【初心者向け】SSLサーバ証明書の選び方

こんにちは、コカコーラ大好きカジです。

社内WikiにSSLサーバ証明書の選び方について書いており、ブログ化の希望をもらったのでブログにしてみます。

誤りがありましたらご指摘頂けると幸いです。

SSLサーバ証明書の種類

SSLサーバ証明書は、「SSLによる通信の暗号化」と、「ウェブサイト運営者の身元証明」という2つの機能があります。

暗号化の機能は、認証局や証明書の種類による違いはほとんど無いです。

身元証明の機能は種類によって大きく異なり、種類としては大きく分けて3種類あります。

ドメイン認証（クイック）

ドメイン認証（DV: Domain Validation）

ドメイン名義と運営者の一致のみ確認し、実在確認はしません。

AWS Certificate Manager (ACM)で発行するパブリック証明書もドメイン認証となります。

企業認証

企業認証（OV: Organization Validation）

団体存在確認（登記事項証明書や第三者データベース）

申請責任者の在籍、役職、電話番号確認、電話確認

EV

EV（Extended Validation）

団体存在確認・実在確認（登記事項証明書や第三者データベース）

EVSSL申請責任者確認書の送付・返却

申請責任者の在籍、役職、電話番号確認、電話確認

技術担当者の在籍、電話番号確認、電話確認

簡単な比較表

証明書の種類	EV	企業認証	ドメイン認証
納期	長い	中ぐらい	短い
ブラウザでの表示	鍵マーク+緑のバー	鍵マーク	鍵マーク
ドメインの認証	◯	◯	◯
ウェブサイト運営者の実在確認	◯	◯	-
認証レベル	高	中	低
費用	高	中	低

証明書発行までの認証プロセス概要図

EVは細かい審査があるので、安心感がありますね。一方、ドメイン認証は実在確認していないので、運用者が実在するか確認していないですね。（認証局によってはドメイン認証でも実在確認しているところもあると思います。）

SSLサーバ証明書のオプション

上記の種類の他にオプションがあります。

ワイルドカード

同一のドメイン配下の複数の異なるサブドメインに利用できるSSL証明書。

コモンネームに「＊.example.com」を指定することで「www.example.com」や「api.example.com」、「admin.example.com」といったサブドメインが異なるサイトを1枚の証明書でカバーすることができる証明書です。

「＊.example.com」で発行されている場合、「example.com」と「＊.example.com」がSubject Alternative Nameに登録されて一般的に利用可能ですが、まれに「example.com」と「＊.example.com」は別の証明書となる認証局もあるので、要確認です。