Keen本記事は、原著者の許諾のもとに翻訳・掲載しております。数週間前に、他の主要なサイトの証明書と一緒にStripeのSSL証明書が無効になりました。それらのサイトの証明書が有効期限切れになったわけではなく、認証局のルート証明書の有効期限が切れてしまったのです。これは起こってはならないことですが、他の恐ろしいことがそうであるように、起こってほしくないときにむしろ発生してしまうものです。サービスプロバイダの証明書が有効期限切れになることに対しては、それを防ぐための対策として自分でできることはあまりありません。自分の証明書が有効期限切れになることに対しては前もって対策を立てることができます。大きなポイントとしては、スケジュールとプロセスを確立することです。スケジュールこれは簡単にできます。”SSL証明書をチェックする”というカレンダエントリが毎月自動更新されるように設定するだけです。カレンダエントリが上がってきたら、自分のWebサイトに行き、鍵のアイコンをクリックして証明書をチェックします。チェック項目を以下に挙げておきましょう。EV証明書の場合は、タイトルバーに社名が出ているはずです。通常の証明書の場合、FirefoxやChromeでは緑色の鍵、Safariではグレーの”https”が表示されています。少なくとも有効期限が切れる前日までに、前もって証明書を更新しましょう。これはSSL証明書を1つ持っているとしたらやるべき最小限のことです。2つ以上の証明書を持っていたり、もっと何か対策を行いたいと思っていたりする場合は、世の中にはいくらでも無料のそして有料のSSLモニタリングサービスがありますので、そのようなサービスを使えば、証明書に問題がないかどうかを四六時中チェックすることができます。プロセス証明書を更新するためのプロセスは、多少なりともインフラストラクチャに依存します。一般的な考え方は変わりません。新たな秘密鍵を生成する方法を知っていることその鍵から新たなCSRを生成する方法を知っていることそのCSRを使ってプロバイダで証明書を更新する方法を知っていること新たな証明書をインストールする方法を知っていること証明書を更新する際は、あなたの知らないところで秘密鍵が漏洩しているかもしれないので、毎回新たな秘密鍵を使うべきだということに気をつけましょう。LabによるSSL/TLSデプロイメントのベストプラクティス」(pdf)を読んでみてください。Herokuを使っていて、このようなことが非常に面倒に思う場合は、ExpeditedSSLのアドオンをチェックしてみることをお勧めします。私が挙げたような手順をすべて自動化し、SSLの状態を保つことができますよ。私は自分のサイト全てをVPS上で運営していますので、あらゆることを自分自身で管理できるという特権があります。そこで、覚えるのが難しい手順を私の代わりに管理してくれるRakefileをまとめました。鍵や証明書と同様にプライベートなソース管理の領域に置いてありますが、今のところ以下のような感じになっています。valendとてもシンプルな仕組みです。ここでやっていることは完全に適格なドメイン名を入力し鍵とCSRを出力するということだけです。使えるものがあれば、すでに存在している鍵を再利用します。クリップボードにCSRをコピーする機能があるので、プロバイダのWebサイトにペーストするだけでいいのは便利です。証明書のインストールは、インフラストラクチャに依存します。Herokuには、Amazonと同様に、いい指針があります。Nginxを使っているのであれば、自分の証明書や中間証明書からPEMファイルを生成する必要があります。上記のRakefileにはassemble_certという名のタスクがあり、Nginxに適したPEMファイルを構築することができるのです。非常に重要な注意:証明書をまとめる時に順序性が必要になりますが、その順序性を反映させるため、assemble_certのタスクの変更は確実に行ってください。このスクリプトはNamecheapが発行したComodoの証明書に対しては正しいファイルを生成しますが、他の認証プロバイダでも使えるかどうかの保証はありません。ツイート翻訳に対するフィードバックがございましたら、メールまたはGitHubのIssueよりお寄せください。Ltd.リクルートグループサイトへ。