SSLは無料と有料で何が違うの！？今さら聞けないSSLの仕組みと導入のメリット

（この記事は2022年9月29日に更新されました）

「SSLっていう言葉、よく聞くけど、どんな意味なんだろう？」
「自分のWebサイトをSSL化する必要ってあるの？」
「無料のSSLと有料のSSLって、何が違うの？」

こんにちは。
京都のWebプランニング会社「ウェブライダー」の松尾です。

某社のレンタルサーバーからCPIのサーバーに乗り換えたことがきっかけで、このコラムを書かせていただく機会を得ました。
現在、ウェブライダーでは、CPIの専用サーバーと共用サーバーのふたつを借り、さまざまなWebサイトを運営しています。

さて前回、Webセキュリティに関する記事を書きました。
Webセキュリティを語る上では、「SSL（Secure Sockets Layer）」についての話は外せません。

SSLとは、インターネット上の通信を暗号化する技術のこと。
この技術はネット上のさまざまな場面で使われており、たとえば「ショッピングカート」や「お問い合わせフォーム」といった個人情報が入力される場面でよく使われます。

実は、インターネット回線を介したネット上のやりとりは、盗み見られる可能性があります。

たとえば、電話機をイメージしてください。
電話機の回線に盗聴器を仕掛ければ、電話の内容は盗聴できてしまいますよね。
それと同じで、インターネット回線を介したネット上のやりとりは、第三者によって傍受される恐れがあるんです。

ただ、その傍受された内容が「意味のわからない暗号」になっていたらどうでしょう？
日本語でやりとりされているはずの文字列が、謎の暗号に変わっていたら、通信を傍受したとしても、どんな内容のやりとりだったかを理解することはできません。

SSLとは、まさにその、インターネットを介してやりとりされる情報を暗号化する技術のことを指します。

現在では、「ショッピングカート」や「お問い合わせフォーム」などの特定の場面で使われるだけでなく、Webサイトにおけるすべての場面でSSLが使われることが増えています。
専門用語でいうと「常時SSL」の時代に突入しているんです。

なぜ「常時SSL」が主流になったのかというと、現在のほとんどのWebサイトでは、Webサイトの訪問者がどんなページを見ているか？どんなページを好むか？といった情報も取得しているからです。
つまり、そういった情報も暗号化しておかないと、訪問者は安心できません。
だから、お問い合わせフォームだけでなく、いっそのこと、Webサイト全体をSSL化したほうがいいよね、という流れが広がりました。

その流れの中で、あのGoogleもWebサイトのSSL化を啓蒙し続けています。

たとえば、2014年には「SSL化されているWebサイトを評価します」という発表をおこなったのです。（Googleウェブマスター向け公式ブログの記事）
（※ただし、SSL化したからといって検索順位がグンと上がるわけではなく、あくまでも、Googleのランキングシグナルの一要素としての評価です）

上記のように、今、ネット上ではより安全なWebサイトが求められています。

つまり、あなたのWebサイトがSSL化できているかどうかは、あなたのWebサイトが安全だということを外部へアピールする上で、とても大切なんです。

というわけで今回は、「SSL（Secure Sockets Layer）」に関する学びを深めていただきたく、SSLに関するさまざまな話をします。
たとえば、SSLには「無料」と「有料」のものがあったり、三段階の「認証レベル」があったりします。
そういった、SSLにまつわる難しい知識をできるだけわかりやすく説明しますので、ぜひ最後までお読みくださいね。

---

●このページの目次

ディスク容量【500GB】集中アクセスに強い、KDDIグループのサーバー
法人向け CPI 共用レンタルサーバー（10日間無料お試し付き）の利用はこちら ＞

冒頭で説明しましたが、SSLには大きな役割があります。
それは、インターネット回線を介してやりとりされる情報を暗号化する、というものです。

ちなみに、SSLにはその役割以外にも、もうひとつ大きな役割があるんです。

それが、Webサイトの「所有者」が誰かを証明する、というものです。

それぞれの役割について、詳しく説明していきますね。

たとえば、クレジットカード情報を入力するECサイトがあったとしましょう。

もし、このECサイトがSSL化されていない場合、お客さまが入力したクレジットカード情報は、「誰でも読める状態」のまま、サーバーに届きます。
そうなると、第三者によってクレジットカード情報が盗み見される恐れがあります。

