運営するウェブサイトで、顧客の個人情報の漏洩について不安を感じたことはないでしょうか。ウェブサイトを運営する事業者や開設を考える事業者にとって、訪問者との間でやりとりされるデータの取り扱いはとても重要な問題です。情報の漏洩や悪用を防ぐためにも、インターネット上でデータを安全に送受信できるSSLについて学び、安全なウェブサイト運営を行いましょう。
目次
SSLとは
SSLとは、Secure Sockets Layer（セキュア・ソケッツ・レイヤー）の略で、インターネットでデータを暗号化して送受信する仕組みです。送受信する機器の間でやりとりされるデータを暗号化することで、送受信の過程でデータを盗み見られたり悪用されたりすることを防ぎます。
SSL化したウェブサイトは、URLがhttpsから始まります。訪問者はsの有無でSSL通信されているかどうか判断できるほか、URL前に表示される南京錠マークでも判断できます。
SSLは、SSL/TLSと表記されることもあります。TLSはTransport Layer Security（トランスポート・レイヤー・セキュリティ）の略で、SSLが改良された際に新しい名称としてSSLから変更されました。しかし、SSLという名称がすでに定着しているため、これまで通りSSLと呼んだり、SSL/TLSと併記したりします。
SSLの重要性
ECなど、インターネット上で取引をしたり個人情報を入力したりする機会が多くなっている現代では、ユーザーが個人情報の漏洩を心配せず利用できるようにすることが求められています。
個人情報がもれると、ユーザー側には迷惑メールが大量に届いたり営業の電話が増えたりする可能性があります。架空請求が届き、詐欺の被害が出ることもあります。ウェブサイトの運営側はユーザーに悪印象を与えてしまうことになり、訪問者の減少、クレームの増加、信頼度の低下という被害が生じます。
直接被害が発生しなくても、SSL化していないウェブサイトではブラウザが「保護されていない通信」などの文をアドレスバーに表示したり、HTTPSだけを表示する設定にしているユーザーのブラウザではアクセスを一度ブロックして安全に関する警告文を表示したりするため、ユーザーが不安を感じ訪問をやめてしまう可能性があります。決済ページなどだけをSSL化するウェブサイトもありますが、サイト全体の安全性が確認できなければ個人情報を入力するページに行く前に離れてしまう可能性があるため、サイト全体のSSL導入が重要となります。
SSL暗号化の仕組み
1. ブラウザがSSL通信をリクエスト
ユーザーがウェブサイトにアクセスすると、サーバーにSSL通信がリクエストされます。
2. サーバーがSSL証明書と公開鍵を送付
リクエストを受けたサーバーは、SSL証明書と公開鍵をブラウザに送ります。SSL証明書とは、認証局が発行する電子証明書のことで、ドメインが本物であるかどうかや、ウェブサイトの運営者が実在するかどうかなどを証明します。
3. SSL証明書からドメインが本物であるか確認
ブラウザは送られてきたSSL証明書を認証局に問い合わせるなどして、ドメインが本物であるかどうかを確認します。サイトのURLと証明書のドメインが違ったり、ブラウザが認めていない認証局発行の証明書であったりすると、「保護されていない通信」などと表示されます。
4. ブラウザが共通鍵を作成し公開鍵で暗号化、サーバーに返送
ドメインが本物であることが確認されたら、ブラウザはSSL通信のための共通鍵を作成します。作成した共通鍵は２.で送られてきている公開鍵を使って暗号化してからサーバーに返送します。
5. サーバーが暗号化された共通鍵を秘密鍵で基に戻す
暗号化された共通鍵を受け取ったサーバーは、所持する秘密鍵を使って復号（暗号を解いて元に戻す）します。秘密鍵とはSSL証明書を発行する際に作成する鍵で、そのドメイン独自のものです。
6. SSL通信が可能になる
ブラウザとサーバーが共通鍵を持ち、SSL通信が可能になります。
SSL証明書の発行方法
SSL証明書は、認証局から直接発行してもらうほかに、レンタルサーバーなどで発行手続きが行えることも多いです。例えばEコマースプラットフォームのShopifyでは、Shopifyに追加されたドメイン全てに無料でSSL証明書が提供されます。さくらのレンタルサーバーでは、証明書発行手続きからインストールまでを代行するサービスも提供しています。こういったサービスを利用すると、ドメイン登録からSSL導入までが手軽かつ確実に行えます。
発行手続きはどこで行うかによっても異なりますが、大まかな流れは以下のようになっています。
1. CSRを作成
CSR（Certificate Signing Request）は証明書署名要求のことで、公開鍵や名前、所在地などの情報が含まれます。GMOグローバルサインなどの認証機関に提出し署名を行うことでSSL証明書となります。
作成手順は認証局や手続きを行うサーバーの指示に従います。
2. SSL証明書の種類を選んで申請
SSL証明にはレベルがあります。レベルによって費用が異なるため、必要に応じて選びましょう。
3. 審査
認証局が審査を行います。証明書の種類によって審査内容は異なりますが、ドメインについての確認、必要に応じて電話認証、書類認証などが行われます。
審査が完了すると、SSL証明書が発行されます。
4. 証明書のインストール
証明書が発行されたら、指示に従ってSSL証明書をインストールします。
5. 確認
ウェブサイトがhttpsから始まっているか確認します。
まとめ
SSLはデータを暗号化してやりとりする仕組みで、ウェブサイトの運営者・訪問者どちらにとってもインターネットを安全に利用するために大切なものです。非SSL化のウェブサイトは検索順位が上がらなかったりアクセス数が低下したりしてしまい、収益の低下にもつながります。顧客に信頼してアクセスしてもらえるウェブサイトにするためにはSSLを導入するのが良いでしょう。
SSLについてよくある質問
SSL設定しないとどうなる？
SSLの設定を行わなくてもウェブサイトを表示・運営することは可能です。しかし、アドレスバーに「保護されていない通信」などと表示され、訪問者が不安を感じ離脱につながる可能性があります。検索順位も上がらなくなり、アクセス数や収益の低下につながります。
