SSL証明書の有効期間は今どれくらいで、今後どう変わるのか？

SSL証明書の最大有効期間は現在200日で、2026年3月15日までの398日から短縮されました。CA/Browser Forumが世界中のすべての認証局に定めるBaseline Requirementsにより、2027年3月15日には100日に、2029年3月15日には47日に短縮されます。無料証明書の最大の発行元であるLet's Encryptは、2026年10月7日、2027年2月10日から自社の証明書の有効期間を90日から64日に短縮すると発表しました。実際には、これまで年に一度更新していた証明書を、今後は少なくとも年二回、次に四回、さらに約八回更新する必要があります。更新が「誰かが覚えておくべき作業」のままであれば、いつか顧客があなたのサイトを開いたとき、接続が安全ではないという警告を目にすることになります。

スケジュール：398日から47日へ

証明書の発行時期最大有効期間ドメイン認証の最大再利用期間
2026年3月15日より前398日398日
2026年3月15日以降200日200日
2027年3月15日以降100日100日
2029年3月15日以降47日10日

最後の列は見た目以上に重要です。ドメイン認証とは、DNSレコードを追加したり、サーバーにファイルを置いたりして、そのドメインを管理しているのが自分であることを認証局に証明する手順です。現在は一度の認証を200日間再利用できますが、2029年3月からはわずか10日間しか有効でないため、ほぼすべての更新で新たな認証が必要になります。Forumは2025年4月11日にこのスケジュールを採択し、25の認証局が賛成、反対はゼロ、投票権を持つブラウザメーカー四社もすべて賛成しました。これは先送りされる可能性のある提案ではありません。ブラウザから証明書を信頼され続けるために、すべての認証局が従うルールです。

無料のLet's Encrypt証明書では何が変わるのか？

中小規模のウェブサイトの多くは、無料のLet's Encrypt証明書で運用されており、所有者がそれを知らないことも少なくありません。公式発表と公開されたスケジュールによると、次のとおりです。

  • 2026年10月14日：テスト環境（staging）で64日間有効の証明書の発行が始まり、本番の日付より前にシステムをテストできます。
  • 2027年2月10日：この日以降に発行または更新されるすべての証明書の有効期間が64日となり、認可の再利用期間は30日から10日に短縮されます。
  • 2028年2月16日：有効期間は45日に短縮され、認証の有効時間はわずか7時間になります。

Let's Encryptは、よくある間違いについて警告しています。90日間の証明書を前提に書かれ、83日、80日、60日といった固定の更新タイミングを持つスクリプトや定期実行ジョブです。これらは修正が必要です。推奨されるのは、証明書の有効期間の約三分の二の時点、つまり64日のうちおよそ42日目に更新することです。更新クライアントがACME Renewal Information（ARI）に対応していれば変更は不要です。いつ更新すべきかを認証局自身がクライアントに伝えるからです。

もう一つ注意点があります。Let's Encryptは2025年6月4日に有効期限切れの通知メールの送信を終了しました。更新を思い出させてくれるメールを待っていたなら、そのメールはもう届きません。

証明書が期限切れになった日、ビジネスには何が起きるのか？

  • ウェブサイトとオンラインストア：ブラウザはあなたのサイトの代わりに、接続がプライベートではないことを伝える全画面の警告を表示します。ほとんどの訪問者はページを閉じて二度と戻らず、先に進む人もカード情報の入力に不安を抱えたままです。
  • モバイルアプリ：アプリは暗号化された接続でサーバーと通信しており、サーバーの証明書が期限切れになった時点で接続を拒否します。ユーザーには一般的なエラーか真っ白な画面が表示されるだけで、理由はまったくわかりません。
  • 他システムとの連携：決済通知、配送連携、会計システムはすべて暗号化された通信で動いています。期限切れの証明書はこれらを音もなく止めてしまい、支払いを済ませた顧客から注文が確認されないという苦情が来て初めて気づくこともあります。
  • メールと社内ダッシュボード：メールサーバー、管理画面、社員向けツールにも証明書があり、誰も毎日見ないため、最も忘れられやすい存在です。

有料証明書を丸一年分購入した場合、何が変わったのか？

購入することは、もはやインストールすることと同じではありません。現在、200日を超えて有効な証明書を発行できる認証局はないため、各社は引き続き年間契約を販売し、その期間内で証明書を再発行しています。たとえばSSL.comは、購入したものは引き続き12か月のライセンスであること、現在は198日間有効な証明書を発行していること、契約期間内の再発行に追加料金はかからないことを説明しています。しかし、再発行のたびに新たなドメイン認証とサーバーへの新たなインストールが必要です。2027年3月からは少なくとも年4回、2029年3月からは約8回これが発生します。問題はもはや証明書の値段ではありません。誰が、どのくらいの頻度でインストールし、忘れられたときに誰が責任を負うのかということです。

企業のための五つのステップ

  1. すべての証明書を棚卸しする：ウェブサイト、オンラインストア、モバイルアプリのサーバー、メール、管理画面、そしてすべてのサブドメイン。それぞれについて、発行元、有効期限、担当者を記録します。
  2. 更新を自動化する：サーバー上の更新クライアントを使うか、クラウド事業者やコンテンツ配信ネットワークが自動で管理・更新する証明書を使います。ストアがホスティング型のプラットフォーム上で動いている場合は、証明書を自動で更新するのか、更新に失敗したときに誰が対応するのかを書面で確認してください。
  3. 独立したツールで有効期限を監視する：自動化が機能していると思い込まないでください。監視サービスは期限切れの数日前に通知してくれます。Let's Encryptも通知メールを終了した際に、最大250枚の証明書を監視できる無料の監視サービスを案内しました。
  4. 古いスクリプトを確認する：90日間の証明書を前提にした固定の数値がないかを探し、10月14日に64日間有効の証明書の発行を始めるテスト環境で更新をテストします。
  5. 契約書に責任者を明記する：ホスティング契約や保守契約に、証明書の更新と監視は事業者の責任であることを明確に定めた条項を加え、証明書が期限切れになった場合の対応時間も決めておきます。

Origamiができること

Origamiが開発するウェブサイトやアプリでは、証明書の更新は初日から自動化されており、何かが期限切れになる前に独立した監視が私たちに通知するため、誰かの記憶に頼ることはありません。すでにウェブサイトやシステムをお持ちの場合は、リリース後の保守とサポートに関する記事で紹介したリリース後の保守サービスの一環として、証明書を棚卸しし、自動更新に移行します。中小企業のためのサイバーセキュリティの基本もあわせてご覧ください。

出典