SSLとは？「保護されていない通信」の原因と証明書の期限の確かめ方

SSL（TLS）証明書の有効期限とは？

TLS（SSL）証明書の有効期限とは、ホームページの通信を暗号化する仕組みに使う電子証明書（サーバー証明書）を、正しく使える期間の終わりの日のことです。期限を過ぎた証明書では、ブラウザがそのホームページとの安全な接続を確かめられなくなり、訪問者に警告を出します。

SSL（エスエスエル）とは、ホームページと閲覧者のあいだの通信を暗号化し、第三者による盗み見や書き換えを防ぐ仕組みのことです。正式には、SSL の後継である TLS（ティーエルエス）が使われています。SSL の最後の版である SSL 3.0 は、インターネットの技術標準を定める IETF が2015年に「使ってはならない」と定めており、今使われているのは TLS です。ただ、呼び名としては SSL が定着しているため、この記事でも「SSL（TLS）」と並べて書きます。

この項目は、ガーディアンの無料のホームページ診断では、新・七つの大罪の「大罪-14 TLS証明書有効」と、77's Check!! の「No.45 TLS 証明書有効」にあたります。どちらも、証明書の期限が切れていないか、切れかけていないかを確かめる項目です。ほかの診断項目の解説は、ホームページ診断の項目解説の一覧から読めます。

SSL・TLS・証明書・HTTPS の関係

4つの言葉は、「仕組み」「その仕組みに使う身分証」「仕組みを使った通信」の関係にあります。名前が似ていて混同されやすいので、最初に整理しておきます。

証明書を使える期間は、2026年から段階的に短くなっている

証明書を使える最長の期間は、2026年3月15日以降に発行されるものから200日になり、2029年には47日まで短くなります。これは、認証局とブラウザの開発元が参加する業界団体 CA/Browser Forum が2025年に決めた基準によるもので、これまでの最長398日から、3段階で短くする内容です。

この変更で、「年に1回、更新の案内が来たら手続きする」というこれまでのやり方は通用しにくくなりました。無料の証明書を発行している Let's Encrypt も、今は90日の証明書を、2028年までに45日へ短くすると発表しており、手作業での更新を避け、自動で更新する仕組みと、更新されなかったときに気づける監視を勧めています。証明書の期限の管理は、「忘れなければよい」作業から、「仕組みで回す」作業に変わりつつあります。

証明書の期限が切れると、何が起きるか

証明書の期限が切れると、ブラウザはホームページとの安全な接続を確かめられなくなり、訪問者に警告を出します。警告を見た訪問者はページを開く前に引き返すことがあり、問い合わせの前に訪問そのものが止まってしまいます。

Google Chrome のヘルプでは、アドレス欄の左のアイコンが「保護されていない通信」や「危険」の表示になっているときは、個人情報や機密情報を入力しないよう利用者に案内しています。問い合わせフォームや資料請求のフォームがあるホームページでは、まさにその入力をお願いする場面で、入力をためらわせる表示が出ることになります。

この項目のこわさは、「期限の管理を忘れただけ」で起きることにあります。ホームページの中身や作りに問題がなくても、証明書が1日切れるだけで、すべてのページに同じ警告が出ます。そして、社内の人がブックマークから自社のホームページを開いたときに気づくか、取引先から「警告が出ています」と連絡を受けて初めて分かる、という順番になりがちです。

有効期間が短くなったことで、この「うっかり」が起きる機会も増えるのが実情です。最長398日の時代は年1回の手続きで済んでいましたが、200日なら年2回、2027年からの100日なら年4回、更新の作業が回ってきます。手作業で更新しているホームページほど、期限切れの可能性を見直しておく必要があります。

自社のホームページで確かめる方法

証明書の期限は、ブラウザのアドレス欄から誰でも確かめられる情報です。ただし、期限の日付を見るだけでは不十分で、「次の更新を誰が、どうやって行うのか」まで確かめておくと、期限切れを防ぐ確認になります。パソコンでできる方法から順に紹介します。

1. アドレス欄の表示を見る
   パソコンのブラウザ（Chrome など）で自社のホームページを開き、アドレス欄の左にあるアイコンを見てください。警告のアイコンや「保護されていない通信」の表示が出ていれば、証明書が切れているか、HTTPS になっていないなど、何らかの問題があります。トップページだけでなく、問い合わせフォームのページも開いて確かめます。
2. 証明書の有効期限の日付を見る
   アドレス欄の左のアイコンを押し、接続の安全性についての項目から証明書の詳細を開くと、証明書の発行先と有効期間（いつからいつまで使えるか）が表示されます。期限の日付を控えておきましょう。表示の名前や場所は、ブラウザの種類や版によって少しずつ違います。
3. 「www あり・なし」の両方で開いてみる
   証明書は、対象のドメイン名を指定して発行されるものです。「https://www.example.co.jp/」と「https://example.co.jp/」の両方を開き、どちらも警告なく表示されるかを確かめます。片方だけ警告が出る場合は、証明書の対象にそのドメイン名が含まれていない可能性があります。
4. サーバーの管理画面で、更新の方法を確かめる
   レンタルサーバーやドメインの管理画面に入れる場合は、SSL の設定画面で、証明書の種類と「自動更新」が有効になっているかを見ます。管理画面に入れない場合は、制作会社やサーバーの管理会社に、自動で更新される設定かどうかを尋ねます。
5. 更新の案内や請求が、誰に届くかを確かめる
   証明書やサーバー、ドメインの契約で登録している連絡先のメールアドレスと、支払いに使っているクレジットカードの期限を確かめます。退職した人や、今は使っていないメールアドレスに案内が届いていないかが、見落としやすい点です。

