WebサイトのSSL証明書といえば「年に一度更新するもの」というイメージを持っている方も多いと思います。ところが2026年3月以降、その前提が大きく変わりました。証明書の有効期間が業界全体で段階的に短縮されており、これまでの管理方法では対応できなくなってきています。
今回はSSL証明書の基本的な仕組みを整理しつつ、現在進行中のこの変化についてまとめます。
- SSLとは何か ― TLSとの関係
- 鍵マークが表示されるまでの仕組み
- 証明書の種類 ― DV・OV・EVの違い
- 有効期間の短縮が始まった ― 2026〜2029年の変化
- 「鍵マーク＝安全」は正しいか？
- まとめ
SSLとは何か ― TLSとの関係
SSL（Secure Sockets Layer）は、インターネット上の通信を暗号化する技術です。現在は改良版のTLS（Transport Layer Security）が使われていますが、慣習的に「SSL」と呼ばれ続けています。両者を合わせて「SSL/TLS」と表記されることも多く、意味はほぼ同じと捉えて問題ありません。
SSLによって暗号化された通信では、仮に途中でデータを傍受されても内容を読み取ることができません。ログイン情報や個人情報といった重要なデータを安全に送受信するための基盤となっています。
鍵マークが表示されるまでの仕組み
ブラウザがhttpsのサイトに接続するとき、バックグラウンドでは以下のような流れが走っています。
証明書の種類 ― DV・OV・EVの違い
証明書には認証の厳格さによって3種類あります。
| 種類 | 認証内容 | 主な用途 | コスト感 |
|---|---|---|---|
| DV（ドメイン認証） | ドメインの所有確認のみ | 個人ブログ、社内ツール | 無料〜低コスト |
| OV（組織認証） | 組織の実在確認あり | 企業Webサイト全般 | 中程度 |
| EV（拡張認証） | 最も厳格な審査 | 金融機関、ECサイト | 高め |
DVはLet’s Encryptのように無料で取得できるものもあります。ただし後述の有効期間短縮を踏まえると、どの種類であっても自動更新の仕組みを整えることが今後の必須条件になっていきます。
有効期間の短縮が始まった ― 2026〜2029年の変化
2025年4月、SSL/TLS証明書のガイドラインを策定する業界団体「CA/Browserフォーラム」において、証明書の最大有効期間を段階的に短縮することが正式に可決されました。
最大有効期間：398日（約13ヶ月）
これまでの「1年証明書」はこの期間内
最大有効期間：200日（約6.5ヶ月）
年1回更新ではカバーできず、年2回以上の更新が必要に
最大有効期間：100日（約3ヶ月）
年4回近い更新が必要になる計算
2029年3月15日以降
最大有効期間：47日
手動管理は事実上不可能。自動化が前提となる
この変更の背景には、有効期間を短くすることで万が一証明書が漏洩・侵害された際の影響範囲を限定する、というセキュリティ上の考え方があります。また将来的な耐量子暗号への対応を見据えた動きでもあります。
⚠ すでに影響が出始めている：2026年3月15日以降に発行された証明書は最大200日が上限です。「1年証明書を買ったはずなのに6ヶ月で期限切れ警告が出た」というケースが今後増える可能性があります。認証局各社はサブスクリプション型への移行や再発行運用を案内し始めています。
✅ 対応の方向性：ACMEプロトコルを使った自動更新（Let’s EncryptやAWS ACMなど）への移行を検討するタイミングです。手動台帳管理を続けている場合、2027年以降は運用負荷が一気に増大します。
「鍵マーク＝安全」は正しいか？
鍵マークは「通信が暗号化されている」ことを示すものです。サイト自体が信頼できるかどうかとは別の話です。
フィッシングサイトであっても、DVレベルの証明書であれば比較的簡単に取得できます。httpsで接続できていても、入力した情報が攻撃者に渡らない保証にはなりません。セキュリティ教育の文脈では「鍵マークがあるから安全」という誤解を解くことが重要です。
確認すべきはドメイン名そのもの。メールに貼られたURLやリダイレクト先のドメインが本物かどうかを確認する習慣を持つことが、フィッシング対策の基本です。
まとめ
SSL/TLSは現代のWebにおける通信の基盤であり、その仕組みと管理の重要性は今後さらに高まっていきます。特に有効期間の短縮は「知らなかった」では済まない業界全体の変化です。
現時点で証明書管理を手動で行っている場合、2027年以降に向けて自動更新への移行を検討しておくことをお勧めします。証明書の数が少なくても、更新頻度が倍以上になれば管理コストは確実に上がります。
