はじめに
SSLとは何か
SSL（一般にはTLSとも呼ばれます）は、Webサイトが本物であることを証明し、ブラウザとサーバーの間の通信を暗号化する仕組みです。たとえば、ログイン画面で入力したパスワードや、クレジットカード番号が第三者に見られないように守ります。技術名はTLSが主流ですが、日常では「SSL」と呼ばれることが多いです。
なぜ大切なのか（具体例）
- オンラインショッピング: カード情報を安全に送れます。悪意ある第三者に盗まれるリスクを下げます。
- 会員サイト: パスワード漏えいを防ぎ、なりすましを抑えます。
- シンプルな例: カフェのWi‑Fiで入力した情報が暗号化されていなければ、同じ回線の人に見られる可能性があります。
インターネット上のやり取りは目に見えないため、安心して使うには確認が必要です。ブラウザの鍵マークやURLが「https://」で始まることをチェックすると、接続が暗号化されている目安になります。
本書の流れ（この章で学べること）
この第1章では、まずSSLが何をする仕組みかをわかりやすく説明しました。続く章では、SSLが具体的にどんな役割を果たすのか、認証レベルの違いや導入のイメージを順にお伝えします。初心者の方でもイメージしやすいように、具体例を交えて進めます。
SSL認証の役割
SSL認証は主に二つの役割があります。サイトの正当性を確認することと、通信を暗号化してデータの盗聴や改ざんを防ぐことです。日常の利用で安心してやり取りできるように働きます。
サーバ認証（サイトの正当性の確認）
証明書はウェブサイトの“身分証明書”です。信頼できる第三者（認証局）がサイトの運営者やドメインを確認して証明書を発行します。これにより、偽のサイト（成りすまし）にユーザーが騙されにくくなります。例えば銀行のログインページが本物かどうかを確認する手助けになります。
通信の暗号化（盗聴と改ざんの防止）
ブラウザとサーバ間のデータは暗号化されます。外出先の公衆Wi‑Fiや第三者が通信を傍受する状況でも、送信したパスワードやクレジットカード情報を読み取られにくくなります。また、送信途中で内容を書き換えられるリスクも低くなります。
ユーザーへの表示
ブラウザはアドレスバーに「https://」や鍵マークで安全な接続を示します。証明書が期限切れや一致しない場合は警告が表示されて、接続を続けるかどうかユーザーが判断できます。
実際の利用では、ログインや決済など重要な操作を行うページでSSLが有効か確認すると安全性が高まります。
SSL証明書の種類（認証レベル）
はじめに
SSL証明書には、確認する内容の違いから主に3つの認証レベルがあります。目的に応じて選ぶことで、利用者の安心感やコストが変わります。
ドメイン認証（DV）
ドメインの管理権を確認するだけの認証です。発行は数分から数時間で済み、費用も低めです。個人ブログやテスト用サイトなど、運営者の身元確認が不要な場合に向いています。通信は暗号化されますが、運営組織の実在は証明されません。
企業認証（OV）
登記簿や組織情報を照合して、運営組織の実在を確認する認証です。発行までに数日かかることが多く、費用は中程度です。企業の公式サイトや一般的なECサイトに適しており、訪問者は運営組織が確認されたことを信頼できます。
EV認証（EV）
最も厳格な審査を行い、組織の法的実在や申請者の権限まで詳しく確認します。発行には数日から数週間を要し、費用は高めです。金融機関や大手サービスなど、高い信頼性が求められる場面で使われます。
比較のポイント
- 暗号化の強さは基本的に同じです。違いは「誰の情報を確認したか」と「信頼の度合い」です。
- 早さと費用：DV（速い・安い）→ OV（中間）→ EV（遅い・高い）。
選び方の目安
個人やテストはDV、会社の公式やECはOV、高い信頼が必要な金融系はEVを検討してください。必要な信頼度と運用コストを比べて選ぶとよいです。
導入のイメージ
1. 証明書の申請と審査
まず認証局（CA）に証明書を申請します。申請時にドメイン所有の確認や会社情報の提出が必要です。例えばドメインにメールを送り所有を確認する方法や、書類で会社実在を確認する方法があります。審査が通れば証明書が発行されます。
2. 受け取るファイル
受け取るのは主に「証明書（公開鍵）」「秘密鍵」「中間証明書（CA連鎖）」です。秘密鍵は外に出さないで保管します。中間証明書は信頼の連鎖をつなぐ役割です。
3. サーバへの設定例
サーバに証明書と秘密鍵、中間証明書を置きます。例としてApacheやNginxでは設定ファイルに証明書と鍵のパスを指定します。その後Webサーバを再起動して証明書を有効にします。
4. HTTPからHTTPSへの切り替え
ポート80のHTTPアクセスを受けたら、ポート443のHTTPSへ自動で転送（リダイレクト）します。これにより利用者は常に暗号化された通信を使えます。設定はサーバ側でルールを1つ追加するだけです。
5. 動作確認と更新管理
ブラウザで鍵アイコンが表示されるか確認します。期限が来る前に証明書を更新する運用を決めておくと安心です。自動更新ツールを使えば手間を減らせます。
