常時SSLで使う証明書は有料のものがいいか無料でもいいのかの判断、当面は無料のSSL証明書で十分

2019.11.122022.09.05

この記事は約4分で読めます。

企業サイトは「https」で始まる常時SSLが必須の状況になってきた。この常時SSLにするためには証明書の発行が必要だが、証明書を発行する団体により「有料のSSL証明書」と「無料のSSL証明書」がある。
無料のSSL証明書でよいのかどうかという質問をよくされるようになってきたが、中小企業ならば当面は「Let’s Encrypt」などの無料証明書で十分だと考える。その理由は以下のとおりである。

SSL証明書は３種類

SSL証明書には、DV（ドメイン認証）、OV（実在認証）、EV（EV認証）の３種類がある。まずこの３種類を確認しておこう。それぞれの違いは以下のとおりである。

DV（ドメイン認証）は、文字通りドメイン名で認証する方式。無料版の「Let’s Encrypt」はドメイン認証型のSSL証明書である。

OV（実在認証）は、組織情報の審査を通らないと発行されないSSL証明書である。そのためサイト運営者なりすまし防止としても有効。発行されるSSL証明書の属性には組織情報が設定される。この手続のため人手がかかり、無料のサービスはない。シマンテックやジオトラストなどが証明書を発行している。

EV（EV認証）は、実在認証（OV）よりも厳格な審査を経てから発行されるため信頼度が最も高い。大手通販サイトや金融機関などが採用している。

▼ジャパンネット銀行のSSLはサイバートラストのEV認証

このように３種類のSSL証明書があり、３種類は信頼度の階級を表しているといえる。信頼度の高い順ならば、EV→OV→DVとなる。もっとも信頼度の高いSSL証明書を使いたいのならばEVがよいということである。

中小企業のSSL証明書はDV（ドメイン認証）で十分

３種の証明書のうちどのレベルの証明書を使うべきか。現在は３種類のSSL証明書の信頼度の差はそれほど認識されていない。SSLであるかどうかのほうが重要な局面だからである。ならば、費用面と手続きや管理面のメリットとデメリットで判断すると無料の証明証で十分ということになる。

もう一つ気になるのが、GoogleがSEO的にどう判断するかである。

２年ほど前から、Googleが提供しているブラウザ（クローム）では、SSLではないサイトでは警告がでるようになっている。

Googleは、数年前から常時SSLサイトでない場合はサイトの信頼性が低いということで検索順位を引き下げるアルゴリズムになっている。

しかし、SSL証明書の階級の違い（DV/OV/EV）でSEO的な区別はしないとしている。

つまり、SEOの観点から常時SSLをどうすべきか考えるならば、ドメイン認証の無料SSL証明書で十分ということである。

これはあくまでも、現段階の判断であり、もし将来Googleが「同じSSLでもEVの評価を高くする」という判断をするようになったら、その段階でSSL証明書の階級を上げるかどうかを判断すればいい。

中小企業者にとって、自動更新により半永久的に使える「Let’s Encrypt」などの無料SSL証明証のほうが管理もらくで、現在では最適な選択だといえる。

以下は、さくらインターネットの「無料証明書と有料証明書の違い」についての解説より引用した内容である。

無料証明書と有料証明書の違い
https://ssl.sakura.ad.jp/column/free-or-paid/

無料の証明書

メリット

費用がかからない

Let’s Encryptの場合、スクリプトを設定すれば自動更新が可能

デメリット

手厚いサポートが受けられない

無料で取得できるためフィッシングサイトなどで悪用されることが多い

自動更新に対応していないレンタルサーバーでは90日に1回手動で更新しなければならない

自動更新スクリプトを設定するにしても面倒なことがある

運営基盤の資金が寄付で支えられている場合、通常の認証局よりサービス提供終了のリスクが高い

有料の証明書

メリット

手厚いサポートを受けられるものが多い

より信頼性の高い認証方式（OV/EV）の証明書を選ぶことができる

有効期間が最長2年の証明書を購入できる（2018年2月28日までは最長3年）

デメリット

費用がかかる

自動更新に対応していないものが多い