ワイルドカード SSL

1 枚の SSL 証明書(SSL / TLS)を契約するだけで、メインのドメインとその下位にある「全サブドメイン」を無制限に一括で暗号化(保護)できる、いわば"マスターキー"のような証明書。コモンネーム(証明書の適用対象)を「*.example.com」という形で発行することで、shop.example.com、blog.example.com、recruit.example.com など、後からどれだけサブドメインを増やしても、証明書を追加購入・設定する手間が一切不要になる。

運用の要点：導入の目安と「無料の壁」

現場での判断目安として、「サブドメインが 1〜2 個なら個別取得で十分。3 個以上運用するならワイルドカードを検討する」のが定石。LP やキャンペーンサイトを頻繁に立ち上げる運用では、管理コストが激減する。無料の「Let's Encrypt」でもワイルドカードは発行できるが、DNS-01 認証という高度なシステム連携が必須になる。これは「自動更新のたびに、ドメインの管理側(DNS)にプログラム経由で TXT レコード(合言葉)を書き込む」仕組みであり、インフラエンジニアによる API 連携の設定が前提となる。設定が難しい場合は、保証や保険が付く有料のワイルドカード証明書(年間数万〜十数万円、企業認証(OV)(SSL 認証レベル)レベル)を購入して手動で更新する。

現場でよくある「落とし穴」

1 枚で全部守れるということは、「1 枚死ねば全部死ぬ」という強烈なリスク(単一障害点)と隣り合わせ。

• 「マスターキー漏洩」による全滅と再発行地獄：秘密鍵(暗号を解くための鍵データ)が漏洩した場合、1 つのサブドメインだけでなく「束ねているすべてのサブドメイン」の安全性が崩壊する。悲惨な末路として、被害を止めるために、全サブドメインの証明書を急いで再発行し、古い証明書を失効リスト(CRL:ブラックリスト)に登録するなどの緊急の火消し作業に追われる。そのため、決済画面や機密情報を扱う社内ツールなど「セキュリティレベル(機微度)が特に高いサブドメイン」は、あえてワイルドカードで束ねず、独立した別の証明書を取得するのがプロのリスク分散。
• 自動更新失敗による「全サイト一斉ダウン」：無料の Let's Encrypt で API による自動更新を組んでいたが、API の期限切れや仕様変更に気づかず、更新処理が止まってしまう。結果、期限を迎えた瞬間に会社のメインサイトも LP も社内ツールも一斉に「真っ赤な警告画面」になり、全機能が停止する。
• 「孫ドメイン(ネスト)」の勘違い：「*.example.com」のワイルドカードで、「test.shop.example.com」のようなネスト(孫ドメイン)まで保護できると勘違いして設定し、エラー画面を出してしまう(※ワイルドカードの「*」は 1 つの階層しかカバーできない)。