SSL証明書を確認する

NetCheck が読み取るもの

確認を始めると、NetCheck はブラウザと同じようにサイトと暗号化された接続を開き、サーバーが提示する証明書を取得します。中間のデータベースは使いません。その時点で実際に配信されている証明書です。

証明書の有効期間はどのくらい？

認証局とブラウザベンダーが参加する CA/Browser Forum の規則により、この期間は段階的に短くなっています。2026 年 3 月以降、公開証明書の有効期間は最長 200 日です。上限は 2027 年 3 月に 100 日、2029 年 3 月に 47 日へと下がります。Let's Encrypt の証明書はすでに 90 日です。

実際には、手作業での更新は続けられなくなります。ホスティングやサーバーが自動更新していない場合（ACME プロトコル、たとえば Certbot を使うもの）、今が自動化するタイミングです。自動化が失敗したときに対応できるよう、期限の 2〜3 週間前に更新されるようにしておきましょう。

よくあるエラー

• 証明書の期限切れ：自動更新が気づかないうちに失敗しています。DNS レコードが変わった、あるいはファイアウォールが検証を妨げていることがよくあります。
• 名前が対象外：証明書が example.jp を対象にしていても www.example.jp は対象外、またはその逆です。「対象となる他の名前」の行を確認し、両方が入っているか見てください。
• チェーンが不完全：サーバーがサイトの証明書だけを送り、認証局の中間証明書を送っていません。自分で取得するブラウザもあれば、しないブラウザもあるため、一部の端末でだけエラーになります。サーバーは「fullchain」ファイルで設定してください。
• 自己署名証明書：社内ネットワークなら許容できますが、公開サイトでは使うべきではありません。
• 混在コンテンツ：証明書は正常でも、ページが画像やスクリプトを http:// で読み込んでいます。するとブラウザは斜線の入った鍵マークを表示します。証明書の問題ではないので、ページ内のアドレスを修正します。

DV・OV・EV：お金を払う必要はある？

ドメイン認証（DV）の証明書は、申請者がドメインを管理していることだけを証明します。Let's Encrypt が無料で発行しているのはこの種類で、暗号化の強さは有料の証明書とまったく同じです。OV や EV の証明書は企業の実在確認を加えますが、ブラウザはもう何年もアドレスバーでその違いを表示していません。ほとんどのサイトでは、きちんと更新される無料の DV 証明書で十分です。

ワイルドカード証明書

*.example.jp の証明書は、blog.example.jp や shop.example.jp のような 1 階層のサブドメインをすべて対象にしますが、example.jp そのものや a.b.example.jp は対象外です。サブドメインが多い場合は管理が楽になりますが、秘密鍵が漏れたときの被害は大きくなります。

知っておきたい制限

証明書を読み取るため、NetCheck は TLS 1.2 で接続します。このバージョンでは、最初のやり取りの中で証明書が暗号化されずに送られます。ほぼすべてのサーバーがまだ対応しています。TLS 1.3 のみに設定されたサーバーでは、明確なメッセージが表示されます。サイトは動いていますが、ツールが証明書を読み取れないという意味です。

よくある質問

証明書は有効なのにブラウザが警告を出すのはなぜですか？

多くの場合、名前が対象外（www の有無）、チェーンが不完全、または http で読み込まれる混在コンテンツが原因です。端末の時計も確認してください。数日ずれていると、ブラウザは有効な証明書を期限切れ、あるいはまだ有効になっていないと判断します。

期限の何日前に対応すべきですか？

自動更新なら特に何もする必要はなく、日付が定期的に進んでいるか確認するだけです。自動化していない場合は 2〜3 週間前に更新しましょう。1 週間を切ったら緊急事態として扱ってください。

無料の証明書は安全性が低いのですか？

いいえ。暗号化は同じです。有料証明書の違いは実在確認、サポート、場合によっては補償であり、接続の安全性ではありません。

鍵マークがあれば、そのサイトは信頼できますか？

いいえ。鍵マークは、接続が暗号化され、証明書がドメインと一致していることを示すだけです。フィッシングサイトでも有効な証明書を持てます。鍵マークではなく、ドメイン名を確認してください。