前回は、SSL や https についての概要を書きました。

無料のSSL証明書でhttpsサイトにする（１） | 中小企業・医療業界向け業務用システム開発のイルカシステム

この記事を読む

インターネットで入力した情報を暗号化して通信する https では、
SSL証明書を入手し、これをセットアップする必要があります。

これまではお金を払って入手するのが当然だった SSL 証明書ですが、
しかし、実は無料で手に入れる方法があります。

ここでは無料の SSL証明書 についてご紹介したいと思います。

無料のSSL証明書１：httpsにしない

みもふたもありませんが、https サイトにしない、という選択肢です。
https にしなければ SSL 証明書は必要ありません。

ただ、Google が2014年に「https サイトであることを、ほんの少しだけ
検索順位に反映させる」とアナウンスしたことから、
普通のウェブサイトであっても https にすることのメリットはでてきました。

一般的な企業サイトも https にしたほうがお客さまを呼び込めるようになるかもしれません。

「https にしない」という選択肢がいまでもとられるとすれば、
「社内のLANにサーバーをたてた場合」しかないのかもしれません。

社内LAN にあるサイトであれば、通信がのぞき見られたとしても社内の人ですし
のぞき見られたところで特に問題はすくないかと思います。

無料のSSL証明書２：オレオレ証明書

「どうしても https にしておきたい」
「でも SSL 証明書を買うのもいやだ」

というときに、長らくとられた手段が「オレオレ証明書」です。

「オレオレ証明書」というのはわかりやすい俗称です。

通常、SSL 証明書はいくつかの信頼された機関がだすもので、
だからこそ「このサイトは信頼されている」ということがわかるものです。

しかし、この SSL 証明書を自分で作ってしまって
（作ってしまうことそのものは可能です）
これをもとに https サイトにしてしまう、というのが「オレオレ証明書」です。

自分で勝手に「信頼されてるから SSL 証明書を作ったよ」
といって https サイトにしているから「オレオレ」と呼ばれているわけです。

しかし、この「オレオレ証明書」もやはりセキュリティ上の問題があります。

Page Not Found | GMOグローバルサインカレッジ

この記事を読む

簡単にいうと、「オレオレ証明書」の https サイトは、
ほとんどすべてのブラウザで「このサイトは（オレオレだから）安全でない可能性があるよ」
という警告が表示されます。

実際、安全でない可能性はありますので、充分理解している人が個人で使うのにはよいかもしれませんが
社内で使うだとか、企業サイトで使うだとか、といったことは避けるべきものです。

無料のSSL証明書３：Let's encrypt

アメリカにある非営利団体のISRG (Internet Security Research Group)は、
https サイトを普及させることを目的として
Let's encrypt というサービスを 2016年４月にスタートさせました。

Let's Encrypt

この記事を読む

このサービスでは、なんと無料の SSL 証明書を発行してくれます。

これは前述した「オレオレ証明書」ではなく、きちんとした機関が発行した
SSL 証明書ですから、どのブラウザでも普通の https サイトと同じように
アドレスバーが緑色になったり鍵マークが表示されます。
（これは安全なサイトである、というマークです）

このサービスでは SSL 証明書の発行は自動で行われているため、
ほしいときに即日発行してもらうことが可能です。

さらに、きちんと設定しておけば、
SSL証明書の有効期限が切れたときも人手が介在することなく
自動で更新されます。

レンタルサーバーによっては使えなかったりするかもしれません。
（とくに共有型のレンタルサーバー）
しかし、サーバー管理者の権利を有する場合には問題なく導入することができるでしょう。

技術的な導入手順については、また改めて記載したいと思います。