メインコンテンツまでスキップ

複数年証明書の交付方法について

一、SSL証明書の最長有効日数​

CA/Browser Forum（国際的な認証局とブラウザの連合）の規定により、2020年9月1日以降、すべての公的に信頼されるSSL証明書（DV、OV、EVタイプを含む）の最長有効期間は398日（約13か月）を超えてはならないとされています。 証明書ブランド（DigiCert、Sectigoなど）や種類（単一ドメイン、複数ドメイン、ワイルドカード）に関わらず、このルールを遵守する必要があります。

背景と例外について

  • 過去のポリシー変更：

    • 2018年以前は最長5年の証明書発行が許可されていましたが、その後2年、1年へと段階的に短縮されました。
    • 有効期間の短縮は、秘密鍵の漏洩リスクを低減し、定期的な更新を強制することでセキュリティを向上させることを目的としています。

  • 例外ケース：

    • プライベートPKI/内部証明書：企業が独自に構築したCAによって発行される証明書は制限の対象外ですが、内部システムでの使用に限られます。
    • テスト用証明書：一部のテスト用途向け証明書はより長い有効期間で提供される場合があります（手動での信頼設定が必要であり、本番環境には適しません）。

二、複数年証明書の交付方法​

1枚あたりの証明書の有効期間は398日を超えませんが、多くの認証局（CA）は「複数年プラン」（2年、3年など）を提供しており、実際の交付フローは以下の通りです。

1. 複数年プランの購入​

  • 料金の支払い：複数年プランの料金を一括で支払います（一部のCAでは割引が提供されます）。
  • 初回発行：有効期間398日の最初の証明書が即時に発行されます。

2. その後の証明書更新手続き​

  • 自動更新（推奨）：
    • 一部のCAでは有効期限前に新しい証明書を自動的に再発行します（ドメイン検証は引き続き必要です）。
    • CAコンソールにログインして更新リクエストを手動で送信し、ドメイン管理権限の検証（DCV）を再実施する必要があります。
  • 手動更新：
    • CAコンソールにログインして更新リクエストを手動で送信し、ドメイン管理権限の検証（DCV）を再実施する必要があります。

3. 更新手続きのポイント​

  • ドメイン検証：更新のたびにドメインの管理権限の検証が必要です（DNS、HTTPファイル、またはメールによる検証）。
  • 新しい秘密鍵とCSRの生成：更新のたびに新しい秘密鍵とCSR（証明書署名要求）を生成することを推奨します。秘密鍵が長期間にわたって露出するリスクを回避するためです。
  • 証明書の置き換え：新しい証明書を手動で、または自動化ツール（CLMシステム）を使用してサーバーにデプロイする必要があります。

4. 実際の交付例​

2年証明書を購入した場合を例に説明します：

  • 初回交付：有効期間398日（約13か月）の証明書が交付されます。
  • 2年目の証明書交付：最初の証明書の有効期限30日前に、弊社から更新手続きを完了して新しい証明書を取得し、2年目の証明書に交換するようご案内します。
ヒント
  • 複数年プラン：実質的には「複数年サービス購読」であり、毎年更新と再検証が必要です。
  • 主な目的：有効期間の短縮と更新の強制により、ネットワークセキュリティを向上させることです。

証明書の更新手続きを事前に計画し、有効期限切れによるサービス中断を回避することを推奨します。

5. 注意事項​

  • 価格リスク：複数年プランの更新時に価格が調整される可能性があります（例：2年目の更新時にCAが値上げする場合など）。
  • 技術サポート：複数年プランに継続的な技術サポートサービスが含まれていることを確認してください。
  • 返金ポリシー：一部のCAでは、未使用期間分の返金に対応していません。

三、長期的な証明書管理の推奨事項​

1. 自動化ツール​

  • sslTrus CLMを使用して、自動更新と自動デプロイを実現します。

2. 監視とアラート​

  • sslTrus CLMを使用して証明書の有効期限を監視し、サービス中断を回避します。

3. 集中管理プラットフォーム​

  • 企業ユーザーは、証明書の自動運用プラットフォーム（sslTrus CLM）を導入し、複数の証明書を一元管理することを推奨します。
に最終更新