こんにちは！ロリポップCRチームのotomiです。
今や必須ともいえる独自SSLとは何か、なぜ利用する必要があるのかを、SSL/TLSの仕組みを踏まえて解説します。ご自身のサイトに合った独自SSLを設定し、訪問者が安心して利用できるサイトにしましょう。
当記事では分かりやすくお伝えすることを目的にしているため、可能な限り専門用語を使わずに説明しています。
SSL/TLSとは
SSL（Secure Sockets Layer）とは、インターネット上でのデータのやりとりを暗号化し、第三者に情報をのぞかれたり盗まれたりしないようにする通信方法のことです。インターネット上の通信を安全に保つセキュリティプロトコルと呼ばれるものの一種です。
インターネットは大学や研究所のコンピュータ間のネットワークとして開発されました。開発された当初はここまで広く普及することは想定されておらず、悪意を持った人が関わることのない性善説に基づいた設計が行われています。
そのため通信を盗み見たり、改ざんなどが知識のある人ならば比較的簡単に行えてしまいます。
基本的な仕組みは今も変わっておらず、HTTPプロトコル（http://から始まるURLのサイトへのアクセス）での通信は暗号化がされていません。
インターネットが普及し我々の生活に欠かせないものになってくるにつれ、個人情報やクレジットカードの情報など、ショッピングサイトに代表される第三者に知られるべきではない情報を取り扱うサービスを提供するサイトが現れるようになりました。
便利になった反面、通信が暗号化されていないことが問題となってきます。
そこでSSLが誕生しました。SSLは「通信の暗号化」を行います。途中で通信を盗み見られたとしても、暗号化されているため解読は困難となります。
SSLで暗号化された通信は送信側のデータと受信側のデータが同一であり、改ざんされていないことの確認も行っています。そのため通信の改ざんの防止にも役立ちます。
SSLとTLSについて
なお、SSLは各バージョンにおいて脆弱性が発見されており、最終バージョンである3.0においても2014年に大きな脆弱性が発見され、使用が禁止されました。
現在ではTLS（Transport Layer Security）という新しい暗号化規格が一般的に利用されています。
そのためSSLは使われていない規格の名称になりますが、通信の暗号化の規格として広く使われていることを踏まえ、旧規格の名称を含んだSSL/TLSと呼ぶことが多くあります。
ロリポップの共有SSLと独自SSLについて
SSL/TLSを利用できるサービスとしてロリポップが提供しているものに、「共有SSL」「独自SSL」があります。
共有SSLはロリポップ！のドメインに対して、独自SSLは独自ドメインに対して設定するSSLのことです。
共有SSLは設定の必要なく利用可能です。詳細については以下のマニュアルをご参考ください。
当記事では主に独自SSLについて説明します。
独自SSLを設定する大切さ
独自SSLを設定することにより、独自ドメインのサイトに対してアクセスした際に、訪問者のパソコンやスマートフォンなどの端末（クライアント）と、ロリポップのサーバーとの間の通信が暗号化されます。
自分のサイトは個人情報を扱わないから大丈夫、と思って未設定のままだったりしていませんか？独自SSLが設定されておらず暗号化されていないままだと、以下のようなことが起こりえます。
通信の盗み見や改ざんを防ぐ
- サイトにBASIC認証を設定している場合
- 認証するための情報が盗み見られ、悪意のある第三者にBASIC認証を突破される可能性があります
- 掲示板を設置している場合
- 掲示板への書き込みの通信を改ざんされ、訪問者が掲示板へ投稿する際にフィッシングサイトへの誘導、誹謗中傷などの内容へ書き換えられる可能性があります
訪問者の離脱を防ぐ
- ブラウザでの警告表示
- Google Chromeなどの各ブラウザにおいて、http://から始まるURLでサイトにアクセスした際に、安全でないページであるような警告が表示されます
- この警告により、訪問者が不安を感じサイトから離脱する可能性があります
どのようなサイトであっても独自SSLを設定することはセキュリティを高め、訪問者へ安心感を与えるために簡単で効果的な手法の一つです。
ロリポップでは無料の独自SSLも提供しています。この機会に是非独自SSLを設定しましょう！
独自SSL（無料）の設定方法
無料の独自SSLの設定方法を説明します。
設定するまでの手順は以下のマニュアルをご参考ください。以下のマニュアルでは無料の独自SSLの設定手順を案内しております。
独自SSLを利用するには独自ドメインがロリポップのサーバーを表示する設定になっている必要があります。
ネームサーバーやAレコードがロリポップ以外のサーバーの情報になっていると設定ができません。もし独自SSL設定が完了しない場合は、以下のページを参考に、独自ドメインの設定をご確認ください。
「SSLを設定できません。」と表示されて無料の独自SSLを利用できません
有料の独自SSLの設定方法については以下を参考ください。
ロリポップでは3種類の有料の独自SSLを提供しており、価格が高いものほど認証レベルが高くなります。有料の独自SSLの特徴については独自SSL（PRO）・企業認証SSL・EV SSLについてに記載があります。
無料と有料で通信の暗号化の強度に違いはありません。どちらも同じレベルのセキュリティの強度を保っています。
個人で運営している趣味のサイトなどは無料のもので十分でしょう。
独自SSL設定後の注意点
独自SSL（無料）を設定すると、通常10分もかからずに通信の暗号化が行われるようになります。
設定後は必ずサイトの表示を確認するようにしましょう。
サイトの作りによっては表示が崩れたり、設定前と同じようにブラウザ上に警告が出つづけるといったことがあります。
ブラウザ上に警告が出る時の対策
これはMixed Contentと言われる、https://から始まるURLでアクセスしているにも関わらず、ページ内のリンクにhttp://から始まるURLが存在することが主な原因です。
以下の記事でMixed Contentについて解決方法などを説明しています。もし独自SSL設定後にサイトに意図しない挙動が発生した際はぜひ一度ご覧ください。
SSL化したらサイトの表示が崩れた！？独自SSL設定後の注意点
また、独自SSLを設定した後に独自ドメインのAレコードなどの変更を行った場合にも注意が必要です。
独自SSLを利用するためには証明書と言われるものを発行します。発行後も一定期間で更新する必要があります。
この証明書はデジタルなものであり、紙などの実体はありません。サーバーなどにインストールされる仮想的な証明書です。
ロリポップの無料の独自SSLの証明書は2021年12月現在、約90日間隔で更新されます。
証明書の更新は自動で行われるため利用者は何もする必要はありませんが、更新のタイミングで独自ドメインがロリポップのサーバーを表示する設定になっていない場合、更新に失敗し、証明書の期限が切れて独自SSLが利用できなくなります。
証明書の期限切れ後に独自ドメインの設定をロリポップのサーバーを表示するものに戻しても、自動的に証明書の再発行は行われないため再度ユーザー専用ページからの独自SSLの申し込みが必要になります。
まとめ
SSL/TLSの仕組みと、独自SSLを設定する必要性、設定方法や注意点などを説明しました。
SSL/TLSで使われている技術は非常に複雑ですが、設定方法などは簡単です。
正しい知識を持ち、適切に設定することで通信の盗み見や改ざんの防止、安心してサイトを訪問してもらえるようにしましょう。
※2021年11月11日に掲載した「SSL証明書とは？セキュリティを高めて信頼も高める仕組みをやさしく解説。」の記事内容に誤りがあったため、内容を訂正いたしました。
