はじめに
目的
本ドキュメントは、SSL/TLSサーバー証明書について基礎から分かりやすく説明することを目的としています。専門的な背景がなくても理解できるよう、具体例を交えてやさしく解説します。
なぜ学ぶか
ウェブサイトで個人情報を扱ったり、ログイン機能を使ったりするとき、通信の安全性が重要になります。SSL/TLS証明書は、その安全性を支える仕組みの一つです。例えると、ウェブサイトの「本人確認書」や通信を封筒で封する「封印」のような役割を果たします。
対象読者
・ウェブサイト運営者や初心者のエンジニア
・セキュリティの基礎を学びたい学生や一般の方
専門用語は最小限にし、図や例がなくても分かるようにします。
本ドキュメントの構成
第2章：SSL/TLSサーバー証明書とは（定義と基本）
第3章：証明書の役割（暗号化と実在証明）
第4章：仕組み（発行の流れと暗号通信の基本）
第5章：種類（代表的な証明書の違いと選び方）
以降の章で、順を追って理解を深めていきましょう。
SSL/TLSサーバー証明書とは
基本の説明
SSL/TLSサーバー証明書は、インターネット上の通信を暗号化し、Webサイトの身元を確認するための「デジタルな身分証明書」です。これがあると、ブラウザとサイト間のデータを第三者が読み取れないように守れます。
呼び方と現状
もともとSSLという名前でしたが、現在はより安全なTLSが使われます。一般的には両方を合わせて「SSL/TLS」と呼ぶことが多いです。
証明書の見た目（https と鍵アイコン）
証明書が正しく設定されると、サイトのURLがhttps://で始まり、ブラウザに鍵や鍵穴のアイコンが表示されます。これで接続が暗号化されていることがすぐ分かります。
証明書に含まれる主な情報
主な中身は次の3つです。
– 運営者情報：サイトの名前や運営組織が入ります。
– 公開鍵：暗号化で使う鍵の一部です。誰でも見ることができます。
– 発行者の署名：信頼できる機関が証明書を発行したという署名です。
公開鍵と秘密鍵の役割（簡単な例）
公開鍵と秘密鍵はペアで働きます。公開鍵は誰でも使える封筒の「宛先」、秘密鍵は受け取り人だけが持つ「開封する鍵」に例えられます。送信者は公開鍵でデータを封筒に入れ、受け取り人は秘密鍵で中身を取り出します。これにより安全にやり取りできます。
SSL/TLSサーバー証明書の役割
はじめに
SSL/TLSサーバー証明書は、インターネット上の通信を安全にするための「身分証明書」と「封筒」の役目を果たします。以下で具体的に見ていきます。
1. 通信内容の暗号化
証明書は通信を暗号化する仕組みを使います。例えると、手紙を鍵付きの封筒に入れて送るようなものです。クレジットカード番号やパスワード、個人情報などを第三者が読み取れないように守ります。公共のWi‑Fiでも盗聴の危険を減らします。
2. サイト運営者の実在証明
証明書には運営者情報が含まれ、信頼された第三者（認証局）がその情報を確認して署名します。これにより、利用者はサイトが本当にその運営者によって運営されていると確認できます。たとえば銀行のサイトは正規の証明書で本物と分かります。
3. フィッシング詐欺対策
偽サイトは正しい証明書を取得しにくいため、証明書の有無や内容はフィッシング対策になります。したがって、ブラウザの鍵アイコンやURLのドメインを確認すると安全性の目安になります。
4. ユーザーが確認できるポイント
- URLが「https://」で始まるか
- 鍵アイコンをクリックして証明書情報を表示できるか
- 表示されるドメイン名がアクセス先と一致するか
これらをチェックするだけで、多くのリスクを減らせます。
SSL/TLSサーバー証明書の仕組み
1) 証明書の発行
会社や組織が証明書を申請します。認証局（CA）は申請先の実在や所有権を確認し、問題なければ証明書を発行します。例えば、example.comの管理者が申請すると、CAはそのドメインの所有を確認します。
2) 証明書の中身と署名
証明書には組織名やドメイン、有効期限、公開鍵などが入ります。認証局はこれらを自分の秘密鍵で電子署名します。署名は証明書が改ざんされていない証拠です。
3) ブラウザによる検証
利用者がサイトを開くと、ブラウザは証明書の署名をCAの公開鍵で検証します。ブラウザやOSは信頼できるCAの公開鍵をあらかじめ持っており、それで正当性を確かめます。
4) 暗号化通信の確立（ハンドシェイク）
証明書の検証が通ると、ブラウザとサーバーは暗号化通信を始めます。ブラウザはセッション鍵を作り、その鍵をサーバーの公開鍵で暗号化して送ります。サーバーは自分の秘密鍵でそれを復号し、以降はそのセッション鍵で通信を暗号化します。
5) なぜ安全か
この仕組みで、利用者は接続先が本物か確認できます。また、第三者は暗号化された通信を読めません。証明書の有効期限や失効リストも確認することで、より安全に利用できます。
SSL/TLSサーバー証明書の種類
ドメイン認証（DV）
最も簡単で短時間に発行できます。発行機関はドメインの所有権だけ確認します。個人ブログや小規模サイトに向きます。例：example.com の所有者であることをメールやDNSで確認して発行します。
企業認証（OV）
ドメインに加え、企業や団体の実在を確認します。証明書に組織名が入るため、信頼性が高くなります。中小企業のコーポレートサイトや会員制サイトに適しています。
拡張認証（EV）
より厳格な審査を行い、企業名の表示などで利用者に強い安心感を与えます。手続きに時間がかかりますが、金融や大手サービスで採用されることがあります。
ワイルドカード証明書
*.example.com のように、1つのドメイン配下の複数サブドメインを一括で保護します。サブドメインが多い場合に管理が楽になります。
SAN／マルチドメイン証明書
複数の異なるドメイン（example.com、example.netなど）を1枚で保護します。複数サイトを1つの証明書で運用したいときに便利です。
自己署名証明書・プライベートCA
社内システムなどで使います。外部からの信頼は得られないため、内部利用に限定してください。
用途や予算、管理のしやすさで選ぶとよいです。
