この記事は、作成日から11年経過しています。内容が古い可能性があります。またこの記事は、大幅なデザイン変更前に書かれたものですので、レイアウトが崩れている可能性があります。ご了承ください。
会社のウェブサイトに問い合わせフォームを設置したり、ショッピングサイトを制作する場合、SSL証明書を取得することをお考えになろうかと思います。一口にSSL証明書といっても、いろいろなタイプがあり、それぞれに特徴がありますので、今回はそのあたりを書こうと思います。
まず、SSL証明書を大きく2つにわけます。「独自SSL」と「共用（共有）SSL」です。たとえば、あなたのウェブサイトのURLをhttp://www.example.com/としたとき、たとえば
独自SSL： https://www.example.com/
共用SSL（サブディレクトリ型）： https://www.123456.com/example-com/
共用SSL（サブドメイン型）：https://example-com.123456.com/
というものです。共用SSLは、レンタルサーバを借りたときに、その事業者が所有しているSSL証明書を何らかの形で契約期間中貸してもらえるものをいいます。独自SSLは、自身のドメインのためにきちんと取得したものをいいます。一般論として、前者は無料、後者は年間2千円～20万程度の費用がかかります。独自SSLの中での違いは後ほど解説します。
単純に費用だけを考えると共用SSLのほうがお得に見えますが、当然機能はことになります。単純に通信を暗号化し、情報を保護するという意味では、共用SSLも独自SSLも同様です。しかしながら、共用SSLには以下の様なデメリットがあります。
- 共用SSLで保護したいページのみドメインが変わってしまうため、検索エンジン対策として影響がある場合がある。
- 共用SSLのとくにサブドメイン型の場合、ドメインが同じことから、一分情報を共有してしまう可能性（Cookieなど）があり、一般的な利用においても情報漏えいのリスクはある。ただ、このタイプはかなり減ってきたと感じています。共用SSLのサブドメイン型は原則として、example-comに当たる部分を個別に割り当てているので、通信している情報を保護するという意味では独自SSLとほぼ同等の役割を果たすと思います。
よって、ただウェブサイト閲覧時のデータを保護するという目的であれば、共用SSL（サブドメイン型）でも十分に役割を果たします。しかし、ショッピングサイトなど金銭の授受をともなうサイトでは、ドメインが変わることになるので、顧客がどういう印象をもつかはわかりません。また、それなりに成長している企業なのに共有SSLを利用していると。。。このあたりは事業判断なのでなんとも言えませんが。
では、独自SSLについて掘り下げようと思います。独自SSLは証明書発行会社やその代理店から直接購入して、そのドメインのためだけに発行されるものです。この独自SSLにも大きく分けて3つの種類があります。
- ドメイン認証型（2千円～2万円）： ドメインが実際することだけを確認して発行されます。よって、ドメインが取得できて自分で管理をできていれば、発行されます。運営者の存在を認証しているわけではありません。
- 組織認証型（1.5万円～10万円）：ドメインとその所有する組織の確認をして発行されます。ただ、組織の確認方法は認証局によって異なり、極めて厳格に書類審査と電話審査を行うところもあれば、D-U-N-Sナンバーなどで済ませてしまう場合もあります。要するに組織認証の方法は認証組織や代理店によって結構違うというのが実態で、意味を成すかというと個人的にはかなり疑問を持っています。
- 国際統一基準認証型（EV SSL）（7万円～20万円）：InterenetExplorerなど大半のブラウザではグリーンバーやグリーンアイコンが表示されます（長さはブラウザによりますが。。。）。ただ、Apple系のブラウザでは文字が緑になるだけで目立ちません。 → https://www.verisign.co.jp/ssl/products/ev_ssl/browsers.html
私はお客さまにドメイン認証型かEV SSLのいずれかをおすすめしています。組織認証型は、ブラウザ上ではドメイン認証型と同じに見えてしまい、高額な費用を払った割には。。。というところがあります。どうしても組織の実態を証明したいのであればトップページに登記事項証明書のPDFでも貼っておいたほうがいいかもしれません（笑）
EV SSLは、多くのブラウザでグリーンバーになるのは確かですし、金銭授受をおこなうのであれば、こちらを採用するのが良いかと思います。通信の暗号化という意味では大きな違いはありませんから、一般的なショッピングサイトではそこまで必要ではないかもしれません。むしろ、証明書の発行会社しだいでは携帯電話への対応率が低いので、そのあたりの注意は必要です。
まとめると。。。
【アンケートフォームやウェブサイトの管理画面などで利用する場合】独自SSLドメイン認証型 Or 共有SSL
【ショッピングサイトなど金銭の授受が必要なサイト】独自SSLドメイン認証型 Or EV SSL
という風に考えています。
このように通信路の暗号化という意味では、証明書の種類による違いはあまりありません。むしろ、SSL通信の際に使用する暗号の種類を制限することが重要だと考えています。このあたりはまた改めて書きたいと思います。
コメント