「最近、SSL証明書の有効期限が短くなったらしい」——そんな話を耳にして、少し不安になった方もいるのではないでしょうか。実際、SSL/TLSサーバー証明書の有効期間は、業界団体の決定によってこれから段階的に短縮されていきます。しかも最終的には、これまでの398日から47日にまで縮まる予定です。

この記事では、何が起きているのか、なぜ短縮されるのか、そしてサイトやサーバーを運営する立場として今のうちに何をしておくべきかを、できるだけわかりやすく整理します。

何が決まったのか

SSL/TLS証明書のルールは、主要ブラウザベンダーと認証局(CA)が参加する業界団体「CA/Browser Forum」で議論・決定されています。2025年4月、このフォーラムで証明書の最大有効期間を段階的に短縮する提案が可決されました。

具体的なスケジュールは次のとおりです。

• 2026年3月14日まで：最大398日(現行ルール)
• 2026年3月15日〜2027年3月14日：最大200日
• 2027年3月15日〜2029年3月14日：最大100日
• 2029年3月15日以降：最大47日

段階的に半分近くずつ短くなっていき、最終的には現在の1/8程度の期間になるイメージです。あわせて、ドメイン所有権の確認情報を使い回せる期間(DCV再利用期間)も同じスケジュールで短縮され、2029年以降は10日になります。

有効期間はなぜ短縮されるのか

背景にあるのは、証明書の有効期間が長いほどセキュリティ上のリスクが積み上がるという考え方です。仮に秘密鍵が漏えいしたり、証明書の発行時に何らかの設定ミスがあったりした場合、有効期間が長いとその影響が長く残ってしまいます。有効期間を短くしておけば、問題があっても比較的早いサイクルで新しい証明書に置き換わるため、被害や影響範囲を抑えやすくなります。

また、証明書に含まれる暗号技術は年々進化しており、古い基準のまま長期間使われ続けることを防ぐ狙いもあります。ブラウザ側もこの流れを後押ししており、今後さらに短縮が進む可能性もゼロではありません。

サイト運営者にとっての影響

これまで398日(実質1年強)ごとだった証明書の更新が、将来的には47日、つまり1ヶ月半ごとになります。年に1回思い出したように手動で更新していたような運用は、この先通用しなくなっていきます。

特に注意したいのが、次のようなケースです。

• 証明書の更新を管理会社任せにしていて、自社では手順を把握していない
• 長年更新していない古いCMSやシステムの上でサイトを動かしている
• レンタルサーバー側が証明書の自動更新に対応しているか確認したことがない

更新を忘れてしまうと、サイトにアクセスした際にブラウザで警告が表示され、ユーザーの離脱や信頼低下につながります。更新頻度が増えるということは、それだけ「うっかり失効」が起こるリスクも増えるということです。

有効期間短縮に対し今のうちにできる備え

対策の方向性はシンプルで、証明書の発行・更新をできるだけ自動化しておくことに尽きます。多くの認証局やレンタルサーバーは、ACME(証明書の自動発行・更新を行う仕組み)に対応したサービスを提供しており、一度設定してしまえば、有効期間が短くなっても人手を介さずに証明書が更新され続けます。

サーバーの契約を見直すタイミングであれば、SSL証明書の自動更新に標準対応しているかどうかも選定基準に入れておくとよいでしょう。弊社が提供しているレンタルサーバーサービス「PaletteUp」も、こうした証明書管理のしやすさを意識したサービスの一つです。

一方で、そもそもサイト自体が古く、独自の作り込みがされていたり、長期間手を入れていなかったりする場合は、証明書の自動更新設定を組み込むこと自体が難しいケースもあります。「サーバーは変えられても、サイトの仕組みが古くて対応しきれない」という場合には、この機会にサイトそのもののリニューアルを検討するのも一つの選択肢です。弊社のセミオーダー型サイト制作サービス「MODULLO」のように、運用のしやすさを前提に作られたサイトへ移行することで、証明書管理を含めた日々の運用負担を減らすことができます。

SSL証明書に関するよくある疑問

〇 今使っているSSL証明書は、急に無効になったりしますか？

すでに発行済みの証明書がその場で無効になることはありません。今回のルールが影響するのは、今後新しく発行・更新される証明書からです。ただし、次回の更新以降は有効期間が短くなっていくため、これまでと同じ感覚で「更新は忘れた頃でいい」と考えていると対応が遅れる可能性があります。

〇 証明書の更新は誰がやってくれるものですか？

レンタルサーバー会社やCDN事業者が自動更新機能を提供している場合は、多くのケースでサーバー側が自動的に処理してくれます。一方、自社サーバーを運用していたり、証明書を個別に購入して手動で設定していたりする場合は、更新作業も自社(または委託先)で行う必要があります。まずは今契約しているサーバーやサービスが自動更新に対応しているかを確認するのが第一歩です。

〇 具体的に何から手をつければいいですか？

まずは自社サイトが「誰の管理下で」「どういう仕組みで」証明書を更新しているのかを洗い出すところから始めるとよいでしょう。自動更新の仕組みがすでにあれば当面は様子見で構いませんが、手動更新が残っている場合や、サイトの仕組みが古くて自動化しづらい場合は、サーバーやサイトそのものの見直しを検討するタイミングです。

まとめ

SSL/TLS証明書の有効期間は、2026年3月から200日、2027年3月から100日、そして2029年3月には47日へと段階的に短縮されていきます。背景にあるのはセキュリティリスクの低減であり、今後は証明書の自動更新がサイト運営の前提になっていきます。

「サーバーが自動更新に対応しているか分からない」「サイトが古くて対応できるか不安」という方は、この機会に運用環境そのものを見直してみてはいかがでしょうか。