でも、このECサイトがSSL化されていれば、お客さまが入力した情報は暗号化された形でサーバーに届きます。
そうなれば、第三者はクレジットカード情報を盗み見ることはできません。

先ほど、SSLの証明書には「DV」「OV」「EV」と呼ばれる3つのレベルがあるといいました。
これらのレベル名は「どんな認証をおこなうか？」という意味を表しています。

それでは、上記3つの認証レベルにおいて、「CA」と呼ばれる認証局がどのようなアクションを起こすのかを見ていきましょう。

「DV（Domain Validation）」、通称「ドメイン認証」は、SSLの申請者がドメインの所有者であるということを証明するものです。
ただ、認証局はそのドメイン所有者の実在性チェックをしません。
よって、存在証明としては、最も低いレベルのものになります。

そのため、サイトの信頼性をアピールするには不十分ですし、「自分のサイトは絶対にフィッシングサイトではない！」といったアピールもできません。

だから、このDV（ドメイン認証）を検討する際は、そのあたりのリスクを考慮した上で導入しましょう。
ちなみに、後述しますが、今、無料で提供されているSSLの多くは、このDV認証のみ対応しています。

導入のコストが低いため、多くの企業や個人がこのDV認証によるSSLを導入しています。

ちなみに、申請者は申込時に「申請するドメインのSSLの暗号化鍵」を一緒に送ってくるので、認証局は申請者が「SSLの対応準備をしている」という確認ができます。
これは次に紹介する「OV（企業認証）」や「EV認証」も同じです。

「OV（企業認証）」や「EV認証」での手続きに比べると、この「DV（ドメイン認証）」の流れはとってもシンプルなんです。

この「DV（ドメイン認証）」の中には、実は「無料」で提供されるものと「有料」で提供されるものがあります。
「無料」と「有料」の違いはどこにあるのでしょうか？

■「無料」と「有料」のSSL（DV：ドメイン認証）の違いは？

「無料」と「有料」のSSL（DV：ドメイン認証）の違いは、サポートの有無です。
有料のSSLであれば、SSLの導入で何か困ったことがあった際に問い合わせすることができます。
有料でも無料でも暗号化の強度に違いはありません。

無料のSSLとして有名なのが、『Let's Encrypt（レッツ・エンクリプト）』です。
（「Let's Encrypt」という言葉は「さあ、暗号化しよう」という意味を表します）

この「Let's Encrypt」は、導入コストを最小限に抑えたSSLとして、2016年4月にサービス開始されました。
なぜ無料で使えるかというと、「SSLを全世界に普及させる！」というコンセプトに賛同した世界の大手企業がスポンサーとして支援しているからです。

「Let's Encrypt」では、申請の受付から証明書の発行まで、すべて自動で行われます。
そのため、レンタルサーバー会社が「サーバーの契約とともにすぐに使えるSSL」として顧客に提供しやすい側面があります。

実際、サーバーのコントロールパネル上で操作するだけで、カンタンに「Let's Encrypt」を導入できるようなレンタルサーバー会社が増えています。

Let's EncryptでSSL化されたサイトは、以下のような証明書が表示されます。

「OV（Organization Validation）」、通称「企業認証」は、そのドメインの管理者である企業・団体が実在しているということを証明するものです。
（※企業・団体のみに発行される証明書で、個人および個人事業主には発行されません）

先ほど紹介した「DV（ドメイン認証）」に比べると、実在証明が入る分、存在証明のレベルは高いです。
ただ、次に説明する「EV認証」に比べると認証のレベルは1段階低めで、企業・団体（組織や団体）の実在確認は電話でおこないます。
（「EV認証の場合は、書類の送付による所在地の確認までおこないます）

あなたのサイトがお客さまの個人情報を預かるサイトの場合、この「OV（企業認証）」によるSSL（もしくは「EV認証」）を導入しておけば、「どんな企業がお客さまの個人情報を預かるのか？」を伝えることができます。
そうすればお客さまも安心するでしょう。

