SSL証明書の有効期間短縮で何が変わるか｜社内で確認したい10項目

SSL証明書の有効期間短縮により、Webサイトの証明書は2027年3月から約3か月ごと、2029年3月からは約1か月半ごとの更新が必要になります。更新を担当者の記憶やカレンダー登録に頼っている企業は、今のうちに「誰が・どの証明書を・どうやって更新しているか」を確認しておくことをオススメします。

SSL証明書の有効期間短縮とは

SSL証明書（サイトが本物であることを証明し、通信を暗号化するための電子的な証明書）には有効期限があります。ここでいう更新とは、期限が来る前に新しい証明書に切り替える作業を指します。

有効期間のルールを決めているのは、業界団体「CA/Browser Forum」です。認証局（証明書を発行する事業者）とブラウザの開発元が参加しています。この団体が2025年4月、有効期間を段階的に短くする案を可決しました。証明書の発行日によって、最長の有効期間は次のように変わります。

SSL証明書の更新を人頼りにしない

年1回の作業であれば負担も少なく業務への影響は限定的ですが、年8回ともなると、これまでの運用方法では担当者の負担が一気に重くなってしまいます。

対策として、以下の3点を事前に決定しておくことをオススメします。1つ目は、自動更新の仕組みを取り入れること。2つ目は、自動更新が失敗した際に検知できる監視を入れること。3つ目は、問題が発生した際の対応担当者を決めておくことです。

SSL証明書の期限切れで困る理由

お客様の画面に警告が出て自社では気づきにくい

証明書が切れたサイトを開くと、Google Chromeでは「この接続ではプライバシーが保護されません」という警告画面が表示されます。多くの訪問者はここでページを閉じて離脱してしまいます。

やっかいなのは、警告を見るのがお客様や取引先だという点です。社内の担当者が毎日自社サイトを開いているとは限らないため、問い合わせや購入が減った後の原因調査や、外部からの連絡で初めて気づくケースもあります。

Webサイト以外のサービスも止まることがある

証明書を使っているのはWebサイトの画面だけではありません。スマートフォンアプリがサーバーとやり取りする通信、決済や在庫管理など外部サービスとの連携、社内システムのログイン画面にも証明書が使われています。

こうした裏側の通信で証明書が切れると、警告画面すら出ずに「アプリが読み込めない」「注文データが届かない」といった障害として現れます。原因が証明書だと分かるまでに時間がかかり、復旧が遅れやすくなります。

更新作業が担当者個人に依存しやすい

年1回の作業は、手順書が残りにくく特定の担当者しか手順を知らない状態になりがちです。そして更新の回数が増えると、その担当者に作業が集中します。

担当者が退職・異動したとき、どの証明書をどこで買い、どのサーバーに入れたのかが分からなくなるケースもあります。

有効期間短縮の4つの対策

自社で使っている証明書の一覧をつくる

最初に、自社が使っている証明書をすべて書き出します。コーポレートサイト、ECサイト、キャンペーン用の特設サイト、アプリ用のサーバー、社内システムなど、ドメインごとに1行ずつ並べます。

各行には、購入先、有効期限、更新の担当者、自動更新かどうかを記入します。管理シート作成は担当者や委託先への聞き取りで進められ、エンジニアでなくても取りかかれます。

自動更新の対象になっているか確認する

無料の証明書（Let's Encryptなど）は、多くのサーバー会社で自動更新が標準になっています。一方、企業の実在を審査する「企業認証（OV）」や「EV」の証明書は、更新のたびに申し込みや書類の確認が必要な場合があります。

自社の証明書がどちらに当たるのかを、購入先や委託先に確認してください。

期限切れを外から監視する

自動更新は、設定の変更やサーバーの移行をきっかけに止まることがあります。止まったことに気づく仕組みとして、証明書の残り日数を外部から定期的に確認する監視を入れておくと安心です。

