こんにちは。「クロジカサーバー管理」プリセールスの高瀬です。Webサイトを公開するときに必須のSSL証明書につきまして、最近はCDNやレンタルサーバーでも無料の証明書を使えるものの、証明書発行業者から購入するものと何が違うか、たまにお客様から聞かれることがあります。今回はSSL証明書の種類と違いについて解説します。
SSL証明書の種類
発行業者によって呼び方は若干異なりますが、SSL証明書は認証方法によってドメイン認証、企業認証、EVの３種類があります。ここでいう認証方法というのは、証明書の対象サイトが正当なサイトであることを認証する方法になります。それぞれの認証方法の概要は下記の通りです。
・ドメイン認証(Domain Validation、DV)
DNSレコードやコンテンツファイルに目印を置くことでドメインの所有権を確認
・企業認証(Organization Validation、OV）
帝国データバンク・DUNSナンバーなどから申請組織の実在を確認
・EV(Extended Validation)
申請組織の実在を確認するだけでなく、電話による申請者の所属状況などより厳密な確認
ドメイン認証の認証が最も簡素でEVが最も厳格な認証になります。なお、無料で利用できるLet’s Encrypt証明書はドメイン認証になります。
https://letsencrypt.org/docs/faq/
サイト運用にどんな影響があるか
ドメイン認証、企業認証、EVの順に発行業者の認証作業も増えるため、同じ登録や更新の費用が高くなっていきます。また、認証が厳格になるにつれてサイト所有者の方でも登録や更新の際の提出書類や電話認証などの手続きが増えていきます。
一方でサイト動作には認証方法による違いはありません。SSL証明書はブラウザとサーバーの間の通信を暗号化するために使われますが、この際の暗号強度も証明書の種類による違いがありません。
ブラウザからの見た目としてもぱっと見はあまり変わりません。IEなどの古いブラウザではEV証明書にするとURLが緑になったりしますが、少なくとも2022年時点でWindows11版のEdge、Chrome、Firefoxではとくにそのような変化は見受けられません。
ブラウザのURL横の証明書マークをクリックして証明書の詳細を確認することでEVの場合は発行者情報やポリシーの項目にExtended Validationと表示されるため、そこから識別できますが、通常の操作では何が変わる、と意識することはあまりないと思われます。
一方で、閲覧者の視点ではドメイン認証の証明書のサイトにアクセスするときには注意が必要です。例えば、有名企業のサイトの１文字違いのドメインを買うことができた全くの別の企業でもドメイン認証の証明書を取得、設定することが可能です。一見有名企業のURLと似ているため、フィッシングに悪用される可能性もあります。国内の都市銀行のサイトではEV証明書が使われており、厳格なフィッシング対策をされていることが伺えます。
とはいえ、2022年現在ではドメイン認証でもブラウザから警告が出るようなことはありません。それ以前の問題でSSL未対応のサイトにアクセスしようとするとブラウザによっては警告アイコンが出てきたり、フォーム入力時に警告が出ることがありますので、まずはドメイン認証の証明書でもSSL対応をすることが重要です。
さいごに
クロジカサーバー管理ではお客様のサイトについてヒアリングさせていただき、必要に応じてSSL証明書の取得・更新の代行もご案内させていただきます。
サイト制作のご提案にあたり、サーバーやSSL証明書の選定に時間を取ることが難しい場合はぜひご相談くださいませ。
コーポレートサイトをクラウドでセキュアに
無料ではじめるサーバー管理
クロジカガイドブック
- コーポレートサイト構築・運用の課題を解決
- クロジカサーバー管理の主な機能
- 導入事例
- 導入までの流れ
