インターネットは通販や各種サービスの利用で、もはや私たちの日常生活に、欠かせないものになってきました。

さらに、コロナ禍でリモートワークや、ネットでの買い物が増え、通信のセキュリティは誰にとっても最重要課題です。近年、ネット上の個人情報が流出し、不正な請求を受けたり、アカウントが乗っ取られたりすることが多発しています。

また、使用端末がウィルスに犯されたり、企業のサイトがサーバー攻撃を受けたりするリスクも高まっています。

ここでは、Webサイトの情報セキュリティに欠かせないhttps化、SSL化とは何か、その仕組みやSSL化しないとどうなるかについて説明します。

WebサイトのSSL化は必要？

httpのサイトとhttpsのサイトでは、何がどう異なるのでしょうか。

SSL化とは？わかりやすく説明します！

SSL化とは、Webサイトのインターネット上の情報通信において、データを暗号化して安全に送受信する仕組みにすることです。

SSLはSecure Sockets Layerの略語で、ネット上の情報を暗号化し、第三者によって傍受・改ざんされないようにする技術をいいます。

SSL化されたWebサイトは、httpではなくhttpsで始まるU R Lになります。

パソコンやスマートフォンに入力された情報は、各端末からサーバーに送られますが、その際に個人情報などの重要なデータが、漏洩するリスクが発生します。

WebサイトをSSL化することで、情報データを暗号化し、端末とサーバー間の送受信を安全に行うことができます。

サイトをSSL化に対応させることで、ホームページのセキュリティを高め、訪問者が安心して利用できるようになります。

セキュリティ対策の必要性

Webサイトが海外からサイバー攻撃を受け、データが改ざんされたり、サーバーがダウンして接続できなくなったりするケースがあります。

個人情報を盗むフィッシング詐欺や、悪意ある第三者が送り込むウィルス（マルウェア）により、個人の端末が遠隔操作されたりすることもあります。

インターネットは非常に便利なツールである反面、セキュリティ対策をとらずに無防備でいれば、個人や企業に甚大な被害を招くリスクが内在しています。

キャッシュレス化の推進で、個人情報が安易にネット上から入力されるようになってきました。

リモートワークでは、自宅端末と企業のサーバーが結ばれ、顧客リストや経理に関する情報までがネット上でやりとりされるようになってきています。

また、コンビニや宿泊施設、交通機関で無料Wi-Fiを利用する機会も増え、個人情報やクレジットカード情報が盗まれるリスクも高まっています。

SSL化しないとどうなる？

情報漏洩を起こすと、企業のブランド・イメージが損なわれ、消費者の信頼を取り戻すために多くの時間が必要になります。

セキュリティ対策は、ビジネスを継続してゆくために必須であり、その中でもサイトのSSL化は急務と言えるでしょう。

自社のWebサイトをSLL化することで、インターネット上の情報通信を暗号化し、ユーザーの個人情報を守り企業の信頼性を高めることができます。

SSL化されていないとサイトは？

Googleは2014年から、SSL化されたWebサイトの優遇措置を開始しています。SEO対策でも有利になると言われています。

現在では、SSL化されていないサイトは、アドレスバーに「保護されていません」「安全ではありません」などの表示が出ます。

ブラウザ側で安全性に関する警鐘を鳴らすことで、SSLの標準化に向けた動きが、さらに加速されていると言えます。

サイトのSSL化の仕組みと種類

日頃何気なく利用している、スマホやタブレットなどのモバイル端末では、どのような情報通信が行われているのでしょうか。

サイトをSSL化することで、暗証番号や個人情報などのCookieが第三者に傍受されるリスクを、どのように回避できるかについて見てみましょう。

SSL（暗号化）の仕組み

暗号化されたデータの暗号を解除することを「復号化」と言います。サイトのSSL化では、データを暗号化したり複合化したりするのに、「鍵」機能が使われています。

スマホやパソコンでWebサイトを見るには、GOOGLE ChromeやSafari、MicrosoftのEdgeなどのブラウザが使われています。

SSLの仕組みですが、ユーザーがブラウザ上で情報を入力すると、ブラウザとサーバーが「共通鍵」で暗号化して情報通信をします。データの送受信で、サーバーは、ブラウザのSSL通信要求に対して、「公開鍵」を含む「サーバー証明書」を発行します。

ブラウザは受け取った「公開鍵」で「共通鍵」を作成し、暗号化したデータをサーバーに送信します。サーバーは暗号化された「共通鍵」を「秘密鍵」で解除して、復号化して受け取った情報を解読します。

このように、SSL化による通信を行うには、「公開鍵」や「秘密鍵」、「サーバ証明書」などが必要になります。

SSL証明書 企業認証とドメイン認証の違いとは

SSLの認証の種類には、ドメイン認証型、企業認証型、EV認証型があります。

ドメイン認証型

ドメイン認証型（DV:Domain Validation）は、申請者がドメインの所有者であることを証明するものです。認証局がオンライン上で認証するもので、申請者の実在性まではチェックしません。

申請者のWhois(ドメイン登録者）情報を確認し、「認証の知らせ」や「証明書発行情報」をメールで知らせます。

無料のものもあり、コスト面ではメリットがありますが、企業認証型に比べて少し信用性の低いものとなります。

企業認証型

企業認証型（OV:Organization Validation）は、申請している企業が実在していることを証明するものです。

企業・団体の公式サイトに対してのみに、発行される証明書で、個人・個人事業主には発行されません。

認証時「登記事項証明書」や帝国データバンクのデータ確認やDUNS番号（ダンツナンバー）の確認、「電話確認」で確認が行われます。

EV認証型

EV認証型（EV:Extebded Validation）は、ドメイン管理者が、企業・団体として実在するかを厳格に証明するものです。

ドメイン名の利用権や、企業・団体の法的・物理的実在性に加えて、組織運営の担当や責任者の確認まで行います。

第三者機関のデータベースも利用して、信頼性を調べるため、SSL認証の中では最もレベルの高い認証です。

費用も毎年数十万円ほどかかるものもあり、申請手続きのほかに設定代行費など、コスト面でもハードルが高くなります。

最後に

ECサイトにおけるセキュリティーの向上は、企業の信頼に関わる重要な課題となっています。

2017年10月のGoogle Chromeのバージョン以降、SSL化されていないページに、警告が表示されるようになりました。

アドレスバーに「保護されていません」「安全ではありません」と表示され、ユーザーに不安感を与えてしまいます。

サイト運営管理者としては、コストや手間などの課題があっても、自社サイトをSLL化対応しなければならない現状がここにあります。

今後、市場経済のデジタル化はさらに進むと予測され、SSL化の今後を見据えた適切な判断が、サイト運営者に今求められています。

SSL化されたWEBサイトは、グーグル検索エンジンから安全なサイトとして、良い評価を受けることができますので、SSL化をおすすめします。