通信内容を守るための入口
証明書そのものが通信内容を暗号化するわけではありません。証明書に含まれる公開鍵などを使って安全に接続を始め、その後の通信を暗号化するための土台になります。
SSL certificate check
SSL証明書をすぐ確認
あなたのドメイン名を入力すると、証明書の有効性・期限・発行者をすぐ確認できます。
SSL証明書とは？
SSL証明書は、Webサイトのドメイン名と公開鍵を結び付ける電子証明書です。ブラウザはHTTPSで接続するときに証明書を確認し、サーバー認証と安全な鍵交換に使います。
現在のHTTPS通信では主にTLSが使われていますが、一般的には今でも「SSL証明書」と呼ばれます。このページでも、HTTPSで使うサーバー証明書を指してSSL証明書と表記しています。
なりすましを見分ける材料
証明書には対象ドメインや発行者の情報が書かれています。ブラウザはアクセス先のドメインと証明書の内容を照合し、別のサイトの証明書が使われていないかを確認します。
期限切れや設定ミスは警告につながる
証明書の期限切れ、対象ドメインの不一致、中間証明書の不足などがあると、ブラウザは安全な接続として扱えません。ユーザーには警告が表示され、サイト離脱の原因になります。
証明書には何が書かれているか
SSL証明書には、接続先を確認するための情報と、暗号化通信を始めるための情報がまとめられています。代表的な項目は次のとおりです。
対象ドメイン
その証明書がどのドメインで使えるかを示します。現在は主にSAN（Subject Alternative Name）に example.com や www.example.com などの対象名が並びます。アクセス先のホスト名がここに含まれていないと警告の原因になります。
発行先と発行者
発行先（Subject）には証明書の対象情報、発行者（Issuer）には証明書を発行した認証局の情報が入ります。DV証明書ではドメイン管理権限、OVやEV証明書では組織情報の確認も関係します。
有効期間
「いつからいつまで有効か」が Not Before と Not After として記録されています。期限が切れると、ドメインや発行者が正しくてもブラウザは信頼できない証明書として扱います。
公開鍵
サーバーが持つ秘密鍵と対になる公開鍵です。ブラウザはこの公開鍵を使って、接続しているサーバーが対応する秘密鍵を持っていることを確認し、安全な通信を始めます。
署名アルゴリズムとシリアル番号
認証局がどの方式で証明書に署名したか、証明書を識別する番号は何か、という管理情報です。失効確認や証明書の追跡にも使われます。
利用目的
Key Usage や Extended Key Usage には、その証明書をサーバー認証などの用途で使えるかが示されます。HTTPSサーバー用の証明書として適切かを判断する材料になります。
証明書の種類
SSL証明書は、認証の範囲や保護したいドメインの数によって種類が分かれます。公開認証局が発行するDV、OV、EVはいずれもHTTPS通信の暗号化に使えますが、確認される内容や管理しやすい対象が異なります。
DV証明書
ドメインの管理権限を確認して発行される証明書です。発行が早く、個人サイト、ブログ、一般的なコーポレートサイトなどで広く使われています。
OV証明書
ドメインの管理権限に加えて、申請した組織の実在性も確認して発行される証明書です。企業や団体としての情報を証明書に含めたい場合に使われます。
EV証明書
OV証明書よりも厳格な審査を経て発行される証明書です。金融、決済、重要な個人情報を扱うサービスなど、運営主体の確認を重視する場面で検討されます。ただし、現在のブラウザでは以前のようにアドレスバーへ組織名が強調表示されるとは限りません。
ワイルドカード証明書
*.example.com のように、同じ階層の複数サブドメインをまとめて保護できる証明書です。www、api、admin など、サブドメインが多いサイトで管理を簡単にできます。
マルチドメイン証明書
SANに複数のドメイン名を登録し、1枚の証明書で example.com、example.jp、service.example.net のような別々のドメインを保護できます。複数サイトをまとめて管理したい場合に向いています。
自己署名証明書
認証局ではなく自分で署名した証明書です。検証環境や社内用途では使えますが、一般のブラウザには通常信頼されないため、公開サイトでは警告が表示されます。
証明書の仕組み
SSL証明書は、認証局を信頼の起点にして確認されます。ブラウザは証明書を受け取ると、ドメイン名、有効期限、署名、証明書チェーンなどを順番に検証します。
1. サーバーが証明書を送る
ブラウザがHTTPSで接続すると、サーバーは自分の証明書を送ります。多くの場合、サーバー証明書だけでなく中間証明書も一緒に送ります。
2. ドメイン名と有効期限を確認する
ブラウザはアクセス先のホスト名が証明書の対象ドメインに含まれるか、現在時刻が証明書の有効期間内かを確認します。ここで不一致や期限切れがあると接続は信頼されません。
3. 署名をたどって信頼できるか確認する
証明書は認証局の秘密鍵で署名されています。ブラウザは発行者の公開鍵で署名を検証し、内容が改ざんされていないことを確認します。
4. 中間証明書でルート証明書へつなぐ
サーバー証明書は、ブラウザが直接信頼しているルート証明書から発行されるとは限りません。多くは中間証明書を経由します。サーバー証明書、中間証明書、ルート証明書がつながることで、証明書チェーンとして信頼を確認できます。
5. 失効していないか確認する
鍵の漏えいや誤発行があった証明書は、有効期限内でも失効されることがあります。ブラウザやOSはOCSPなどの仕組みを使い、必要に応じて証明書が失効していないかを確認します。
6. 鍵交換を行い暗号化通信を始める
証明書の検証と鍵交換が完了すると、ブラウザとサーバーはTLSの手順で共有鍵を使える状態になります。以降の通信はその共有鍵で暗号化され、第三者に内容を読み取られにくくなります。