ちなみに、この「OV（企業証明）」から、手続きは複雑になります。
たとえば、企業の「登記事項証明書」や帝国データバンク等のデータを確認するプロセスが入ってきます。

たくさんの人が動く分、導入する側のコストも増えるので、注意してください。

「EV（Extended Validation）」、通称「EV認証」も、そのドメインの管理者である企業・団体が存在しているということをより厳格に証明するものです。
（※企業・団体のみに発行される証明書で、個人および個人事業主には発行されません）

先ほど紹介した「OV（企業認証）」より認証レベルが高く、「EV認証」の場合は、書類の送付による所在地の確認などより厳格に審査をおこないます。
まさに、最高レベルのSSL証明書が「EV認証」なんです。

この「EV認証」には、次のような特長もあります。

ネットサーフィンしているとき、特定のWebサイトに訪れると、アドレスバーのURLが緑色になったり、企業名が表示されていたりするのを見たことはありませんか？
アドレスバーが以下のようになっているWebサイトは、「EV認証」によるSSLを導入しているんです。

上記のように、「EV認証」によるSSLを導入しているWebサイトは、Chrome以外のブラウザでアクセスすると、アドレスバーやURLなどが緑色になります。
この緑色が、より安全・安心を与えてくれるんですね。

ちなみに、Chromeはほかのブラウザとは少し違った視点をもっているため、アドレスバーから緑色の強調をなくしました。
その視点とは、「ユーザーは、どのWebサイトにおいても安全対策が十分おこなわれていると期待している」というものです。
よって、緑色の強調をわざわざ用いる必要はない、というのがChrome側の意見のようです。
（参考：進化するChromeのセキュリティインジケーター）

「EV認証」になると、かなり厳格な手順が踏まれているのがわかりますね。

---

では、この3つの認証について、あらためて表にまとめておきましょう。

	DV（ドメイン認証）	OV（企業認証）	EV認証
認証レベル	低い	それなりに高い	高い
費用	無料～数万円	数万円	数万円～十数万円
申請可能な対象	個人・法人	法人のみ	法人のみ
所有者の実在性の確認	なし	あり	あり
フィッシングサイト対策	なし	あり	あり

もし、企業サイトにSSLを導入する場合、安全・安心を最もアピールできる「EV認証」がオススメです。
ただ、EV認証のSSLを導入する際は、それなりのコストがかかります。

とはいえ、実はそのコスト感は、どこでどのようにSSLを導入するかによって、金額が大きく変わってきます。

たとえば、CPIのroot権限付 専用サーバー「ハイブリッドプラン」では、SSL導入のハードルを下げるために、大手のSSL証明書の料金割引率が最大58％も安くなる（！）特別クーポンが提供されています。
信頼感のあるSSLを導入したい企業にとっては、非常にお得なクーポンです。

■SSL導入の費用例（CPIサーバーの特別クーポンを使った場合）

（参考：CPI専用サーバーのSSL証明書）

どのSSLを導入するとよいのかを知りたい方は、CPIに問い合わせてみるとよいでしょう。

---

また、いきなり「EV認証」を導入するのはコスト的にちょっと・・・という方は、CPIの共用サーバーをお使いの場合、「DV（ドメイン認証）」のSSLが1ドメイン分、無料で提供されます。

しかも、CPIの共用サーバーの「DV（ドメイン認証）」のSSLは、『Let's Encrypt』ではなくCPIブランドの国産のSSL。
SSL導入のサポートが受けられます。

さらにいえば、CPIの共用サーバーはセキュリティ面で信頼できるだけでなく、手厚いサポート体制が魅力。
サーバーの「移転代行サービス」なども用意されているので、サーバー移転のコストは最小限で済みます。

SSLの導入が当たり前となりつつある今、SSLの導入を検討する際は、「どこのサーバーにSSLを導入するのか？」という視点をもつことのほうが大切かもしれません。
その点では、CPIの専用サーバーや共用サーバーは確実に候補に入ってくると思います。

ディスク容量【500GB】集中アクセスに強い、KDDIグループのサーバー
法人向け CPI 共用レンタルサーバー（10日間無料お試し付き）の利用はこちら ＞

あなたのWebサイトがよりセキュアなサイトになりますように。