SSLサーバー証明書の取得 ～ ネットショップの身元証明

ここでは、独自ドメインによる SSL ウェブサイト運用に必要な SSLサーバ証明書の仕組みと取得方法について説明します。

ショップの身元を証明・保証する仕組み

インターネット上に存在するネットショップは　"バーチャル（仮想）店舗" であり、実際に店舗は存在する訳ではありません。そのため、利用者はショップ運営者が実在するのか第三者が証明する技術的な仕組みが必要となりました。

通信経路の暗号化と、公の機関（第三者）が、サイトの身元保証を行う仕組みがNetscape 社の開発したSSL暗号化の仕組みであり、今日の E ビジネスを支えています。

公的認証機関（CA）から証明書を取得に関して

SSL暗号化は、単に通信を盗聴、改竄から守るだけではありません。SSL暗号化に使用する証明書は公の認証機関（CA）から取得しますが、取得には身元を証明するための審査が必要となります。

証明書の種類

証明書には目的に応じていくつかのタイプがありますが、ここでは Webサイトの暗号化を目的としたSSLサーバ証明書となります。つまり、ドメインに対して発行されるため独自ドメインによる運用が可能であり、同時にネットショップ運営者の身元を証明する事が出来るようになるという訳です。

ホスティングサービスでは、独自SSL という表記で、サイト証明、SSL暗号化を可能としているサービスがあります。 また、標準で SSL証明書が付属するコストパフォーマンスに優れたレンタルサーバも存在しますが、証明書によっては実在証明を行わないケースもあります。

公の認証機関（CA） について

盗聴、改竄に関する安全性は、どこの公的認証機関（CA）が発行する証明書であっても、盗聴や改竄から保護する事が出来ます。認証機関によって安全性に違いがあるという訳ではありませんので誤解のないようにして下さい。（利用できる用途、提供サービス、価格の違いはある）

公的認証機関（CA）からサーバー証明書を取得する事で、独自ドメインでSSLによる通信の保護が行えるようになります。

独自CAが発行するサーバー証明書の場合

自分の立ち上げた認証機関（CA）は、信頼できる認証機関としてブラウザに登録されていないため、要約すれば

「このサイトの身元は保証出来ない、警戒なさい。」　

という旨のメッセージが表示されます。（ FireFox の警告は一般の方にも分かり易いと思います）

暗号化の目的は果たせるので、自分用に外部から安全にWEBを経由するサービスに接続できるようにしている訳です。このような証明書は、暗号化による保護は行えても不特定多数に公開するショッピングサイトでは利用できません。

身元を証明する事が出来ないため、（お金を振り込ませて商品を発送しないクレジットカード情報を盗むといった） 詐欺サイトである可能性があるからです。

共用SSL の場合は、警告を出しませんが、これは公の認証機関（第三者）が発行した証明書であり、証明される身元は、サーバ証明書を取得している事業者、この場合、ホスティングサービス事業者であり、ショップ運営者ではありません。

サイトの身元証明が行われているかの見分け方

一般の方がサイトの身元証明について判断するには、以下の点に注目されれば分かり易いかと思います。

• ショップの身元が証明されるケース（独自取得のSSLサーバ証明書）
  • https:// と表示されるアドレスで、且、同じドメイン名の場合、ブラウザが警告を出さなければ、そのサイトは、公の機関から身元証明を受けたショッピングサイトであることが分かります。また、一般利用者にも視覚的に分かり易くする為に、認証機関が証明した事を示す、サイトシールが貼られている場合もあります。
  • 
• ショップの身元が証明されないケース（共用SSL 又は　決済代行を利用）
  • ブラウザが警告を出さない場合で、ドメイン（アドレス）がショップのアドレスと異なる場合は、ショップ運営者の身元は証明されていません。

これらの理由から、SSLで暗号化されておりブラウザが単に警告を出さなければ、ショップ運営者は信頼出来るという事になりませんし、あくまで第三者による実在証明であって、ショップ運営者が信頼できる事を指名している訳でもありません。

SSLサーバー証明書を取得するには.

SSL 暗号化に必要なサーバー証明書取得の申請は、以下の認証機関から行えます。以前は、法人資格が必要でしたが、現在では個人、自営業者でも取得が可能になっています。（法人のみのCAもあります）

■グローバルサイン （クイックSSLプレミアム） . グローバルサイン（旧名 = 日本ジオトラスト）は、レンタルサーバー事業最大手の GMO インターネットグループの認証機関（CA）です。グローバルサインが発行する証明書は、全てオンラインによる申請で、24時間以内のスピード発行であり、個人、法人を問わず簡単な作業で証明書を取得する事が出来ます。低価格であり、個人で運用するネットショップにも最適です。知名度の高い認証機関です。

■CSP セントラル警備保障 セントラル警備保障の認証機関（CA）です。2006年2月にスタートしたばかりで、認証機関としての知名度は低いですが、ベリサインと同様に損害賠償補償付きながら低価格であるのが特徴です。

証明書の有効期限について

証明書には有効期間があります。通常は 1年 / 2年　ですが、この期間を過ぎた場合、証明書の期限が過ぎておりサイト運営者を証明する事は出来ないという旨のメッセージがブラウザで表示されるようになります。

価格比較

保証額や有無・サイトシールもありますので、一概に高い、安いの比較は出来ませんが、主要商品の価格比較です。

2006年6月現在
詳細はWebサイトで確認して下さい。

取得したSSLサーバ証明書の利用について

取得したサーバー証明書は、WEBサーバー側で適切な設定を行う必要があります。自由にサーバーの設定が行える自社サーバーや専用レンタルサーバーの場合は自分で設定を行うことが出来ますが、ホスティングサービスの場合は注意が必要です。

持ち込みを前提としている、事業者が取得代行した証明書に限る、など共用レンタルサーバーでは事業者により対応が異なります。必ず、確認してから申請するようにして下さい。

専用レンタルサーバーを利用している場合で、詳しい管理者がいない場合は、レンタルサーバー事業者側で設定代行を行ってくれるか、確認して下さい。

この標題のトップへ　５ / ５