「SSL証明書はとりあえず入れたけれど、無料のものと有料のもので何が違うのか分からない」。事業サイトを運営していると、更新や乗り換えのタイミングでこの疑問にぶつかります。証明書には認証の厳しさが異なる3つの種類がありますが、どれを選んでも通信の暗号化そのものは同じです。だからこそ、費用をかけて上位の証明書にすべきかの判断が難しくなります。この記事を読み終える頃には、DV・OV・EVの違いと、無料のLet’s Encryptで足りるのか有料に切り替える価値があるのかを、業種ごとに切り分けて判断できるようになります。

SSL証明書の役割は「暗号化」と「認証」の2つ

SSL証明書には2つの働きがあります。1つは通信の暗号化で、ブラウザとサーバー間の情報を第三者が盗み見たり書き換えたりできないようにします。もう1つが認証、つまり「運営者は確かに実在する」という身元の保証です。

暗号化の強度は、DV・OV・EVのどれを選んでも変わりません。違いが出るのは認証の部分、すなわち認証局が申請者の何をどこまで確認するかです。SSLの基本的な仕組みはHTTPSとSSLとは？サイトに鍵マークが必要な理由で解説しています。

DV・OV・EVの3種類を表で整理する

3種類の違いを、認証範囲・審査・費用・発行スピード・見え方の観点でまとめます。

項目DV（ドメイン認証）OV（組織認証）EV（拡張認証）
認証範囲ドメインの使用権のみドメイン＋組織の実在ドメイン＋組織を厳格に審査
審査内容メールやDNSで自動確認登記・電話などで組織を確認実在性・事業実態を書類で精査
発行スピード数分〜数十分数日1〜2週間程度
費用の目安無料〜年数千円年数万円年数万〜十数万円
見え方鍵マークのみ鍵マーク（証明書に組織名）鍵マーク（証明書に組織名）

かつてEV証明書はアドレスバーに企業名が緑色で表示される特徴がありましたが、主要ブラウザはこの表示を廃止しました。現在はDV・OV・EVのいずれも、見た目は鍵マークが表示されるだけで、訪問者がパッと見て区別することはできません。組織名を確認するには、鍵マークをクリックして証明書の詳細を開く必要があります。

DV（ドメイン認証）

ドメインの使用権だけを確認する最もシンプルな証明書です。認証は自動化されており、数分で発行されることも珍しくありません。無料のLet’s EncryptもこのDVに含まれます。運営組織は証明されないため、身元保証としては最も弱い水準です。

OV（組織認証）

ドメインの使用権に加え、運営組織が実在するかを認証局が確認します。登記の照合や代表電話への確認が行われるため発行に数日かかり、証明書には組織名が記載されます。訪問者が証明書の詳細を開けば運営者を確認できます。

EV（拡張認証）

最も審査が厳格な最上位の証明書です。組織の実在性に加え、事業の実態や申請者の権限まで書類で精査されます。金融機関や大企業など、なりすましの標的になりやすく高い信頼性が求められるサイトで使われてきました。審査に1〜2週間かかり、費用も最も高額です。

無料のLet’s Encryptはどこまで使えるか

Let’s Encryptは、非営利団体が運営する無料のSSL証明書です。DVに分類され、暗号化の強度は有料証明書とまったく同じです。多くの事業サイトにとって、これで十分実用に足ります。ただし、無料ゆえの特性と限界を理解しておく必要があります。

まず有効期限が90日と短い点です。有料証明書の多くが1年単位なのに対し3か月ごとの更新が必要ですが、多くのレンタルサーバーが自動更新に対応しており、設定してしまえば手間にはなりません。逆に自動更新が正しく動いていないと、ある日突然証明書が切れて警告が出ます。証明書切れの復旧手順はSSL証明書の有効期限切れからの復旧手順にまとめています。

*.example.com のように複数のサブドメインを1枚でカバーするワイルドカード証明書も無料で発行できますが、DNSでの認証設定が必要で、サーバーによっては管理画面から簡単に扱えない場合があります。

最も実務的な限界がサポートの不在です。Let’s Encryptには問い合わせ窓口がなく、設定でつまずいても自力で調べるかサーバー会社に頼るしかありません。相談先がないことは、Web担当者がいない事業者にとって見えにくいコストです。証明書が正しく認識されないケースの原因切り分けはSSL証明書が無効と表示される原因と対処法を参考にしてください。

用途別・どの水準を選ぶべきか

証明書選びは「業種」と「サイトで何を扱うか」で判断できます。ケース別に整理します。

  1. 中小企業のコーポレートサイト・店舗の紹介サイト：問い合わせフォーム程度で、決済や大量の個人情報入力がないならDV（Let’s Encryptを含む）で十分です。無料でも訪問者側の見え方は変わりません。
  2. 予約・会員登録など個人情報を扱うサイト：氏名や連絡先を継続的に預かるならOVを検討する価値があります。証明書に組織名が載り、取引先や利用者が運営者を確認できます。
  3. ECサイト・決済を伴うサイト：カード情報を扱う場合はOV以上を推奨します。ただし決済を外部の代行サービスに委ねればカード情報は自社サイトを通らず、必要な水準は変わります。
  4. 金融・行政・大規模サービス：なりすましリスクが高く、社会的信頼が事業の根幹に関わる場合はEVが選択肢に入ります。多くの中小事業者には過剰な水準です。

迷ったときの原則はシンプルです。決済や重要な個人情報を自社サイトで直接扱わないなら、DVで問題ありません。

よくある誤解「EVでないと危険」は正しくない

「無料のSSLはセキュリティが弱い」「EVでないと安全ではない」という誤解をよく耳にします。これは正確ではありません。通信を暗号化する強度は、DV・OV・EVのいずれも同一です。無料のLet’s Encryptだから通信が盗み見られやすい、ということはありません。

違いはあくまで「運営者の身元をどこまで保証するか」という認証の厳格さです。フィッシング詐欺のような偽サイト対策としては上位証明書に意味がありますが、通常の事業サイトの暗号化においてはDVで必要十分です。

もう1つの誤解が「有料にすれば速くなる・SEOで有利になる」というものです。証明書の種類は表示速度に影響せず、Googleの検索評価もHTTPS化の有無を見るだけでDV・OV・EVを区別しません。費用の高い証明書が検索順位を押し上げることはありません。

まとめ

  • 暗号化の強度はDV・OV・EVで差がなく、違いは「運営者の身元をどこまで認証するか」だけ。
  • 現在はどの証明書でも見た目は鍵マークのみで、訪問者は種類を区別できない。
  • 決済や重要な個人情報を自社で直接扱わないなら、無料のLet’s Encrypt（DV）で十分。
  • Let’s Encryptの実務的な弱点は「自動更新の設定漏れ」と「サポート窓口がないこと」。

Web Gearでは、SSL証明書の選定・設定から自動更新の監視、証明書切れの未然防止までを保守サービスの一部として代行しています。「更新の仕組みが正しく動いているか不安」という新潟の事業者様は、お気軽にご相談ください。

お問い合わせはこちら