使い勝手のいいSSL証明書が登場

WebサイトをSSLで保護する動きが広がっている。SSLで通信を暗号化することで盗聴を防止したり、Webサイトが詐欺サイトでないことを明示したりできる。

ユーザーが安全にWebサイトを利用できるように、常時SSL化を進める事業者も増えてきた。ただ、SSLサーバ証明書と言うと、発行までに時間がかかったり、1年ごとに更新する必要があったりと、簡単に利用できるものではなかった。

そんななか、さくらインターネットが使い勝手のいいSSLサーバ証明書の提供を開始した。サイバートラストが提供するSSLサーバ証明書「SureServer」を月払いで利用できる「SureServer for SAKURA」だ。SureServer for SAKURAには、どんな特徴があり、どんな利用ができるのだろうか。想定されるユースケースとともに、実際に証明書の取得手順を振り返りながら、魅力に迫ってみよう。

従来、さくらでは、「さくらのSSL」ラインアップとして、シマンテック（旧ベリサイン）やグローバルサイン、セコムなどのSSLサーバ証明書を提供してきた。新サービス「SureServer for SAKURA」は、国内最長の運営実績を誇るサイバートラストのSSLサーバ証明書として、2015年2月から提供を開始したもの。さくらが提供する各サーバサービスと組み合わせて簡単に利用することができることが大きなポイントだ。また、企業認証SSLに加え、EV SSLに対応した「SureServer EV for SAKURA」の2つをラインアップしていることもポイントだ。

なお、EV(Extended Validation)とは、SSLサーバ証明書の役割のなかでも"Webサイトの認証"に関わる最高レベルを意味するもので、暗号強度はこれと関係しない。証明書は認証レベルの違いにより、ドメインの存在確認であるDV(Domain Validation)、OVと呼ばれる企業認証SSL、そしてEVの三種類に大別されている。

ほかのSSLサービスにはない3つの特徴

サービスの特徴は、大きく3つある。1つは、SSLサーバ証明書は基本的に年契約が多いなか月払いが可能になっていること。2つめは、企業認証SSLであればオンラインで完結するため発行までのスピードがはやいこと。3つめは、長期間利用する場合、有効期間複数年の証明書が発行されるため、更新申請やインストール作業の手間を軽減できることだ。

順に見ていこう。まず、月払いができることは、SSLの利用シーンをこれまで以上に広げるものだ。従来のように1年ごとの更新の場合は、キャンペーンサイトのように数ヵ月という短い期間だけ開設する独自ドメインのサイトには導入しにくかった。数ヵ月の利用でも1年分の支払いが必要になるため、ムダが多く、コストに見合わなかったのだ。この点、SureServer for SAKURAでは年間一括払いだけでなく、毎月払いが選択できるため、短期間のサイト展開やイニシャルコストを抑えたい場合に最適といえる。

2つめの、オンラインで完結し発行スピードがはやいことは、迅速なサービス展開に欠かせない要素だ。SSLサーバ証明書には、暗号化による保護のほか、サイトの運営組織が実在し、ドメイン名の使用権があることを第三者機関として証明する意味がある。実在が証明されることで、詐欺サイトや偽サイトとの見分けをつけられるようになり、利用者を保護できる。

このため、審査には一定の期間がかかるのだが、SureServer for SAKURAの場合は、申請作業がオンラインで完結し、さらに電話での所在確認後、3営業日程度でSSLサーバ証明書が発行される。企業認証SSLであれば書面での提出も不要で、EV SSLの場合でも、代表印ではなく個人印が認められるため、他社に比べて発行までのスピードが速いという特徴がある。

3つめの有効期間が複数年である点は、更新申請やサーバへのインストール作業の手間を大きく減らすものだ。有効期間が3年または2年であるため、毎年更新が近づくたびに行っていた申請作業の手間とインストール作業の手間を単純計算で、半分から3分の1に減らすことができる。 では、こうした特徴はどんなケースで生かされるのか。次に、典型的なユースケースを2つ紹介しよう。

ユースケースに見るSSLの魅力を引き出す使い方

まずは、短期間のキャンペーンサイトへの適用がある。短期間のキャンペーンサイトは多くの場合、情報の提供を目的とした閲覧中心の作りになっている。SSLを導入しているケースはまれで、ユーザーの個人情報などをやりとりする場合に限って、SSLで保護された別ページで行うという仕組みだ。

こうした状況になっている背景には、SSLサーバ証明書の有効期限が最低1年で、支払い期間も1年であることが挙げられる。2～3ヵ月しか展開しないサイトに対して、1年分のコストをかけてSSLサーバ証明書を発行するのではムダが生じる。このため、個人情報の入力フォームなど限られた範囲でのみSSLを利用するケースが多くなる。

一方、SureServer for SAKURAでは、サイトの運営期間に合わせたSSLの適用が可能だ。たとえば、3ヵ月間運営するサイトであれば、支払い期間を3ヵ月分に設定することでムダなコストを省くことができる。月払いの場合は、月額料金の2ヵ月分(当月と翌月分)を初回に支払い、次回請求は翌々月の月末までの日割精算となる。発行までの期間が短いのでスピーディーな展開も可能だ。

