無料で実現する常時SSL、手続きの概要は

常時SSLを実現するには何が必要だろうか。

　常時SSLで利用するHTTPSは、暗号化と電子証明書を組み合わせたSSL/TLSサーバ証明書（以下、SSLサーバ証明書）を使って、通信を暗号化し、かつWebサイトの運営者や組織が実在することを保証する。常時SSLに対応するには、Webサーバ上にこの「SSLサーバ証明書」をインストールすればよい。

無料サービスを使って自力で運用する

　過去、SSL証明書を取得するにはそれなりの費用がかかるため、よほど重要な処理が必要な一部のWebサイトでしか運用されてこなかった。このため、当時を知る人はむしろ「SSL対応は時間も料金もかかる」と誤解しがちだ。だが最近は簡単に常時SSL環境を構築できるようになっている。

　例えば米国の非営利団体「Internet Security Research Group」が無料で提供する無料のドメイン認証SSL/TLS証明書発行サービス「Let's Encrypt」がある。独自ドメインを持つWebサイトであれば無料で取得できる。

　導入はちょっとしたコマンド操作のみで、定期的に実施が必要な証明書の更新も自動で実行できる。

事業者のサービスを利用する

　レンタルサーバ事業者も常時SSLに簡単に対応する仕組みを整えている。

　GUIでSSLサーバ証明書の取得に必要な情報を入力し、登録が済んだら送付されてくる情報を設定画面にコピー＆ペーストするだけで常時SSL環境に移行するといったことが、簡単に実施できる。

より信頼性の高いサイトを目指すには？　誰に何を頼む？　実務の気になるところ

SSLサーバ証明書は3種類

　SSLサーバ証明書には、ドメイン認証（DV）、実在証明型（OV）、実在証明拡張型（EV）の3つのタイプがある。このうち一般的なWebサイトで用いるのはDVだ。これについては1〜2日でセットアップと構築が済んでしまうことがほとんだ。

　レンタルサーバやクラウドサービスプロバイダー利用している場合は、事業者のヘルプを見るなどして設定手順を確認してほしい。

より信頼性の高いOVやEVの利用を検討すべき場面は

　常時SSL対応では注意しておきたい点もある。1つは、必要に応じてOVやEVを用いることだ。

　DVは、無料/低価格で提供されていて導入までも短期間で済む。これに対し、OVやEVは、組織が実在するかを登記簿謄本や法人データベース、郵送物の到着可否、責任者への電話連絡などで確認するため、多少時間がかかる。こうした手続をへて組織が本当に存在するかまで確認するため、悪意のあるハッカーなどによる取得がほとんどできないという信頼性がある。

　個人情報、カード情報、入出金、ポイント管理など顧客の重要な情報を管理する場合は、OVやEVの利用を検討すべきだろう。なお、DV、OV、EVのいずれでも、暗号化の強度や認証の仕組みは同一だ。DVよりもEVの方が技術的に優れているというわけではない。

SSL証明書の種類と費用の例（本稿執筆時点、GMOグローバルサインの場合、価格や運用時のサポートは各社で異なるが、企業向けといえども決して高額ではない価格設定であることが分かる）

　2つ目に、既存のHTTPで構築したWebサイトをHTTPSへ対応させる場合、コンテンツに掲載されるリンクが無効になる可能性がある点だ。例えば、あるコンテンツにTwitterやFacebookのリツイートや「いいね」が付いていたとして、そのサイトをHTTPS化すると、ツイートや「いいね」はゼロになる。RSSなどの登録もユーザーに再設定してもらう必要がある場合もある。URLを基にした何らかの数値を社内レポートや指標としている場合は注意が必要だ。

　Webサイトへの来訪者に対しては「HTTP Strict Transport Security」（HSTS）という仕組みを使って、次回来訪時からHTTPSを使うよう、Webブラウザに伝達する方法がある。この仕組みを使うと、対応したWebブラウザからHTTPでアクセスしようとしたときにWebブラウザが強制的にHTTPSに置き換えて通信を行うようにできる。

サブドメインごとの証明書取得はどうする？

　3つ目は、細かなシステム的な改修が必要になる場合があるという点だ。

　具体的には、サブドメインで運用していた場合には異なる証明書が必要になる場合があること、HTTPからHTTPSへの自動転送の設定が必要なこと、画像の保存場所もあわせてHTTPSに対応ないとWebブラウザに警告表示が出てしまうことにも配慮しておきたい。

　いずれも大掛かりなシステム改修までは必要としないが、移行時のチェックリストから漏らさず、パートナーなどに確認しておくべだろう。

　このように、今後は常時SSLがインターネットアクセスの標準になっていくことは間違いなく、企業としても対応が不可避な状況だ。常時SSLへの対応自体は、無料や低価格のものを利用して容易にできるようになっているので、まだ対応が済んでいない企業はすぐに検討を開始してほしい。

　また、より高い信頼性が必要な場合はOVやEVの導入を検討すること、既存のWebサイトは改修が必要になる場合が多いので、どのくらいのコストと手間がかかるかを確認し予算確保の準備に取り組んでほしい。