まとめて確かめたい場合は、無料診断で20項目を一度に確かめられます。証明書の有効期限のほかに、検索に載る状態かどうかやスマホ対応など、ホームページの基本となる項目をあわせて確かめられます。

証明書の期限が切れてしまう、よくある原因

証明書の期限切れの原因は、大きく分けて4つあります。どれも、証明書を発行する会社、サーバーを管理する会社、契約や支払いを管理する自社と、担当が分かれているために起きやすいもので、誰か一人の不注意というより、受け渡しの問題です。

更新を手作業で行う前提になっている

有料の証明書の中には、期限が近づくと案内が届き、申し込みと設置を毎回手作業で行う種類があります。最長398日の時代は年1回の作業でしたが、有効期間が200日、100日と短くなると、作業の回数が増え、案内を見落としたときに期限が切れやすくなります。更新のたびに制作会社やサーバー会社へ依頼している場合は、この原因を疑ってください。

自動更新の設定があっても、更新が止まっている

無料の証明書などで自動更新が設定されていても、サーバーの移転やドメインの設定の変更をきっかけに、更新が止まることがあります。証明書を更新するときには、ドメインの持ち主であることを改めて確かめる手続きがあり、その確認が通らないと新しい証明書が発行されないためです。見た目では自動更新が「有効」のままなので、期限の日付を見ないと気づけません。

契約や支払いが切れている

証明書の料金を、サーバーの契約やクレジットカードの自動決済で支払っていると、カードの期限切れや契約の終了をきっかけに、証明書だけが更新されないことがあります。サーバーとドメイン、証明書の契約がそれぞれ別の会社になっている場合は、どの契約がいつ切れるかを一覧にしておかないと、見落としが起きやすくなります。

更新の案内が、社内の誰にも届いていない

契約のときに登録したメールアドレスが、退職した人や制作会社の担当者のものになっていると、期限の案内が社内に届きません。ホームページを作った当時の担当者が異動しているときは、まずこの点を確かめてください。

直し方（対策は3つ）

期限が切れた証明書は、新しい証明書を発行してサーバーに設置し直せば直ります。そのうえで、同じことが起きないように、自動更新と通知の仕組みを整えます。対策は、自社ですぐできること、制作会社やサーバー会社に頼むこと、仕組みで防ぐことの3つです。

対策1：期限と契約を一覧にし、通知が届く状態にする

最初にすることは、自社のホームページに関わる「期限があるもの」を一覧にすることです。前の章の手順2で証明書の有効期限を確かめ、あわせて、ドメインの契約期限、サーバーの契約期限、支払いに使っているクレジットカードの期限を書き出します。それぞれ「何の期限か／いつ切れるか／どこの会社か／更新は自動か手作業か／案内が届く連絡先」の形で表にしておくと、担当者が替わっても引き継げます。

次に、契約の連絡先のメールアドレスを、個人ではなく会社の共有アドレス（例：web@ や info@）に変えてください。担当者個人のアドレスのままだと、休暇や異動で案内を見落とす原因になります。あわせて、社内の予定表に証明書の期限の30日前と7日前の予定を入れておけば、自動更新が止まっていたときにも気づけます。

すでに期限が切れて警告が出ている場合は、この作業より先に、制作会社かサーバーの管理会社にすぐ連絡してください（対策2）。訪問者に警告が出ている時間を短くすることが、最初の優先順位です。

目安として、一覧づくりは担当者1人で30分〜1時間ほど、連絡先の変更は各社の管理画面で1社あたり数分です。自社で行えば費用はかかりません。

対策2：証明書の更新と自動化を、制作会社やサーバー会社に頼む

証明書の発行と設置、自動更新の設定は、サーバーを管理している制作会社やサーバー会社に頼みます。期限が切れている場合は、新しい証明書を発行して設置してもらい、www あり・なしの両方のドメイン名で警告が出ないことを確かめてもらいます。

あわせて、これからの更新を自動にできるかを相談します。有効期間が短くなるにつれて、手作業の更新は回数が増え、そのたびに見落としの機会が生まれます。無料の証明書を自動で更新する方法のほか、証明書の会社やサーバー会社によっては、有料の証明書を自動で更新できる仕組みを用意していることもあるので、今の証明書の種類と、会社として必要な証明書の種類を踏まえて選んでもらいましょう。Let's Encrypt の証明書はドメインの持ち主であることを確かめる種類（ドメイン認証）で、会社の実在まで確かめる種類（組織認証など）は発行していません。取引先の求めなどで組織認証の証明書が必要な場合は、その点も伝えます。

