Web担当になると、サーバー会社や制作会社から、
「SSL証明書を更新してください」
「常時SSL化されています」
といった言葉を聞くことがあります。
そもそもSSLとは何なのでしょうか？
難しそうに見えますが、Web担当者として最初に覚えておきたいポイントはそれほど多くありません。
この記事では、SSLの基本からHTTPSとの違い、SSL証明書の更新についてまで、初めてWeb担当になった方にも分かるように解説します。
SSLとは？
SSLは、Webサイトと利用者のブラウザとの間でやり取りされる情報を暗号化するための仕組みとして広く知られている言葉です。
現在実際に利用されている暗号化の仕組みは、SSLの後継である「TLS」が中心ですが、現在でも一般的に「SSL」「SSL証明書」と呼ばれています。
Web担当者としては、まず、
Webサイトとユーザーの間の通信を安全にするための仕組み
と覚えておけば大丈夫です。
SSLがないと何が問題なの？
Webサイトでは、ブラウザとサーバーの間でさまざまな情報がやり取りされています。
たとえば、お問い合わせフォームなら、
- 名前
- メールアドレス
- 電話番号
- お問い合わせ内容
などが送信されることがあります。
通信が適切に暗号化されていないと、こうした情報を安全にやり取りできません。
SSL/TLSを利用することで、ブラウザとWebサーバーとの間の通信を暗号化できます。
特に会社サイトではお問い合わせフォームを設置しているケースも多いため、SSL/TLSは重要な仕組みです。
HTTPSとSSLは何が違う？
ここも最初は混乱しやすいところです。
WebサイトのURLを見てみましょう。
https://example.jp/
この最初にある、
https://
がポイントです。
HTTPSは、HTTPによる通信をTLSなどを利用して安全に行うための仕組みです。
かなり簡単に整理すると、
- HTTP
通常のWeb通信 - HTTPS
暗号化されたWeb通信 - SSL/TLS
HTTPSによる安全な通信を実現するために使われる仕組み
という関係です。
Web担当者としては、
「URLが https:// になっているWebサイトでは、通信が暗号化されている」
というところから覚えておけばよいでしょう。
SSL証明書とは？
HTTPSでWebサイトを運用するために重要になるのが、SSL/TLS証明書です。
SSL証明書には、通信の暗号化に必要な情報や、接続先を確認するための情報などが含まれています。
Web担当者になると、
「SSLを更新してください」
と言われることがありますが、多くの場合は、このSSL証明書の更新についての話です。
SSL証明書には有効期間があります。
そのため、利用している証明書やサーバーの仕組みに応じて、更新や再発行などが必要になります。
SSL証明書はどこで設定するの？
一般的なレンタルサーバーを利用している場合、サーバーの管理画面からSSLを設定できることがあります。
Web担当者としては、まず、
- どのサーバーを利用しているか
- どのSSL証明書を利用しているか
- 自動更新なのか
- 手動で更新する必要があるのか
を確認しましょう。
WordPressの管理画面だけを見ても、SSL証明書の契約状況や更新方法が分からないことがあります。
SSLについて確認するときは、WordPressだけでなく、利用しているレンタルサーバーや証明書サービスの管理画面も確認します。
無料SSLと有料SSLの違いは？
SSL証明書には、無料で利用できるものと有料のものがあります。
ここで、
「無料だと暗号化が弱いの？」
と思うかもしれません。
無料か有料かだけで、単純に通信の暗号化の強さが決まるわけではありません。
違いとして確認したいのは、
- 証明書の種類
- 認証方法
- サポート
- 契約や更新方法
- 付帯サービス
などです。
一般的な会社サイトでは、レンタルサーバーが提供している無料SSLを利用しているケースもあります。
一方で、会社の方針やサイトの要件によって、有料のSSL証明書を利用している場合もあります。
💡 Web担当者ポイント
すでに会社サイトで有料SSLを利用している場合、
「無料SSLでもHTTPSにできるなら、有料SSLはいらないのでは？」
と自己判断ですぐに切り替えるのは避けましょう。
現在の証明書を選んだ理由や、社内のセキュリティポリシー、契約内容などがあるかもしれません。
変更する場合は、制作会社や社内のシステム担当者などに確認することをおすすめします。
「SSL証明書を更新してください」とメールが来たら？
