TLS(Transport Layer Security)
よみ: ティーエルエス
通信を暗号化するプロトコルです。SSL / TLSの後継規格で、現在「SSL 証明書」と呼ばれているものは、実体としてはほぼ TLS です。証明書ファイルは同じで、変わったのは握手手順(ハンドシェイク)と暗号スイートの中身ですが、世間の慣習として「SSL」と呼び続けられています。
担当者が TLS を意識する場面(トリガー)
普段から深く意識する必要はありません。以下のような具体的なきっかけがあった時に調べるスタンスで十分です。
- 古い決済代行システムや外部 API と急に通信できなくなった時
- PCI DSS などのセキュリティ監査を受ける時
- 制作会社から「SSL Labs(セキュリティ診断ツール)」の評価レポートを出された時
- 極端に古い端末(ガラケー、旧 IE、旧 Android など)からのアクセス対応が必要な時
現在のバージョン状況
- TLS 1.0 / 1.1：脆弱性があるため現在は非推奨・無効化が常識です。
- TLS 1.2 / 1.3：現在の標準バージョンです。
実務での落とし穴(よくあるトラブル)
- 業者との会話のすれ違い：業者が「SSL」と言っている場合でも、技術的な実体は「TLS(バージョン 1.2 や 1.3)」を指していることがほとんどです。ここを混同しないようにしましょう。
- 決済システムとの通信エラー：決済代行会社はセキュリティに厳しいため、古い TLS のサポートを早く打ち切ります。「自社サーバが古いバージョンのままで、決済エラーが起きて初めて気づいた」という事故に注意が必要です。
- 中間 CA 証明書の設定漏れ：証明書を設定する際、「中間証明書(サーバと端末の信頼を橋渡しするファイル)」を入れ忘れ、特定のスマホブラウザ等でだけ「安全ではありません」と警告が出るミスがよく起きます。
- バージョン変更時のアクセス不可：セキュリティを高めるために古い TLS を無効化すると、古い端末や社内ブラウザからアクセスできなくなることがあります。設定変更時は、必ず検証環境で動作確認をしてから本番に適用するのが鉄則です。
言葉をよく利用する人
- インフラエンジニア
- バックエンドエンジニア
- 情シス
- Web 担当者(発注側)
会話上での使用例
SSL Labsのスコアが低いと業者から報告された場面
-
業者ディレクター
SSL Labsで測ったらC評価でした。TLSの1.0と1.1がまだ有効になっています。
-
Web担当者
それは無効化してください。ただ、古いブラウザを使っているお客様がどれくらいいるか、先にアクセス解析で確認しておきたいです。影響範囲を出してから切り替えましょう。
-
業者ディレクター
了解です。直近3か月の利用ブラウザの統計と、無効化の手順書を作って事前に共有します。
決済APIの接続エラーで業者から連絡が来た場面
-
バックエンドエンジニア
決済代行のAPIへの通信が、エラーで止まってしまっています。
-
Web担当者
TLSのバージョン要件が変わるというお知らせ、最近来ていませんでしたか。あの代行会社は古いプロトコルを順次切っていく方針なので、その影響かもしれません。検証環境で動作を確認してから対応しましょう。