残り日数が一定を下回ったら、担当者と委託先の両方に通知が届くように設定します。

対応する人と連絡経路を決める

監視から通知が来ても、誰も動かなければ意味がありません。通知を受け取る人、作業する人、作業できないときの代わりの人を決め、一覧に書いておきます。

想定される事例

以下は、よくある状況をもとに当社が作成した想定事例です。

ある通販企業では、コーポレートサイトとECサイトの証明書を制作会社が自動更新で管理していました。一方、年末セール用に別の担当者が立ち上げた特設サイトだけは、企業認証の証明書を手動で購入していました。

特設サイトの立ち上げ担当者はその後異動し、更新の案内メールは本人のメールアドレスに届いたまま誰も見ていませんでした。セール初日の朝、SNS経由で「警告が出て開けない」という声が届き、原因の特定と再発行に半日かかりました。

この企業がのちに見直したのは、証明書の一覧をつくって購入先の通知先を共有アドレスに変えたこと、そして残り日数の外部監視を入れたことです。

自己診断チェックリストで確認する10項目

分からない項目から順に、担当者や委託先に確認してください。

担当者・委託先への質問リスト

サーバーの管理を制作会社や運用会社に任せている場合は、次の質問をそのまま使用してください。

SSL証明書の更新で気をつけること

契約期間と有効期間は別物です。複数年契約で証明書を購入していても、有効期間の上限は200日、100日と短くなります。契約期間中に何度も再発行が必要になるため、購入先が自動で再発行してくれるのか、自社で手続きするのかを確認してください。

企業認証やEVの証明書は、再発行のたびに審査や書類の確認が入る場合があります。社内で押印や承認が必要な会社は、その手続きにかかる日数も見込んでおく必要があります。

サーバー会社の乗り換えやクラウドへの移行の前後は、自動更新の設定が引き継がれないことがあります。移行の計画書に「証明書の自動更新を移行後に確認する」と記載しておくことをオススメします。

また、スマートフォンアプリや取引先のシステムが、自社の証明書を個別に登録して通信している場合があります。この場合、証明書を差し替えると相手側の設定変更も必要になることがあるため、アプリの開発会社や取引先に事前に確認してください。

よくある質問

すでに持っている証明書もすぐに期限が短くなりますか

いいえ。短縮は証明書の発行日を基準に適用されます。発行済みの証明書は、発行時の有効期間のまま使えます。次に更新・再発行するときから新しい上限が適用されます。

無料の証明書を使っていれば対応は不要ですか

無料の証明書の多くはもともと有効期間が90日程度で、自動更新を前提に運用されています。ただし、自動更新が止まっても気づけない状態であれば、期限切れのリスクは残ります。監視と担当者の確認は必要です。

有効期間はなぜ短くなるのですか

証明書の情報が古いまま長く使われることを防ぎ、問題が見つかった証明書を早く入れ替えられるようにするためです。ブラウザを開発するAppleやGoogleなどが、この方向を後押ししてきました。

社内にエンジニアがいない場合はどうすればよいですか

まずはこの記事のチェックリストで現状を確認し、分からない項目を制作会社やサーバー会社に質問してください。証明書の更新を含めたサーバー運用を、まとめて専門の会社に任せる方法もあります。

株式会社ビヨンドの関連サービス

ビヨンドは、クラウドやサーバーの設計・構築から運用保守まで、まとめてお任せいただけるサービスを提供しています。

フルマネージドサービスでは、日本とカナダの拠点からエンジニアが24時間365日の有人体制でサーバーを監視し、障害時は原因調査から復旧、再発防止の検討まで対応します。サービスのリリース前や繁忙期の前には、運用面のリスクをまとめて洗い出すSecure Launch（リリース前・繁忙期前 診断）もご利用いただけます。

サイトの監視を自社で手軽に始めたい場合は、当社のWebサイト監視ツール「Appmill（アプミル）」がSSL証明書の有効期限チェックに対応しています。各サービスの最新の内容と料金は、公式サイトでご確認ください。

まとめ

1. この記事の10項目チェックリストを使い、自社の証明書をドメインごとに書き出す
2. 「分からない」が付いた項目を、質問リストを使って担当者や委託先に確認する
3. 2027年3月の100日化までに、自動更新と外部監視、対応する人の3点をそろえる

証明書の管理を含めたサーバー運用について相談したい場合は、お問い合わせフォームからご連絡ください。