更新が終わったら、暗号化の設定そのものが古くなっていないかも、あわせて確かめてもらうと安心です。TLS の設定の考え方は、IPA（情報処理推進機構）の「TLS暗号設定ガイドライン」にまとまっています。

費用と手間は、証明書の種類と、今のサーバーの仕組みによって変わります。無料の証明書の自動更新を設定するだけで済むこともあれば、有料の証明書の購入や設置の作業が必要なこともあるため、まず今の状態を確かめてもらい、そのうえで作業の範囲と費用を相談するのが確実です。保守の契約がある場合は、その範囲に含まれるかもあわせて確かめておきましょう。

対策3：期限の監視と年1回の棚卸しで、再発を防ぐ

自動更新を入れても、更新が止まることは起こり得ます。Let's Encrypt も、自動更新に加えて、更新されなかったときに知らせが届く監視を勧めています。仕組みで防ぐポイントは3つです。

1つ目は、証明書の期限を監視して、期限が近づいても更新されていないときに知らせが届くようにすることです。サーバー会社や保守の会社が監視の仕組みを提供していることもあるので、知らせの送り先を会社の共有アドレスにしてもらいます。

2つ目は、年に1回、対策1で作った一覧を見直す棚卸しの日を決めることです。決算や年度替わりなど、毎年必ず来る時期に合わせると忘れにくくなります。証明書の期限だけでなく、ドメインとサーバーの契約、支払いのカード、連絡先のメールアドレスもあわせて確かめます。

3つ目は、ホームページのリニューアルやサーバーの移転のときに、証明書の確認を作業の手順に入れることです。移転のときは自動更新の設定が新しいサーバーに引き継がれないことがあるので、移転から1か月以内に一度、期限の日付が新しくなっているかを確かめると安心です。

制作会社に頼むときの伝え方

制作会社やサーバー会社に頼むときは、「今の期限」と「これからの更新をどうしたいか」を一緒に伝えると、確認が一度で済みます。証明書は、発行する会社、サーバーを管理する会社、契約する自社と担当が分かれやすく、誰が期限を見ているのかが決まっていないことがあります。頼めば整えられる設定なので、責任の所在を問うより、これからの分担を決めることを優先しましょう。

そのまま使える依頼文の例です。

あわせて、次の点を確かめてもらうと、更新の体制まで含めて把握できます。

• 今の証明書の種類（ドメイン認証・組織認証など）と、対象になっているドメイン名（www あり・なし）
• 更新は自動か手作業か。自動の場合、更新できなかったときに誰に知らせが届くか
• 証明書・サーバー・ドメインのそれぞれの契約の期限と、支払いの方法
• 更新したあとに、すべての主要なページで警告が出ていないか
• 暗号化の設定が、IPA の「TLS暗号設定ガイドライン」に照らして古くなっていないか

証明書の有効期限とあわせて確かめたい項目

証明書の有効期限は、ホームページを攻撃や事故から守る設定（サイト防御力）の1つです。同じ守りに関わる、次の項目もあわせて確かめておくと、「保護されていない通信」の原因を取りこぼしにくくなります。

• Mixed Content（混在コンテンツ）：HTTPS のページの中に、暗号化されていない画像やファイルの読み込みが混ざっていないか。一部のページだけ鍵マークが外れる原因になります。
• HTTPS への自動転送：「http://」で来た人を、自動で「https://」のページへ送る設定になっているか。
• HSTS：ブラウザに「このホームページは常に暗号化通信で開く」と覚えさせる設定が入っているか。
• WordPress のログインID露出：WordPress で作ったホームページで、ログインに使うユーザー名が外から見えていないか。

中小企業が攻撃の入口として狙われる理由と、侵入口ごとの対策は、中小企業のサプライチェーン攻撃対策にまとめています。診断の項目ごとの解説は、ホームページ診断の項目解説（サイト防御力）から読めます。

よくある質問

まとめ

• SSL（TLS）証明書の有効期限とは、通信の暗号化に使う証明書を使える期間の終わりの日のことで、過ぎるとブラウザが訪問者に警告を出します。
• 証明書を使える最長の期間は、2026年3月15日から200日、2027年3月15日から100日、2029年3月15日から47日へと短くなります。
• 期限はアドレス欄のアイコンから確かめられます。あわせて、自動更新の有無と、案内が届く連絡先を確かめます。
• 期限切れは、更新を手作業に頼っていること、自動更新の停止、契約や支払いの切れ、連絡先の不在から起きやすくなります。
• 更新と自動化は制作会社やサーバー会社に任せ、期限と連絡先の一覧、年1回の棚卸しは自社で持つ分担が、再発を防ぎます。

証明書の期限は、気づいたときにはすでに訪問者に警告が出ている、ということが起きやすい項目です。中小企業のホームページを制作し、公開後の運用と改善まで支える株式会社ガーディアンでは、証明書の有効期限を含む基本の項目を確かめる無料のホームページ診断を用意しています。