企業サイトのHTTPS・TLS証明書管理｜更新・切替・期限切れを防ぐ手順
Web制作編集：株式会社AO
企業サイトをHTTPS化していても、証明書の更新失敗、対象ホスト名の漏れ、HTTP素材の混在があると、警告表示や一部機能の停止につながります。サーバー会社任せにせず、誰が、どの仕組みで、何を確認するかを台帳と定期点検で明確にします。
- HTTPSとTLS証明書で管理すべき対象
- 新規導入・更新・切替の確認手順
- 期限切れと混在コンテンツを防ぐ点検項目
HTTPS運用で管理するもの
HTTPSは通信の盗み見や改ざんを防ぎ、接続先の正当性を確認するためにTLSを使います。証明書を取得しただけでは運用は終わりません。公開中のホスト名、証明書を保持するサーバーやCDN、自動更新の実行場所、秘密鍵の保管、HTTPからHTTPSへの転送、外部素材の読込先まで一つの範囲として扱います。
| 対象 | 確認項目 | 見落とした場合 |
|---|---|---|
| ホスト名 | 本番、www、サブドメイン、外部公開API | 一部URLだけ証明書エラー |
| 証明書 | 発行元、有効期間、SAN、更新方式 | 期限切れ・名前不一致 |
| 配置先 | Webサーバー、CDN、ロードバランサー | 更新済み証明書が本番に反映されない |
| ページ資源 | 画像、CSS、JavaScript、フォント、iframe | 混在コンテンツで表示や機能が壊れる |
| 監視・連絡 | 期限、更新ジョブ、外形監視、障害窓口 | 利用者の警告で初めて気づく |
証明書台帳の作り方
台帳には対象ホスト名、証明書を終端する場所、発行・更新サービス、更新方法、設定担当、監視先、通知先、切戻し手順を記録します。秘密鍵そのものは台帳へ貼らず、承認された保管場所とアクセス責任者だけを示します。
Let's Encryptは、証明書運用を自動化し、更新を一括実行せず小さく分散することを案内しています。ホスティング事業者が自動管理する場合でも、更新機能が有効か、失敗通知を誰が受け取るか、更新後に実際の公開経路で新しい証明書が提示されるかを確認します。
導入・更新・切替の手順
- 公開中のURLとサブドメインを棚卸しし、証明書に必要な名前を確定する。
- HTTP認証やDNS認証など、利用サービスが指定する発行・更新方式を確認する。
- 検証環境で証明書チェーン、秘密鍵との対応、Webサーバー設定を確認する。
- HTTPからHTTPSへの転送先をページ単位で確認し、無関係なURLへまとめて転送しない。
- 本番へ反映後、PCとスマートフォン、主要ページ、フォーム、外部連携を確認する。
- ブラウザーの開発者ツールや巡回検査でHTTP素材と証明書警告がないことを確認する。
- 更新ジョブを定期実行し、成功ログだけでなく公開URLの期限監視も設定する。
- 実施日時、変更前後、担当者、確認結果、切戻し判断を記録する。
自動更新を導入しても、DNS変更、認証用パスの遮断、権限不足、設定反映の失敗で止まることがあります。更新期限直前に初めて動かすのではなく、テスト実行と失敗通知を運用に含めます。
混在コンテンツとHSTS
MDNは、HTTPSページからHTTPの画像・スクリプト・CSSなどを読み込む状態を混在コンテンツと説明しています。ブラウザーは一部をHTTPSへ自動更新し、スクリプトやスタイル等をブロックするため、「鍵マークが出る」だけでなく表示・フォーム・計測が実際に動くかを確認します。内部資源は相対URLまたはHTTPSへ直し、外部サービスはHTTPS対応と契約継続性を確認します。
OWASPは全ページでTLSを使い、HTTPからHTTPSへ転送し、HSTSを組み合わせる考え方を示しています。ただしHSTSはブラウザーにHTTPS利用を強制し、証明書エラーを回避できなくするため、証明書更新と全サブドメインの対応を確認してから段階的に導入します。
HTTPS運用チェックリスト
- 公開中の本番・www・サブドメインを一覧化した
- 証明書の対象名と実際のアクセスURLが一致している
- 発行元、更新方式、配置先、担当者を記録した
- 秘密鍵を平文の共有資料やメールで回していない
- 自動更新のテストと失敗通知を確認した
- CDN等を含む公開URLで期限とチェーンを監視している
- HTTPからHTTPSへの転送先とcanonicalを確認した
- 画像・CSS・JavaScript・フォント・iframeにHTTP読込がない
- フォーム送信、計測、決済、外部連携を実機で確認した
- 更新失敗時の連絡先と切戻し手順がある
よくある質問
無料の証明書でも企業サイトに使えますか？
公開CAから正しく発行され、対象名、秘密鍵管理、更新、サーバー設定が適切なら、無料か有料かだけで通信の暗号化品質を判断しません。サポート、契約、組織確認、運用責任の要件に合わせて選びます。
自動更新なら監視は不要ですか？
不要ではありません。更新処理の成功、設定への反映、公開経路で提示される証明書の期限を別々に確認します。通知先が退職者だけになっていないことも点検します。
HSTSはすぐ有効にしてよいですか？
まずHTTPSが全ページと必要なサブドメインで安定し、証明書更新が確実に動くことを確認します。適用範囲や有効期間を理解せずに強く設定すると、障害時に利用者側でHTTPへ戻せません。
参考にした公式情報
- Let's Encrypt：Integration Guide
- MDN：Transport Layer Security
- MDN：Mixed content
- OWASP：Transport Layer Security Cheat Sheet
公式情報の確認日：2026年10月23日。本文の台帳・手順・チェックリストは、公式情報を踏まえたAO編集部の実務向け整理です。証明書の仕様や管理画面は利用サービスごとに確認してください。