SSL証明書の有効期間が47日に｜今からできる4つの備え

有効期間短縮のスケジュール

CA/Browser Forumの投票SC-081v3で決まったスケジュールは次の通りです。

出典：CA/Browser Forum「Ballot SC-081v3」、CA/Browser Forum「Baseline Requirements」

上限の期間は、証明書の発行日で決まります。
そのため、発行済みの証明書は、有効期限までそのまま使えます。

表の「ドメイン認証の再利用期間」は、認証局が一度確認したドメインの所有確認を、次の発行で使い回せる期間です。この期間が2029年には10日になるため、証明書を更新するたびにドメインの確認をやり直すことになります。

短縮が決まった背景

有効期間が長いほど、秘密鍵が漏れたときや、ドメインの持ち主が変わったときに、古い証明書が使われ続ける期間も長くなります。期間を短くすれば、その被害を小さくできます。

ただし、期間が47日まで縮むと、手作業の更新では追いつきません。
そのため、更新の自動化が前提になります。

運用で起きやすい問題

更新の回数が増えると、次の問題が起きやすくなります。

• 自動更新が止まっても気づかない
  設定が壊れていても、期限が切れるまで誰も気づかないことがあります。
• 管理台帳から漏れた証明書が残る
  サブドメインや、昔のキャンペーンサイトの証明書は見落としがちです。
• 作業の手間が増える
  47日周期になると、証明書1枚につき年8回ほどの更新が必要です。

その結果、証明書の期限が切れると、ブラウザが警告を出し、訪問者はサイトを開けなくなります。

今からできる4つの備え

1. 証明書を棚卸しする
   管理しているドメインとサブドメインを洗い出し、有効期限と発行元を一覧にします。
2. 更新を自動化する
   証明書の発行と更新を自動で行うACMEという仕組みに対応した環境なら、自動更新を設定します。無料で証明書を発行している認証局のLet’s Encryptなどが、この仕組みに対応しています。あわせて、レンタルサーバーやCDNの自動更新機能も確認しましょう。
3. 自動更新が動いたかを確かめる
   設定したあとも、実際に新しい証明書へ切り替わったかを定期的に見ます。
4. 有効期限を外から監視する
   サーバー内の仕組みとは別に、外部から期限を監視して、切れる前に通知を受け取ります。

なかでも4つ目は、自動更新が知らないうちに止まったときの安全網になります。

Appmillで証明書の期限を監視する

私たちが提供するAppmillは、Webサイトを外部から定期的にチェックする監視サービスです。

フリープランでは、死活監視・応答速度・SSL有効期限・ドメイン有効期限などを含む6つの項目を、最大100URLまで無料で、5分間隔で監視できます。
特に、SSL証明書とドメインの有効期限を外部から見張っておけば、自動更新が止まっていても、期限切れの前に気づけます。

導入にかかる時間は約3分です。47日周期の更新が始まる前に、まずは無料アカウントを作成し、外部からの監視を始めておくことをおすすめします。

プランや機能の最新情報は、公式サイト https://appmill.work/ でご確認ください。

まとめ