Let's Encrypt
よみ: レッツエンクリプト
非営利団体(ISRG)が運営する、完全無料の SSL/TLS 証明書(SSL / TLS)(サイトを「https://(HTTPS / HTTP)」化して通信を暗号化する仕組み)の発行サービス。世界の大多数のサイトが採用しており、世界の Web サイトの安全性を飛躍的に高めた立役者。「DV(SSL 認証レベル)(ドメインの所有権のみを確認する簡易な認証レベル)」を提供しており、有効期限が 90 日と短く、プログラムによる自動更新が標準運用となる。
運用の要点：基本は無料で十分だが、有料を選ぶケースもある
中小企業のコーポレートサイトや LP、採用サイトなどであれば、基本的には「Let's Encrypt で十分」。大半のレンタルサーバがボタン 1 つで自動更新する機能を備えている。あえて数万円を払って有料証明書を選ぶのは、以下のような特別な理由がある場合に限られる。
- OV / EV(SSL 認証レベル)(企業認証・実在証明)：銀行や大手 EC サイトなど、登記簿レベルで法人の実在を証明して「運営元の信頼性」を強くアピールしたい場合。
- ワイルドカード(ワイルドカード SSL)の技術的壁：サブドメインを無制限に暗号化する「ワイルドカード(
*.example.com)」を使いたいが、Let's Encrypt で必須となる高度なシステム設定(DNS-01 認証(DNS)や API 連携など)を自社で組めない場合。 - 損害補償：万が一暗号化が破られた際の「損害補償」が必要な場合。
現場でよくある「落とし穴」
「無料＝放置していい」と勘違いしていると、会社を揺るがすインフラ事故を起こす。
- 自動更新失敗による「真っ赤な警告画面」の恐怖：サーバ側の不具合で 60 日目の自動更新処理が止まっていたのに、エラー通知を設定しておらず、気づかずに有効期限(90 日)を迎えて失効してしまう。悲惨な末路として、ブラウザ(Chrome 等)に「この接続ではプライバシーが保護されません(ハッカーに情報が盗まれる可能性があります)」という恐ろしい真っ赤な警告画面が全ページで表示される。ユーザーはパニックになって全員離脱し、売上も問い合わせも一瞬でゼロになる(必ず Slack などの運用チャットやメールに「更新失敗のアラート」が飛ぶよう仕込むのが最低条件)。
- サーバ移転時の「レートリミット(発行制限)」：サーバを引っ越す際、設定ミスなどで何度も証明書の発行テストを繰り返してしまう。Let's Encrypt には「スパム防止のための厳格なレートリミット(同一ドメインに対して週 5 回まで等)」があり、これに引っかかると数日間一切証明書が発行できなくなり、サイトのリニューアル公開が延期になる大惨事を招く。
言葉をよく利用する人
- インフラエンジニア
- バックエンドエンジニア
- Web 担当者(発注側)
- 情シス
会話上での使用例
有料の証明書から無料の証明書への切り替えを経営層と詰める場面
-
経営層
今の SSL 証明書、年間 8 万円かかっている。Lets Encrypt は無料らしいが、大丈夫なのか。
-
Web 担当者
暗号化の中身は同じです。鍵のかけ方は変わらず、銀行サイトのような企業認証のマークが出ないだけで、コーポレートサイトなら全く問題ありません。年間 8 万円が浮きます。
-
経営層
それなら切り替えてくれ。
証明書の自動更新が失敗したときの通知先を業者と決める場面
-
業者ディレクター
Lets Encrypt の更新が失敗したとき、通知はどこに飛ばしましょうか。
-
Web 担当者
個人のメールだけだと、退職したときに気付けず詰んでしまいます。運用の Slack チャンネルと、共有のメーリングリストの両方に飛ばしてください。あわせて月に一度、手動で残り日数を確認する仕組みも欲しいです。
-
業者ディレクター
承知しました。二系統に通知を出して、月次チェックの手順も手順書に入れておきます。