Lab.のWebに詳しくないWeb担当者のためのブログWebに詳しくないWeb担当者のためのブログ当サイト(getting-better.jp)では、ユーザーの利便性向上・サイト運用のための分析・マーケティング活動等のためにCookie(クッキー)を使用しています。利用目的に同意いただける場合、「同意」ボタンを押してください。ご同意頂けない場合は「拒否」ボタンを押してください。「拒否」を選択された場合、「拒否」の選択を記録するCookieは保存しますが、Googleに対しては一切データを送信せず、関連するCookieも削除します。企業サイトSSLと聞くと通信の暗号化というイメージが強いですが、もう一つの重要な役割として「サイト運営者の実在証明」があります。フィッシングサイトによる詐欺被害の広がりに伴い、この実在証明が通信の暗号化以上にセキュリティ対策として意味を持つようになりました。サイト運営者の実在を証明するのが「SSL証明書」。どれも同じように見えますが、認証局や認証のプロセスによって実は大きな違いがあるのです。SSL証明書って?本当に簡単なおさらいSSL証明書とは、「第三者機関が発行する電子証明書」のことを指します。ここで言う第三者機関とは認証局と呼ばれる組織で、シマンテック社やグローバルサイン社などが代表的です。認証局から発行された証明書がインストールされているWebサーバなら、通信が傍受されにくい暗号化通信が実装できます。※SSL通信の仕組みについてはこちらのブログ記事もご参照ください。SSL通信についてわかりやすくイラストにしてみましたただし、この認証局がそもそも「信用に足る認証局」でないとセキュリティとしては十分とは言えません。SSL証明書を使っているフィッシング(詐欺目的の)サイトである可能性もあるためです。SSL証明書の3つの認証レベルSSL証明書は発行のプロセスでどのような審査を行っているかによって、3つの認証レベルに分かれます。1.ドメイン認証ドメインが実在しているか、までを確認し発行される証明書です。簡単に取得はできますが(個人でも取得できます)企業の実在証明にはなりません。ドメイン所有者の情報(Whois情報)から組織の実在情報を第三者機関(帝国データバンクなど)に照会し、実在確認を行います。Validation)認証フィッシングに代表されるSSL悪用の増加を受け、組織に対する審査方法を世界で統一的に定めたSSL証明書です。第三者機関への照会に加え、企業や組織の実在を証明する手続きが必要となります。SSLを導入する価値があります。SSL以外の選択肢はありません。SSLとは認証プロセスの信頼度が異なります。仮にそのドメインを所有している企業がペーパーカンパニーである場合、第三者機関への照会だけではその実態をつかむことが難しいケースもあるでしょう。最近ではブラウザのアドレスバーに企業名が表示されるなど安全性・実在性が視覚的にわかるようにもなっており、ユーザーに向けた訴求という側面も見逃せません。ITリテラシーやセキュリティリスクへの関心が高い(オンラインで株などの取引を行う投資家やIT関連の取引先といった)ステークホルダーに対して「セキュリティ対策をしています」というアピールにもなるはずです。導入へのネックとなる価格に関しても企業が年間で負担する経費としてはそれほど高額な訳でもありませんし、ISO規格やプライバシーマークの取得といった対策とは比較するまでもないでしょう。SSL証明書をおすすめしています。どの認証局のSSL証明書を取得する?さて、SSL証明書導入の際にどの認証局の証明書を選ぶかは案外悩ましい問題です。どれも同じように見える証明書も価格差がそれなりにあり、安価なのは魅力だけれど「安かろう悪かろう」では困るという心理も働きます。はいっても暗号化の機能について、どのSSL証明書もほとんど差はありません。EV認証であれば実在証明の基準も世界的に統一されているので、差別化要因もあまり見当たりません。実装の点で一つ挙げるとするなら「ルート証明書がクライアントのデバイスにインストール済み」であるかどうかは確認しておいた方がよい場合があります。SSL通信を実現する技術として「公開鍵認証(PKI)」という仕組みがあり、これはサーバにインストールされているSSL証明書(電子証明書)と照合するための「ルート証明書」がデバイス側に必要となります。主要な認証局のルート証明書は多くのデバイスにプリインストールされており、特別な設定をしなくともSSL通信が可能となっています。注意が必要なのはフィーチャーフォン(いわゆるガラケー)や古いモデルのPC・スマートフォンなどに対応する必要がある場合です。新興の認証局が発効する証明書の中には古いデバイスにインストールされていないルート証明書もあり、こうしたケースではインストールされているルート証明書の認証局を選ぶ必要があります。※どの認証局の証明書がインストールされているかはデバイスの設定画面などで確認できます。サポートやオプションなども認証局によって差があります。複数ドメインで導入が必要であれば、一つの証明書で対応出来るオプションは必須です。「安心を買う」という心理的側面も高いSSL証明書、やはり最後は安心感や信頼感といったブランド力が実際には決め手となるでしょうか。SEOでも「ちょっとだけ」有利な常時SSLSSLにまつわる最近のトレンドとして「常時SSL(フルタイムSSL)化」が挙げられます。常時SSL化とはフォームなどの機密情報が送受信されるページだけでなく、サイトすべてをSSL化することです。Googleが推奨したことで一気に導入が進んでおり、この流れが止まることはないでしょう。検索エンジン上でもSSLを導入したサイトを(少しだけですが)優先的に表示させることを公にしています。SEOにおいても常時SSL化したほうが(少しだけ)有利ということです。さまざまなビジネスシーンでWebコミュニケーションが必須となった近年、企業の実在証明や安全な通信環境の提供は「当たり前」の条件となりつつあります。SSL導入や常時SSL化にかかる費用は決して高くはないはずです。※2016年9月9日時点のニュースで、ついにSSL対応していないサイトに対しては「安全でない」と警告を出す方針であることをGoogleが明らかにしています。http://gigazine.net/news/20160909-chrome-mark-http-non-secure/(追記:2019年6月27日)すでに多くのブラウザでSSL対応できていないサイトには【保護されていない通信】というアドレスバー上での警告が表示されるようになっています。新たな記事「SSL証明書」についてわかりやすくイラストにしてみましたの公開に合わせて追記しました。Webサイトのリニューアルプロジェクトを立ち上げる前に読んでおきたい記事5選おすすめ記事OODAループでWeb担当者の業務改善のすすめ(キャンプ篇)予算の話。Betterとは企業の忙しいWeb担当者の方のために、コーポレートサイトやオウンドメディアの運営に欠かせない情報やトレンド・ノウハウを解説するブログです。日々のサイト運営のご参考になれば幸いです。Lab.」となりました。