有料にすると決めたら、価格の前に、審査と運用の負担を確かめます。さくらインターネットの説明では、企業認証の取得に各種書類の審査と申請者への電話確認が必要です。総務の担当者が書類を出せるか、電話を受けられるかを先に決めておくと、発行が止まりません。

• 組織名を載せる必要がある相手は誰か。取引先の要件なら、求められている種類を書面で確かめる
• 発行と入れ替えを誰がするか。制作会社に任せているなら、回数が増えたときの費用も聞く
• 補償の上限と条件は何か。認証局の規定で、対象となる損害を読む
• サイトシールを貼りたいか。さくらの無料SSLには用意がなく、有料証明書の利点として案内されている

無料のまま使う場合にも、確かめることがあります。ワイルドカード証明書は、Let's Encryptの案内⁠によればDNS-01という方式での確認が必須です。サーバー会社の機能で扱えるかは、契約先の仕様を見ます。

なお、SSL自体を入れていないページは別の問題です。さくらインターネットの案内⁠のとおり、ブラウザに「保護されていません」⁠と表示される対象になります。無料か有料かを悩む前に、サイト全体をHTTPSにします。

証明書のほかに見るところは？

証明書が守るのは、訪問者とサーバーの間の通信です。サーバーに入られた場合の改ざんや、CMSの弱点を突く攻撃は防げません。

• サイトの攻撃を防ぐ設定は、WAFで決めることの整理を見る
• 改ざんに早く気づきたいときは、Web改ざん検知の製品比較⁠で検知の方式を見比べる
• 自社でサーバーを管理しているなら、サーバーセキュリティの製品比較も確かめる
• 有料を選ぶと決めたら、SSLサーバー証明書の比較⁠で認証の種類と価格を並べる

Webサイトの守りを広く確かめたいときは、Webサイトとサーバーのセキュリティから順に見てください。サイトが通信量で止められる攻撃も、証明書とは別の備えが要ります。

期限切れを防ぐには、自動更新の設定だけでなく、期限が近づいたら担当者へ通知が届くかも確かめます。2029年⁠に向けて更新の間隔が縮むほど、人の手順に頼る運用は続けにくくなります。