はじめに
目的
本章では、本ドキュメント全体の目的と読み方をやさしく説明します。SSL/TLSはウェブサイトと利用者の間でやり取りする情報を暗号化する仕組みです。銀行のログインやネットショッピング、メール送受信などで安全にデータをやり取りするために重要です。本書は、Mozillaに関連するSSL/TLSの仕組みや設定、推奨構成、製品での管理方法、ポリシー動向を分かりやすくまとめます。
対象読者
- サイト運営者やサーバー管理者
- FirefoxやThunderbirdを利用するエンドユーザー
- SSL/TLSについて基礎を学びたい技術者や学生
専門家向けに深い数式は扱いません。実務で役立つ具体例や設定のポイントを中心に説明します。
本書で扱う内容（概要）
- Mozillaが推奨するサーバー向けSSL/TLS構成と理由
- FirefoxやThunderbirdでの証明書管理や設定の方法
- Mozillaのポリシーや業界動向、証明書チェインの変更などの重要情報
- 実運用で注意するべき落とし穴と対策
読み方と前提知識
基本的なネットワーク用語（サーバー、クライアント、証明書）の基礎があれば読みやすい構成です。実際の設定例は手順を追って示しますので、順に読み進めることをおすすめします。
Mozillaが推奨するSSL/TLS構成
概要
Mozillaは「Security/Server Side TLS」でサーバー向けのSSL/TLS設定を整理し、使いやすい推奨構成を公開しています。目的は安全性と互換性のバランスを取り、運用者が迷わず設定できるようにすることです。
推奨プロファイル
- Modern: 最新ブラウザ向けに高い安全性を確保します。古いクライアントは切り捨てます。例：TLS 1.3優先、強力な暗号套件。
- Intermediate: 安全性と互換性を両立します。多くの現行ブラウザと端末で使えます。例：TLS 1.2/1.3を許可。
- Old: レガシー互換を重視します。古いOSや機器を使う環境でのみ採用します。
Mozilla SSL Configuration Generatorの使い方
サーバー種別（Apache、nginx、Caddyなど）、ソフトやOpenSSLのバージョン、HSTSやOCSP Staplingの有無を選ぶだけで、実際に使える設定ファイル例を自動生成します。例えばnginxを選びIntermediate・TLS1.2有効・HSTS有で出力すると、そのまま配置できる設定が得られます。
設定時のポイント
- OpenSSLやサーバーのバージョンを確認する。
- HSTSは有効にするときは慎重に。サブドメイン適用やmax-ageを決める。
- OCSP Staplingは応答速度と確認性を向上します。
運用上の注意
設定を変更したら、外部のTLSチェックや実機で必ず確認してください。証明書の更新やプロトコル廃止への対応を定期的に行うと安全に運用できます。
SSL/TLSの基本とMozillaの位置付け
SSLとTLSの違い
SSLは古い名前で、現在はTLSが主流です。見た目では「https://」の鍵アイコンで同じように使えますが、TLSはより安全で改良された仕様です。日常では「SSL/TLS」とまとめて呼ぶことが多いです。
やさしい仕組みの説明
- サーバーが証明書（公開鍵を含むファイル）をブラウザに送ります。例えると、身分証を見せる場面です。
- ブラウザは安全に通信するための共通鍵を作り、それを公開鍵で暗号化してサーバーに送ります。以後はその共通鍵でやり取りを暗号化します。
この流れにより、第三者の盗聴や改ざんを防げます。
証明書の種類と用途
- DV（ドメイン認証）：取得が速く、個人サイトやブログ向きです。ドメイン所有だけを確認します。
- OV（組織認証）：企業や団体の実在を確認します。ビジネス用サイトに向きます。
- EV（拡張認証）：厳格な審査を経て発行されます。信頼性が高く、金融系などで選ばれることがあります。
用途や求める信頼度で使い分けると良いです。
Mozillaの位置付け
MozillaはFirefoxを通じて安全な通信の基準を広める立場にあります。ブラウザ側で古い暗号や弱い証明書を拒否することで、安全性の向上を促します。また、Mozillaのガイドラインや推奨設定は、開発者や運用者が安全な設定を選ぶ手助けになります。
実務で注意する点
- 証明書の有効期限を切らさないように管理します。
- 古いプロトコルや暗号スイートは無効化します。
- ブラウザ警告が出たら早めに原因を確認します。
技術の細かい説明は別章で扱いますが、まずはこの基本を押さえると運用が安定します。
Mozilla製品でのSSL/TLS設定・管理
