無料の証明書とは

無料の証明書として広く知られているのが、米国のISRG（Internet Security Research Group）が運営するLet's Encryptという証明書です。耳慣れない組織ですが、ネットワーク機器のCisco SystemsやWebコンテンツ高速配信システムのAkamai Technologiesといった有名企業が支援する非営利団体です。Let's Encryptは有効期間が90日間（約3ヶ月）の証明書で、スクリプトを設定することによって自動で更新することができます。

この自動更新スクリプトにより、90日間という短期間の証明書ながら実質インストールと設定作業だけで半永久的に維持できる証明書となります。なお、こういったスクリプトを定期実行するにはサーバーの管理者権限が必要なので、一般的なレンタルサーバーなどでは利用できないことが多く、利用できたとしても90日ごとに手動で証明書の差し替えが必要となります。レンタルサーバーの中にはLet's Encryptと連携し、自動更新に対応しているサービスもあります。さくらのレンタルサーバもLet's Encryptに対応しており、コントロールパネルにてワンクリックするだけでWebサイトのSSL化と自動更新の設定が完了します。

さくらのレンタルサーバなら簡単設定！無料SSLサーバー証明書 Let's Encrypt

その他にStartSSL、WoSingなどといった無料の証明書サービスがありますが、証明書の不正発行などの問題を起こしたため、2017年よりChrome、Firefoxブラウザでルート証明書※の失効が始まっています。

• ※ルート証明書とはあらかじめブラウザにインストールされている証明書の親のようなもので、これが失効すると関連するSSLサーバー証明書は全て失効されるため、サイトが閲覧できなくなります。

無料の証明書には、Let's Encryptのように無料の証明書を専門に扱う認証局が発行するものと、デジサート（旧シマンテック）やコモドといった有料の証明書を扱う認証局が発行するものがあります。レンタルサーバーなどを借りると自動で設定される証明書の中には、Let's Encryptの他にこのようなデジサートやコモドから発行される証明書もあります。

ホスティング事業者がエンドユーザに無料の証明書を提供する場合、Let's Encryptは完全無料で発行されますが、デジサートやコモドの場合はエンドユーザの代わりにホスティング事業者がお金を支払って発行されるものもある、ということを覚えておきましょう。エンドユーザがお金を支払ってはいないものの、有料の証明書と同じ証明書が無料で利用できるサービスを提供している事業者も存在します。

無料の証明書と有料の証明書の違い

費用の違い

最も大きな違いは費用負担の有無です。Let's Encryptは無料なのでエンドユーザがお金を支払う必要はありません。認証局はSSLサーバー証明書の運用のため多くのITインフラを必要とし、必然的にコストがかかります。SSLサーバー証明書は失効するとサイトが閲覧できなくなるという非常にリスクの高い製品であるため、認証局には信頼が必要ですが、Let's Encryptの場合、運用コストは企業からの寄付によって支えられているため、無料だから信頼できないというものではありません。

暗号化強度の違い

同じSSLサーバー証明書である以上、無料だからといって解読されやすい暗号が使われているということはありません。10万円以上するような高価格の証明書でも、無料の証明書と暗号化強度は同様となります。

更新方法の違い

無料SSL証明書の中でも最も有名なLet’s Encryptは、基本的に自動更新を前提としています。そのため、SSL証明書の設定をレンタルサーバー会社側で行うサービス（さくらのレンタルサーバなど）では、Webサイト管理者は特に何もしなくても更新されます。

一方、多くの有料SSL証明書では、Webサイト管理者やエンジニア、外部の開発会社などが更新作業を行います。急に更新する必要が出た際や、更新を忘れて期限が切れてしまった際に手軽に更新できるものではありません。VPSやクラウドコンピューティングでSSL証明書を管理している場合は、Let’s Encryptもアプリケーションの設定を行わないと自動更新ができませんが、単にレンタルサーバーにおいて更新の手間だけを考えるとLet's Encryptの自動更新は非常に便利な機能です。

サポート対応の違い

SSLサーバー証明書にはブラックリストが存在し、機械的な発行ができない場合があります。こういった際に手動で対応してくれる認証局がありますが、Let's Encryptでは手動での対応は行われないため、証明書は発行されません。このような場合、別の認証局から有料の証明書を購入する必要があります。

付加サービスの違い

有料の証明書には付加サービスがついていることがあります。Webサイトを毎日スキャンしてマルウェアからサイトを保護してくれる機能や、認証局側の過失で起きたクレジットカード番号流出による損害を補償してくれるオプションなどがあります。無料の証明書にはこういった付加サービスが一切ないものが多いです。

それぞれのメリット・デメリット

無料の証明書

メリット

• 費用がかからない
• Let's Encryptの場合、スクリプトを設定すれば自動更新が可能
• レンタルサーバーなどで自動更新が設定されていれば、更新の手間が掛からない

デメリット

• 手厚いサポートが受けられない
• 無料で取得できるためフィッシングサイトなどで悪用されることが多い
• 自動更新に対応していないレンタルサーバーでは90日に1回手動で更新しなければならない
• 自動更新スクリプトを設定するにしても面倒なことがある
• 運営基盤の資金が寄付で支えられている場合、通常の認証局よりサービス提供終了のリスクが高い

有料の証明書

メリット

• 手厚いサポートを受けられるものが多い
• より信頼性の高い認証方式（OV/EV）の証明書を選ぶことができる
• 有効期間が最長2年の証明書を購入できる（2018年2月28日までは最長3年）

デメリット

• 費用がかかる
• 自動更新に対応していないものが多い

今回は無料の証明書と有料の証明書の違いをご紹介しました。それぞれの証明書の性質を理解して、適切な証明書選びができるようになるとよりSSLサーバー証明書の理解が深まります。さくらのSSLでは豊富な証明書のラインアップを取りそろえておりますので、ぜひご利用ください。