冨山陽平のブログ “思いきり やりぬく”|ITの適正活用,ウェブサイト,ITの適正活用、組織風土改革、従業員満足度調査、これあらた、冨山陽平

冨山陽平のブログ “思いきり やりぬく”|ITの適正活用,ウェブサイト,ITの適正活用、組織風土改革、従業員満足度調査、これあらた、冨山陽平

  • 15
    Sep
    2021
    2021/09/15 (水)
  • SSL証明書の選び方(2021年度版)

 SSL証明書についての記事は、いままで何回か書いていますが、私がいままでどんなSSL証明書を推奨してきたかも踏まえて、現時点でのおすすめを書きたいと思います。

そもそもSSL証明書とは(2018.3.5 SSL証明書は意外に種類が多く選ぶのに困る? より抜粋)

 閲覧者とウェブサーバが通信する際に、主として以下の3つを証明できます。

  1. その通信路の暗号化が第三者的に信頼できることを示すこと
  2. ドメインの使用権を確認すること
  3. サイトの運営組織が実在していること

基本的に、1と2はどの証明書にもあります。3の有無によって、金額が大きく変わります。

 つまり、SSL証明書は、以下のように3つの分類があります(SSL証明書の種類の詳細は、日本ジオトラスト株式会社のSSL証明書の選び方を説明しているページがわかりやすいので、そちらをご参照ください)。

  • ドメイン認証型(DV:Domain Validation:ドメインのみ認証つまり、1と2のみ認証する証明書)
  • 組織実在認証型(OV:Organization Validation:ドメイン+組織の認証つまり、1,2,3すべてを認証する証明書)
  • EV認証型(EV:Extended Validation:基本は組織実在認証型と同じだが、より精度高く3を調査する証明書)

当社がSSL証明書を選ぶ基準

 私は従来から、OV型はあまり価値がないと思っていて、基本的にはDV型で良いと思っています。ただし、EV型はブラウザのURL表示欄が緑になる(いわゆる、グリーンバー)ので、価値があると考えていました。ただし、最近のブラウザではグリーンバーになる機能は除外され、ほぼDV/OVと同じように表示されます(参考:サイバートラスト Q&A)。このことからも、DV:ドメイン認証型で充分だと考えています。正直なところ、閲覧者はSSL証明書で組織の実在等を確認することはまずありません。閲覧者が専門家や法務の専門家であれば意味があるのではないか?と思うかもしれませんが、その実在の確認方法が認証機関次第ではかなり適当なので、そこまで重視する人はまずいません。

 次に問題になるのは、DV SSL証明書であってもどの種類を使うのか?ということです。最近は多くのサイトで、Let’s Encryptという無料発行型の証明書が使われていますよね。共用のレンタルサーバを借りれば、ほぼ無条件に発行できます。この証明書は一回あたりの有効期限が3ヶ月ですが、自動更新が可能ですので実質無期限ともいえます。

 当社では、無料発行のLet’s Encryptと株式会社日本レジストリサービス(JPRS)が発行する有料DVSSL証明書をさくらのSSL経由で使い分けています。JPRSの証明書にしているのは

  • さくらのSSL経由であればかなり安価ということ
  • サイトシール

    をクリックした際の表記スタイルに信頼感がある。

  • 上位認証局がセコムトラストシステムズ

あたりが理由です。率直にいって、Let’s Encryptのほうが無料な上に自動更新なので楽なんです。したがって、Let’s Encryptでもいいかなぁなんて思ったことがないわけではありませんが、一定以上アクセスがあるサイトは、サイトシールがあったほうがよいかと思うので、有料といっても年間1000円程度ですから、使い分けて行きたいなと思っています。

  • 2021/09/15 (水)

folder_open ITの適正活用

sell

コメントを残す