SSL証明書の種類（DV・OV・EV）と選び方｜2026年3月から始まった有効期間の短縮に企業はどう備えるか

PRこの記事にはPRを含みます

会社のWebサイトや問い合わせフォーム、取引先向けのポータルには、通信を暗号化するSSL証明書（正式にはTLSサーバー証明書）が欠かせません。ところが、いざ申し込もうとすると「DV・OV・EVのどれを選べばよいのか」「無料の証明書で問題ないのか」と迷う担当者は少なくありません。

さらに2026年3月から、証明書の有効期間が段階的に短くなり始めました。2029年には最長47日になり、手作業での更新では追いつかなくなります。この記事では、証明書の種類と選び方、そして有効期間の短縮に備えて今から決めておくことを、業界団体CA/Browser Forumの規定をもとに整理します。情報は2026年10月時点のものです。

SSL証明書とは

SSL証明書とは、Webサイトとの通信を暗号化し、そのサイトが正しいドメインのものであることを第三者（認証局）が証明する電子的な証明書です。証明書が入ったサイトは「https://」で始まり、ブラウザに保護されていない旨の警告が出なくなります。

現在の通信で実際に使われている技術はTLSですが、慣習的に「SSL」と呼ばれています。この記事でも、わかりやすさのためにSSL証明書と表記します。

証明書を発行するのは「認証局（CA）」です。認証局とブラウザの開発元が参加するCA/Browser Forumという業界団体が、証明書の発行ルール（Baseline Requirements）を定めており、有効期間の上限もここで決まります。

DV・OV・EVの違い

3種類の違いは、申し込み時に認証局が確認する内容です。暗号化の強さに差はありません。

無料で使える証明書（Let’s Encryptなど）は、すべてDVです。DVだから危険ということはなく、通信の暗号化という点では有料のDVと変わりません。有料の証明書を選ぶ理由は、組織の実在を証明したい（OV・EV）、サイトシールや補償・サポートを付けたい、自動化の仕組みがないサーバーで長めの契約にしたい、といった点にあります。

ワイルドカード証明書とマルチドメイン証明書

「*.example.co.jp」のように、1枚で同じドメインの複数のサブドメインを守れるのがワイルドカード証明書です。www、採用サイト、問い合わせ用サブドメインなどをまとめて管理できます。ただし、1枚の秘密鍵を多くのサーバーで共有することになるため、鍵の管理は慎重に行う必要があります。

関連記事Webサイトのセキュリティチェックリスト20項目｜担当者が自分で確認できる方法と頻度（IPAの20ヶ条と整合）

有効期間の短縮スケジュール（2026〜2029年）

CA/Browser Forumは2025年4月、証明書の有効期間と、認証の結果を使い回せる期間（再利用期間）を段階的に短くする提案（Ballot SC-081）を可決しました。認証局側の25社と、Apple・Google・Microsoft・Mozillaの4社がすべて賛成しています。

つまり、今はおよそ半年ごと、2027年3月からは3か月ごと、2029年3月からは毎月のように証明書を入れ替える計算になります。規定では、上限ぎりぎりの期間で発行しないよう求められているため、実際の更新はもう少し早めになります。

また2029年以降は、ドメインの管理者であることの確認も10日ごとにやり直しになります。メールやWebページへのファイル設置で認証している場合は、その作業も自動化しておく必要があります。

有効期間の短縮に備えて決めておくこと

年に1回、担当者が手作業で更新する運用は、遅くとも2027年までに見直しが必要です。次の順で準備を進めましょう。

1. 証明書の一覧を作る公開サイト、問い合わせフォーム、メールサーバー、VPN装置、複合機やNASの管理画面、業務システムなど、どこにどの証明書が入っているかを洗い出す
2. 更新の担当を決めるレンタルサーバー会社、保守会社、自社のどれが更新するのかを、証明書ごとに明確にする
3. 自動化できるものは自動化するACME（証明書の発行・更新を自動で行うための標準の仕組み）に対応したサーバー機能やツールを使う
4. 自動化できないものの対策を考える古い機器や業務システムは、前にリバースプロキシやロードバランサーを置いて証明書をまとめる、機器を更新する、などを検討する
5. 期限切れを監視する自動更新が失敗しても気づけるよう、有効期限の監視と通知を設定する

多くのレンタルサーバーでは、無料の証明書を自動で更新する機能が用意されています。一方で、有料の証明書を手作業で入れている場合や、社内のサーバー・機器に証明書を入れている場合は、更新の頻度が上がると作業の負担や期限切れのリスクが大きくなります。

関連記事セキュリティヘッダーとは？HSTS・CSPなどの役割と設定例｜Apache・nginx・WordPress

自社に合う証明書の選び方

種類と価格だけでなく、これからは「更新をどう回すか」まで含めて選ぶことが大切です。

関連記事法人向けレンタルサーバーの選び方｜個人向けとの違いと、契約名義・請求書・SLA・バックアップの確認項目

よくある質問

まとめ

SSL証明書は、DV・OV・EVで暗号化の強さは変わらず、組織の確認の厳しさが違います。サイトの目的に合わせて種類を選んだうえで、これからは有効期間の短縮を前提に、更新を自動化できるか、誰が入れ替えるかまで決めておくことが重要です。2027年3月の100日化までに、証明書の一覧づくりから始めましょう。

関連記事サーバーを移さずにWebサイトのセキュリティを強化する方法｜WAF・改ざん検知を今のサーバーに後付けする

参考：CA/Browser Forum「Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates」、CA/Browser Forum「Ballot SC081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods」、IETF RFC 8555「Automatic Certificate Management Environment (ACME)」、XServer SSL公式サイト（2026年10月時点）。