Firefoxでの基本設定
- HTTPS-Onlyモード: 設定 > プライバシーとセキュリティ > HTTPS-Onlyモードを「すべてのウィンドウで有効」にすると、ブラウザが自動的にHTTPをHTTPSへ置き換えます。これで安全でない接続を避けやすくなります。
TLSバージョンの細かい制御
- about:configで次のパラメータを変更します（アドレスバーにabout:configと入力）。
- security.tls.version.min = 3（TLS1.2以上を要求）
- security.tls.version.max = 4（TLS1.3を許可）
- この設定で古いSSL3.0や脆弱なバージョンを無効化できます。変更時はブラウザの互換性に注意してください。
証明書の管理
- 設定 > プライバシーとセキュリティ > 証明書 > 証明書を表示 から証明書をインポートできます。
- 自己署名証明書や社内CAを使う場合はここで信頼を追加します。インポート後、どの用途で信頼するかを選べます（ウェブサイトの識別など）。
Thunderbirdでのメール暗号化設定
- アカウント設定 > サーバ設定（受信）で「接続の保護方式」をSSL/TLSまたはSTARTTLSに設定します。例: IMAPはポート993でSSL/TLS、POPは995でSSL/TLSをよく使います。
- 送信用はアカウント設定 > 送信(SMTP)サーバーで同様にSSL/TLSやSTARTTLSを選びます。例: SMTPはポート465（SSL/TLS）や587（STARTTLS）。
- 「認証方法」は可能なら「暗号化されたパスワード」を選んでください。サーバー側の対応状況を確認してから変更します。
MozillaのSSL/TLSポリシーと業界動向
ポリシーの要点
MozillaはRoot Store Policyで、どの証明書発行局（CA）を信頼するか、証明書の要件や監査基準を定めています。ここでは有効期間、鍵長、使用可能な暗号、監査の透明性などが規定されます。これによりブラウザやメールクライアントが安全に接続先を判断します。
2025年4月の重要な変更
2025年4月以降、Mozilla製品でクロスルート証明書（R1〜R3）が信頼されなくなります。これにより、当該ルートをチェインに含むサービスは、接続エラーや警告を受ける可能性があります。したがって、対象サービスでは証明書チェインの見直しと再発行が必要になります。
実務的な対応手順
- 管理下の証明書を棚卸しし、チェインを確認します。
- CAに連絡して、信頼されたルートに繋がる中間または新しい証明書を取得します。
- サーバーのチェイン（バンドル）を更新し、再起動や設定反映を行います。
- ステージ環境でFirefoxやNSSベースのツールで動作確認します。
- 本番展開前に監視とリバート手順を整えます。
テストと検証方法
openssl s_clientやSSL Labs、Firefoxを実機で確認してください。NSSがどのルートを信頼するかを確認すると確実です。
業界への影響と推奨
CDN、API、組込み機器など広範囲に影響が出ます。自動化（証明書の自動再発行・デプロイ）と早めの対応を推奨します。
SSL/TLSとSEOやウェブ運用の関係
なぜSSL/TLSがSEOに関係するのか
Googleは安全な接続を好むため、HTTPSはランキングの評価項目の一つです。たとえばサイトをHTTPからHTTPSへ移行すると、ユーザーの信頼が高まり直帰率が下がる可能性があります。検索順位に直接大きなブーストを与えるものではありませんが、総合的な評価で有利になります。
ウェブ運用で注意する点
- 常時HTTPS化：サイト全体をHTTPSで提供し、HTTPは301リダイレクトで転送します。これにより重複コンテンツの問題を避けます。
- 証明書の更新管理：期限切れはブラウザ警告やアクセス減につながります。自動更新を設定すると安心です。
- 混在コンテンツの解消：画像やスクリプトがHTTPだと鍵マークが消えます。すべてHTTPSで読み込みます。
Mozilla推奨構成との関係
Mozillaの推奨は安全で最新の暗号を使うことです。推奨に沿うと互換性と性能が向上し、ページ表示速度やユーザー体験も改善します。速度や信頼性の向上はSEOにとってプラスです。
実務チェックリスト（簡潔）
- 301リダイレクトを設定する
- サイトマップやSearch ConsoleでHTTPSを登録する
- 証明書自動更新を導入する
- 混在コンテンツを検出して修正する
これらを日常的に点検すると、安全で検索に強いサイト運用ができます。
