「サイトを開いたら『この接続ではプライバシーが保護されません』と赤い警告が出て、問い合わせがぱたっと止まったと連絡が来て。調べたらSSL証明書が切れていました」——制作会社に頼んで作ったコーポレートサイトを数年運用してきた会社から、こんな相談が届きました。証明書の更新は「年に一度、担当者がカレンダーの通知を見て手で入れ替える」運用で、その担当者が異動して以来、誰も更新日を把握していなかったのです。
この「うっかり失効」が、これから確実に起きやすくなります。理由は、SSL/TLS証明書の有効期限そのものが、業界の決定によって段階的に短くされていくからです。DigiCert の解説によると、証明書を発行する認証局とブラウザ各社で構成される CA/Browser Forum は、2025年4月に最大有効期限を現行の398日から47日まで短縮する方針を可決しました。年1回でよかった更新が、数年後には月1回近いペースになるということです。証明書の基礎そのものはSSLサーバー証明書の基礎ガイドにまとめていますが、本記事では「有効期限が短くなる」という変化に絞って、手動運用の会社が何をすべきかを整理します。
いつ・どこまで短くなるのか
短縮は一度にではなく、三段階で進みます。まず全体像を押さえてください。
| 時期 | 証明書の最大有効期限 | 手動更新なら |
|---|---|---|
| これまで | 398日（約13か月） | 年1回 |
| 2026年3月15日〜 | 200日（約6.5か月） | 年2回 |
| 2027年3月15日〜 | 100日（約3.3か月） | 年3〜4回 |
| 2029年3月15日〜 | 47日 | 年7〜8回 |
BrandShelter のまとめによれば、最初の影響は2026年3月から始まります。あわせて、証明書に使う組織情報の再利用が許される期間も短くなるため、「一度確認した情報を長く使い回す」運用も見直しが必要になります。重要なのは、これは一部の認証局の話ではなく、公に信頼される証明書すべてに効く共通ルールだという点です。
なぜ手動更新の会社だけが危ないのか
短縮そのものは、セキュリティ上まっとうな判断です。証明書の有効期間が短いほど、万一鍵が漏れたときの影響範囲が狭まります。問題は「有効期間が短くなる」こと自体ではなく、更新を人の手とカレンダー通知に頼っている運用です。
年1回なら、担当者が一人で覚えていても何とかなりました。しかし年7〜8回になると、一度の見落としや担当者の異動が、そのまま失効事故に直結します。証明書が切れたサイトはブラウザが警告を挟むため、訪問者は先へ進めず、問い合わせも購入も止まります。サイトが消えたわけでもハッキングされたわけでもないのに、事実上サービスが停止する——これが手動更新の会社を待っている落とし穴です。こうした「作った後を誰も見ていない」ことによる事故は、放置されたサイトが抱えるリスクで挙げた症状の一つでもあります。
一方、更新の回数が増えても困らない会社もあります。多くのレンタルサーバーやマネージドなホスティングは、すでに証明書を短い周期で自動更新する仕組み（ACME と呼ばれる自動化の手順）を標準で備えています。無料の Let’s Encrypt なども以前から短い有効期限を自動更新で回してきました。つまり分かれ目は「有料か無料か」ではなく、更新が自動化されているかどうかの一点です。
自動更新へ切り替えるときの勘所
対応の方向は明確で、更新を人からシステムへ移すことに尽きます。着手するときに確認したい点は次の三つです。
- 今の証明書がどう発行・更新されているかを棚卸しする。自社サイト・LP・サブドメイン・古いキャンペーンサイトまで、どこにどの証明書が入っていて、更新が自動か手動かを一覧にします。忘れられた古いサイトほど手動のまま残っています。
- 自動更新に対応した基盤へ寄せる。利用中のサーバーやCDNが自動更新に対応していれば、設定を有効化するだけで済むことが多いです。対応していない古い環境は、この機会に移行を検討します。
- 「自動更新が失敗したときに気づく仕組み」まで用意する。自動化しても、設定変更やドメインの構成ミスで更新が止まることはあります。有効期限を監視して期限前にアラートを出す、という最後の砦を残しておくと安心です。
どこまでを自社で持ち、どこからを外部に任せるかは、保守・運用契約で発注者が見るべきことで整理した「動かし続ける費用と体制」の考え方がそのまま当てはまります。証明書の更新は、その保守範囲に必ず含めておくべき項目です。
まず今日やる一つのこと
対応は大がかりに見えますが、最初の一歩は簡単です。自社サイトの証明書が「いつ切れるか」と「自動更新か手動か」を、今日のうちに確認してください。手動なら、次の更新日をチームで共有し、自動化への移行を保守の議題に乗せる。これだけで「担当者が辞めたら失効した」という最悪のパターンは防げます。
自社サイトの証明書がどう管理されているか分からない、複数サイトの更新をまとめて自動化したい、失効に気づける監視まで整えたい——そうしたご相談は、グリームハブのサイトの保守・運用のご相談からどうぞ。証明書の棚卸しから自動更新の設計、失効監視の仕組みづくりまで、御社の運用にあわせてご一緒します。