キャンペーンサイト自体をSSLで保護する効果としては、安全な情報のやりとりが容易にできるようになることが挙げられるだろう。たとえば、ユーザーの個人情報だけでなく、簡単なアンケートやリアルタイムのコミュニケーションなど、盗聴されたら困るような情報のやりとりもサイト上で可能だ。

さらに、EV SSLを導入すると、アドレスバーが緑色になり、サイトの運営組織を視覚的にわかりやすく表示することができる。ユーザー情報のやりとりは、フィッシングサイトなどに悪用されるリスクも増えるが、そうした場合は、EV SSLを利用することで、より安全なWebサイトにすることができる。

もう1つは、既存のECサイトや会員制サイトで使われているSSLサーバ証明書をSureServer for SAKURAやSureServer EV for SAKURAに切り替えるというものだ。有効期間が複数年であるために、切り替えるだけで、毎年の更新の手間とインストール作業の手間を削減できる。

数台規模ならばそれほどの手間ではないかもしれないが、十数台、数十台とWebサーバが増えていけば、その分、手間は増える。毎年行っていた作業が2年あるいは3年に一度で済むことは、運用管理コストの大幅な削減につながるはずだ。

加えて、SureServer for SAKURAやSureServer EV for SAKURAは、1つの証明書で同じドメインの複数台のWebサーバを運用することがきる、「サーバ台数無制限のライセンス」であることもポイントだ。

近年のWebサーバ環境は仮想化やクラウドによりスケールアウトを前提として設計されている。台数ごとに証明書が必要なライセンスであれば、コストが跳ね上がってしまうところだが、SureServer for SAKURAは1つの証明書のコスト負担で済む。

長期で利用する場合は、年間一括料金を選択すればより割引を受けることができる。月額料金の1ヵ月分が割引となり、11ヵ月の料金で利用できる。支払い方式としては、クレジットカードのほか、銀行振込や請求書払いなどを選択できる。これらは月払いでも同様だ。

既存のECサイトや会員制サイトでより高い安全性を提供したい場合は、EV SSLを利用すればいいだろう。このように、既存のSSLサーバ証明書を切り替えるだけでも、コストを下げながら、使い勝手と安全性の高いサイトを構築することができるのだ。

申し込みはすべてオンラインで完了 5分もかからない

最後に、企業認証SSLを例にとって申し込みの流れを簡単に紹介しよう。事前にCSRを用意しておけば、実際には5分もかからず申し込み作業を完了させることができる。

まず、サービスの紹介サイト(http://ssl.sakura.ad.jp/ )にアクセスする。SureServer for SAKURAの特徴、料金、申込時の注意点、申し込みの流れなどがわかりやすく説明されているので、確認しよう。

確認後、「お申込みはこちら」ボタンをクリックすると、さくらインターネットのログイン画面になるので、さくらインターネットの会員IDとパスワードを入力して、ログインする。会員IDを作成していない場合は、「さくらインターネット会員登録」から登録を済ませておく。ログインすると、以下のような「SSLサーバ証明書お申し込み」画面となる。

ここでは、プランとして「SSL SureServer for SAKURA」を選択する。また、支払期間として「毎月支払」「年間一括」、支払方法としては「クレジットカード」「銀行振込」「請求書払い」が選択可能だ。また、オプションとして「SSLサーバ設定代行サービスを申し込む」こともできる。約款類に目を通したら、「法人情報の入力へ進む」をクリック。

すると、以下のような入力画面になるので必要事項を入力する。

次は、CSRの確認だ。

事前に作成しておいたCSRを貼り付けて「CSRの内容確認」をクリックすると、以下のように、CSR作成時に入力したコモンネーム、組織名などを確認することができる。

間違いがないかをチェックしたら、「確認画面へ進む」をクリック。あとは内容を確認して、申し込めばよい。

申し込み後に料金を支払い、認証局からの電話確認を済ませばほどなくして、証明書が発行される。あとは、それをWebサーバにインストールすればいい。Apacheの場合は、SSLサーバ証明書を適切なディレクトリに保存したうえで、設定ファイル(httpd.conf)などから、SSLサーバ証明書と中間証明書の保存場所を指定し、設定を有効化すれば終了だ。なお、さくらのレンタルサーバを利用すれば、CSRの作成から証明書のインストールまでGUIで行うことができる。

「SureServer for SAKURA」は、柔軟性とコストメリットを併せ持つSSL

このように、SureServer for SAKURAは、SSLを月単位で利用でき、コストが低く抑えられるという点で、とてもユニークなサービスだ。また、SureServer EV for SAKURAも選択できるので、より安全性の高いサービスを提供したいというニーズにもこたえられる。

次回は、実際にSSLサーバ証明書を発行したうえで、さくらのレンタルサーバに独自SSL(SNI SSL)を使ったサイトを立ち上げてみよう。

■さくらインターネットのセキュリティサービスを検証する
1回目 : SSLを月単位で利用可能!! - さくらインターネットの「SureServer for SAKURA」は、どんな用途に最適か(本記事)
2回目 : 世間がクラウドにうつつを抜かしていた間に、レンタルサーバはどれだけ進化したのか - さくらのレンタルサーバで「単一サーバ上での複数SSLサイト運営」が可能に

さくらインターネット「SureServer for SAKURA」
⇒詳細はこちら

（マイナビニュース 広告企画）

[PR]提供：さくらインターネット