Web担当者になったばかりのタイミングでこのメールが届くと、かなり焦ると思います。
まずは落ち着いて、次の項目を確認しましょう。
- 本当に契約しているサービスからのメールか
- 対象になっているドメインは自社のものか
- 現在利用しているSSL証明書は何か
- 有効期限はいつか
- 自動更新なのか
- 手動での更新作業が必要なのか
特に注意したいのが、メールに書かれているリンクをすぐにクリックしないことです。
契約更新やセキュリティに関する通知を装った不審なメールの可能性もあります。
心配な場合は、メール内のリンクからではなく、普段利用している公式サイトやブックマークなどから管理画面へアクセスして確認しましょう。
SSLの有効期限が切れるとどうなる？
SSL証明書が有効でない状態になると、ブラウザでWebサイトへアクセスした際に、安全な接続ではないことを示す警告が表示される場合があります。
会社サイトでこの状態になると、訪問者が不安に感じたり、お問い合わせや申し込みをやめてしまったりする可能性があります。
そのためWeb担当者としては、
SSL証明書がどのように更新されているか
を一度確認しておくと安心です。
自動更新される仕組みなら、Web担当者が毎回手作業で証明書を更新する必要がない場合もあります。
「wwwあり」と「wwwなし」は同じ？
SSLを設定するときに、
https://example.jp/
と
https://www.example.jp/
という2つのURLを見ることがあります。
見た目は似ていますが、技術的には異なるホスト名です。
そのため、SSL証明書がどちらを対象としているか確認が必要になる場合があります。
たとえばWebサイトでは「wwwなし」へ統一していたとしても、利用している証明書やサーバーの設定によっては「wwwあり」についても設定を確認することがあります。
⚠️ 注意
「wwwありをwwwなしへリダイレクトしているから、wwwあり側のSSLは何も考えなくていい」
とは限りません。
HTTPSでwwwありのURLへアクセスしてからwwwなしへ転送する場合、転送処理より前にHTTPS接続が行われます。
SSL証明書を設定・更新するときは、実際に利用するホスト名やリダイレクト設定もあわせて確認しましょう。
SSLを設定すればWebサイトは完全に安全？
SSL/TLSはとても重要ですが、
HTTPSになっていればWebサイトのセキュリティ対策は完璧
というわけではありません。
たとえばWordPressサイトなら、
- WordPress本体を適切に更新する
- プラグインやテーマを管理する
- 強いパスワードを利用する
- 不要なアカウントを削除する
- バックアップを取る
- 不審なログインなどを確認する
といった対策も必要です。
SSL/TLSは、Webサイトの安全性を支える重要な仕組みのひとつだと考えましょう。
Web担当者が確認しておきたいこと
最後に、Web担当になったら一度確認しておきたい項目をまとめます。
Webサイト
https://でアクセスできるか- ブラウザで証明書に関する警告が出ていないか
- wwwあり・なしがどう設定されているか
SSL証明書
- どの証明書を利用しているか
- 無料か有料か
- どこで管理しているか
- 自動更新か手動更新か
- 更新時に必要な作業はあるか
管理
- SSL関連の通知は誰に届くか
- 制作会社が管理しているのか
- 自社のWeb担当者が管理するのか
ここまで分かっていれば、Web担当者としてはかなり安心です。
SSLは「HTTPSで安全に通信するための仕組み」と覚えよう
SSLという言葉を見ると難しそうに感じますが、最初から暗号化技術の詳しい仕組みまで理解する必要はありません。
まずは、
- SSL/TLS
Webサイトとユーザーの間の通信を安全にするための仕組み - HTTPS
SSL/TLSなどを利用して安全にWebサイトへ接続する仕組み - SSL証明書
HTTPS通信で利用される証明書
と整理しておけば大丈夫です。
そしてWeb担当者として特に重要なのは、
「自社のSSL証明書は誰が、どこで、どのように更新しているのか」
を把握しておくことです。
突然Web担当になって「ほかに何を確認すればいい？」という方は、「突然Web担当になったら？最初にやること10選」もあわせて確認してみてください。
サーバーやドメインについてまだよく分からない方は、「サーバーとドメインの違いとは？Web担当者向けにわかりやすく解説」から読むと、Webサイトの仕組みをより理解しやすくなります。
