これまで、SSL デジタル証明書の有効期間は数年で、有効期限が切れると更新または交換する必要がありました。Apple® がSafari® ブラウザの証明書の有効期間を 27 ヶ月から 13 ヶ月に短縮することを発表したことを受け、Google®を含む多くの企業が 2020 年 9 月から Chrome™ ブラウザでも同様のアプローチを採用しました。その結果、多くの認証局 (CA) が発行する SSL 証明書の有効期間を短縮するようになりました。最近では、Google が Chrome での証明書の有効期間をさらに 90 日に短縮することを発表しています。Chrome は、最も普及しているブラウザの 1 つで、市場シェア率がおよそ 65%1 あるため、他の多くのブラウザがこれに続くと予想されます。

ウェブサイト用に発行される SSL 証明書は、Chrome ユーザーから信頼されるために、新たに定められた最大有効期間を遵守する必要があります。証明書の有効期間の短縮は、セキュリティを向上させ、有効期間の長い証明書に関連するリスクを軽減するメリットをもたらします。有効期間が長い SSL 証明書に関連するリスクには、次のようなものがあります。


1.攻撃に対する脆弱性の拡大 :

SSL 証明書の有効期間が長いほど、ハッカーが脆弱性を悪用してウェブサイトに攻撃を仕掛ける機会が多くなります。証明書の有効期間を 90 日に制限することで、攻撃によって損害を負う可能性を大幅に軽減することができます。

2.機敏性の低下 :

有効期間の長い SSL 証明書を使用するウェブサイトは、セキュリティ要件の変化に機敏に対応できません。SSL 証明書の有効期間が 90 日であるため、ウェブサイト管理者はセキュリティ対策を迅速に更新し、新たに発生した脅威や脆弱性に対応できます。

3.アカウンタビリティの欠如 :

SSL 証明書の有効期間が長いと、セキュリティインシデントを特定の証明書のウェブサーバーに帰属させることが難しくなるため、アカウンタビリティが低下します。それに対し、有効期間の短い SSL 証明書は、原因特定の証明書やウェブサーバーにさかのぼることができ、原因を特定して是正措置が取りやすくなるため、アカウンタビリティが向上します。


SSL 証明書の有効期間の短縮により、組織が直面する主な課題の 1 つは、証明書の更新頻度の増加です。SSL 証明書の管理は、特に多数のウェブサイトやウェブアプリケーションを抱える組織には、複雑で時間のかかる作業になる場合があります。管理を誤ると、証明書の有効期限が切れ、ウェブサイトのセキュリティやユーザーデータの完全性に重大なリスクをもたらしかねません。たとえば、次のようなリスクが考えられます。

1.データ流出侵害 :

SSL 証明書が期限切れになると、ウェブサイトとユーザー間の接続の安全性が確保できなくなり、ハッカーが侵入して、ログイン情報、クレジットカード番号、個人情報などの機密データを傍受して盗み出せるようになる可能性があります。サイバー犯罪者に、ウェブサイトとユーザーの間で送信される機密データを盗む機会を与えてしまいます。

2.信頼の喪失 :

ウェブサイトで証明書の期限切れを示す警告メッセージが表示されると、ユーザーはそのウェブサイトが安全ではなく、信頼できないと思うでしょう。このような状況は、ウェブサイトやその所有者に対するユーザーの信頼に悪影響を及ぼし、ビジネスの損失やブランドの評判の悪化につながってしまうのです。

3.コンプライアンスの問題 :

医療記録、財務情報、その他の規制対象データなど、ユーザーの機密データを扱うウェブサイトでは、証明書の期限切れがコンプライアンスの問題を引き起こす可能性があります。HIPAA、PCI DSS (Payment Card Industry Data Security Standard)、GDPR (General Data Protection Regulation) などのコンプライアンス基準では、ウェブサイトが SSL 証明書を有効な状態に保ち、適切に更新することを義務付けています。

4.サービスの中断 :

期限切れの SSL 証明書は、ユーザーがウェブサイトにアクセスできなくなったり、ウェブサイトが安全でないという警告メッセージが表示されたりするため、サービス中断の原因になり、業務のダウンタイムや収益の損失につながる可能性があります。

5.検索エンジンのペナルティ :

Google などの検索エンジンは、SSL 証明書を評価要因ととらえており、証明書の有効期限が切れているウェブサイトにペナルティを科す可能性があります。このような検索エンジンのペナルティは、ウェブサイトの評価や企業のトラフィックに悪影響を与えることがあります。

証明書の有効期限が 90 日ごとに切れるため、証明書をこれまでよりも頻繁に更新する必要があります。更新頻度が増す証明書を管理するには、慎重な計画、証明書管理ツールへの投資、プロセスや手続きの調整が必要です。証明書の有効期限切れに関連するリスクの軽減に役立つベストプラクティスをご紹介します。

1.証明書管理の自動化 :

自動証明書管理ツールを使用すると、証明書の追跡と更新を自動化でき、手作業でのミスや証明書の有効期限切れのリスクを軽減できます。

2.証明書管理の一元化 :

証明書を一元管理することで、証明書の更新が容易になり、複数のウェブサイトやウェブアプリケーションで一貫性を確保できます。

3.証明書の定期モニタリング :

SSL 証明書を定期的にモニタリングして、有効期限切れなどの問題を検知し、適切な措置を速やかに取ることができます。

4.CAA レコードの利用 :

CAA レコードを利用する。ドメイン所有者は、ドメインの SSL 証明書を発行できる CA を指定でき、使用する証明書の種類や検証方法を指定することもできます。つまり、ドメイン所有者が SSL 証明書の発行プロセスを詳細に管理し、不正証明書の発行を防ぐことができます。

まとめると、有効期間 90 日の SSL 証明書は、セキュリティ、機敏性、アカウンタビリティを向上させる一方で、特に、多数のウェブ資産を所有する組織には、課題をもたらす可能性もあります。ただし、慎重な計画、自動証明書管理ツールへの投資、プロセスや手続きの調整を行えば、有効期間の短い SSL 証明書を効果的に管理し、ウェブサイトやウェブアプリケーションの安全性を確保することができます。

今後の SSL 証明書の有効期間の短縮に不安を感じられている場合は、当社の専門家チームにご相談ください。この変化に備え、適切に準備し、SSL 証明書管理の包括的な戦略を実施して、ウェブサイトの安全性とコンプライアンスを確保できるようにサポートいたします。お気軽にお問い合わせ下さい。

1gs.statcounter.com/browser-market-share
記事原文 : https://www.cscdbs.com/blog/risk-vs-benefit-the-impact-of-shorter-90-day-ssl-certificate-life-cycles/