セキュリティ面での重要性はもちろん、Webブラウザの対応やSEO対策の観点でも注目を集める常時SSL。なぜサイト全体をSSL化する必要があるのか？ SSLサーバー証明書の選び方、さくらインターネットの天内雅晴氏に聞いた。
さくらインターネット セールスマーケティング本部 マーケティング部 天内雅晴氏
ますます高まる常時SSLの必要性
Q：「常時SSL」はなぜ必要？
常時SSLの必要性は以前よりSSL証明書の発行機関である認証局を中心に啓蒙されていたのですが、最近、多くのサイト運営者にも必要性が認識されてきています。これまで多くのWebサイトではログインページや個人情報を入力するサイトにしかSSLを使っていなかったのですが、セキュリティの向上を目的に、ブラウザベンダーがSSLの利用をかなり強力に推進するようになったのが1つの要因です。
Q：最新のWebブラウザではSSL非対応のサイトはどのように見える？
たとえば、最新のChrome 62ではサイト内検索も含め、すべての入力フォームに対して、SSL化していないと「保護されていません」という警告が表示されます。Firefoxでも、パスワード入力画面がSSL化していない場合、かなり強めの警告表示が出るようになっており、今後、各ブラウザのアップデートにより、さらに強力な警告が表示されることも予想されています。警告表示が出る段階で、サイトの信用が毀損されてしまいます。
Q：常時SSLのメリットを教えて
通信が暗号化され、中間者攻撃による改ざんや盗聴を防ぐことができるので、サイト全体のセキュリティを強化できます。また、常時SSL化することで、サイト自体の信頼性が上がります。SEOの面でも、Googleが検索順位のアルゴリズムにSSL化されているかを評価の1つにしているため、今後、検索順位の向上も期待できます。さらに、次世代プロトコルHTTP/2に対応することで、サイト全体の高速化にも寄与するはずです。
Q：SSLを入れることでデメリットはある？
昔はWebサイトの表示が遅くなると言われていたのですが、サーバーの処理能力が向上し、ネットワークの帯域も上がったので、体感的に遅くなることはもはやないと思います。
SSLサーバー証明書の基礎知識と選び方
Q：具体的な常時SSL化の手順について教えて
基本的にはWebサイトに設定されているドメインすべてに対し、SSLサーバー証明書を発行し、サーバーに導入する必要があります。あとは従来のHTTPからHTTPSへリダイレクトしたり、混在コンテンツがないようにHTTPのパスをHTTPSに変える必要があります。リンクの整合性を保つのが大きな課題です。
Q：SSLサーバー証明書の役割とは？
SSLサーバー証明書はSSLでのデータの暗号化、なりすましや改ざんを防ぐ認証の機能を実現します。ドメインが存在しているのかを認証する「ドメイン認証（DV）」、組織の存在性や身元を確認する「企業認証（OV）」、組織名が表示され、アドレスバーが緑色になる「EV認証」などの種類があります。
Q：SSLサーバー証明書の違いを教えて
どの証明書を使っても暗号化は可能ですが、証明書を発行するための認証で必要な審査に違いがあります。ドメイン認証は文字通りドメインが実在するかを確認するだけの証明書。一方、企業認証とEV認証は登記や担当者の在籍確認まで行ないます。ドメイン認証は認証業務が自動化されており、発行に人手がかかってないので料金は安いですが、信頼性は企業認証やEV認証に比べて劣ります。一方、企業認証やEV認証は審査に時間がかかり、ドメイン認証に比べて高価ですが、サイト運営者の実在性を証明するため、信頼性は高いと言えます。
Q：SSLサーバー証明書はどのように使い分ければよい？
個人や社外に公開しないテストサイトやイントラネットはドメイン認証がオススメです。訪問者が安心感を重視するようなECやコーポレートサイトは、信頼性の高い企業認証やEV認証が必要になると思います。弊社も同様の使い分けを行なっています。
Q：「SSLサーバー証明書は高い」と言われていましたが、実際はどうなのでしょうか？
従来、SSLサーバー証明書は高価というイメージがあり、実際に海外の認証局も多く、国内向けの証明書は高かったと言えます。しかしながら、昨今、安価な証明書も増えています。実際、弊社でも2015年から、年間で1500円（税抜）の「ラピッドSSL」というドメイン認証の証明書を提供しており、国内向けの証明書についても低価格化が進んでいます。
さくらインターネットのSSLサーバー証明書について
Q：さくらインターネットのサービスのSSL対応状況を教えてください。
A：もともとはレンタルサーバーの中でも1台のサーバーに1つのIPアドレスを割り当てている高価格帯のプランのみ導入可能でしたが、2015年からSNI（Server Name Indication）に対応し、個別にIPアドレスを振っていない安価なプランでもSSLが導入できるようになっています。SSLサーバー証明書の導入に必要なCSRの作成や発行申請もコントロールパネルから行なえます。他社で購入した証明書を持ち込んでインストールすることも可能です。
Q：無料の証明書であるLet's Encryptについて教えて！
Let's Encryptは大手ITベンダーがスポンサーとして運営しているISRGが提供する無料の証明書になります。さくらインターネットもLet's Encryptをスポンサーしており、 無料の証明書でSSLの裾野を拡げていきたいという目的のもと、弊社レンタルサーバーでも簡単にLet’s Encryptの証明書を導入することができる機能を提供しています。
Q：Let's Encryptはどのような証明書？
無料でありながらも、有料の証明書と同様、Webサイトの暗号化が可能となります。さくらインターネットでは提供開始から1週間で1万枚くらい発行されました。申請から発行、インストールまで自動化しており、証明書の更新も自動で行なわれるため、設定後は、意識することなくサイトを運営することができます。設定しておけばLet’s Enctyptでは、今後、1枚の証明書で複数のサブドメインに対応するワイルドカード証明書の提供も予定されており、さらにWebサイトのSSL化が加速していくと予想されます。
Q：さくらインターネットのお客様でのSSLの導入状況は？
弊社サービスで設定されている80万のドメインのうち、SSL化されているところはまだ数％です。しかし、発行枚数も数年前に比べて120倍以上増加しており、現在4万枚を超えている状況です。SSLの必要性が高まっている中、Let's Encryptを機に常時SSL化を進める企業も増えています。
（提供：さくらインターネット）
