SSLサーバ証明書の料金比較と選び方総まとめ

2017年にGoogleがシマンテックによるSSL証明書の発行について問題提起しているとのニュースが報じられ、現在も協議が続いています。今後シマンテック系列のSSL導入(とくに複数年以上の長期契約やEV SSL契約)を検討されている方はご注意ください。なおシマンテック傘下にあるジオトラスト・ラピッドSSL導入についてもご注意ください。また当記事の内容も、必要に応じて修正となる可能性がありますのでご了承ください。
2017.8.9追記:シマンテックのSSL事業は、DigiCertに売却および引き継がれることが発表されました。

※またすでに取得済みのSSLに関しては、2017年8月8日から段階的に2016年6月1日以前発行のシマンテック系列SSLが無効化されるため、この対応として再発行が必要となっていますのでご注意ください。
8月7日にGoogleからの提案に変更があり、無効化は2018年以降となったとのことです。そのため上記再発行は8月8日までに行う必要はなくなりました。

最新版 SSL取得料金比較

現時点(2017年8月)での代表的な独自SSLの料金比較一覧です。すべて1年契約の場合の料金(税込)です。なお(ラピッドSSLを除き)海外での取得ではなく、国内正規代理店の料金比較となります。

☆キャンペーン情報☆

  • ドメインキーパーにて、新規・既存ユーザーのどちらも対象となる大幅割引キャンペーン実施中!
     (2017年8月24日まで)※下記の価格表に反映済みです

2017年8月1日調べ。すべて新規1年契約時の価格(税込)

認証局 証明書 認証
レベル
定価 ドメインキーパー データ
ホテル
KDDIウェブ SSLボックス
シマンテック
(旧ベリサイン)
セキュア・サーバID ★★
企業
¥87,480 ¥63,752

-27%

¥62,640

-28%

¥67,176

-23%

セキュア・サーバID EV ★★★
EV
¥174,960 ¥118,864

-32%

¥144,720

-17%

¥141,480

-19%

グローバルサイン クイック認証SSL
ドメイン
¥37,584 ¥10,800

-71%

¥20,412

-45%

企業認証SSL
企業におすすめ
★★
企業
¥64,584 ¥20,196

-68%

¥40,824

-36%

EV SSL ★★★
EV
¥138,240 70,848

-48%

¥91,260

-33%

ジオトラスト クイックSSL
プレミアム

ドメイン
¥33,804 ¥7,749

-77%

¥16,200

-52%

¥16,956

-49%

¥16,200

-52%

トゥルービジネスID ★★
企業
¥59,400 ¥28,080

-52%

サイバートラスト Sure Server ★★
企業
¥81,000 ¥38,340

-52%

¥47,250

-41%

Sure Server EV ★★★
EV
¥162,000 ¥102,600

-36%

¥51,840

-68%

ラピッドSSL ラピッドSSL
※サイトシールが画像

ドメイン
$69 ¥4,320
  •  ・最安値(またはそれにほぼ近い金額)については、太字および背景色を変更しています。
  •  ・割引率(パーセント表示)に関しては小数点第1位を切り下げしています。
  •  ※セキュア・サーバIDについては、2年以上契約の場合はドメインキーパーの方が1万円近く安くなります。

どの代理店で購入するべきか悩んだら

どの代理店で取得するか迷った場合、(価格にあまり差がない場合であれば)ドメインキーパーが安心です。国内正規代理店としてトップクラスの発行実績があることにくわえて、24時間365日体制での電話サポートがあるため、分からないことがあればいつでも問い合わせできます。さらにSSL取得に関して行わなければならない「CSR発行」を無料で代行してもらうこともできる(EV SSL除く)ため、とくにSSL初心者にはおすすめです。

SSLサーバ証明書の選び方

独自SSL(専用SSL)にはシマンテック(旧ベリサイン)、グローバルサインなど幾つかの認証局ブランドがあります。さらにそれぞれの認証局が、価格の違う複数の種類のSSLサーバ証明書を発行しています。
※厳密には現在のサーバ証明書はTLSと呼ばれる技術が主流になっていますが、一般的には従来のSSLという用語を用いることが多いため、本記事でも以降SSLという表記で統一しています。

これからSSLをウェブサイトに導入しようと考えている方にとって気になるのは、「これらの認証局や証明書によって、実際の機能にどのような違いがあるのか」だと思います。
以下、それぞれの違いを説明しながら、証明書の選び方ついて解説します。

暗号化機能における差はほとんどない

まずSSLサーバ証明書の第一の役割が「通信の暗号化」です。たとえば問い合わせフォームや買い物かごなどに入力された個人情報が、通信経路上で悪意ある人間に盗聴されないように暗号化するという、もっとも基本となる機能です。

ただし、いきなり結論を言ってしまうと、暗号化という面では認証局・証明書の種類による機能差はほとんど存在しません。

というのも、現在では代表的な認証局が新規に取り扱う証明書は、どの種類であってもSHA-256(SHA-2)と呼ばれる暗号強度が256bitの方式を採用しています。使っている暗号方式が同じである以上、暗号そのものの安全性についてはどの認証局を選んでも同じになります。

つまり、認証局や証明書の種類が違うことで暗号が強固になったり、あるいは逆に破られやすくなるといったことはないことになります。

※上記で機能差が「ほとんど」ないという表記をしていますが、これは携帯電話(いわゆるガラケー)や古いスマートフォンOSなどの対応においては一部差異が見られるためです。

※なお暗号化によって盗聴を防止できても、データ自体の改ざんや破壊そのものを防ぐことはできません。そこでSSLではハッシュ値の計算と呼ばれる作業により、送信前のデータと届いたデータの比較を行うことで改ざんされていないなかを確認する仕組みもあわせて備えています。

信頼性証明における大きな違い

信頼性の証明がなぜ必要か

しかし暗号強度に差がないにもかかわらず、証明書には多くの認証局や種類があります。これはなぜかと言えば、証明書のもうひとつの役割である「信頼性の証明」に関する機能が大きく異なるからです。むしろ、こちらの役割が有料の証明書を導入する理由とも言えます。

じつは暗号化しただけでは、通信の安全性が十分に守られていることにはなりません。なぜならSSLによって情報が暗号化されるのは通信途中のみだからです。もし通信先のサーバーがそもそも悪意ある人間によって運用されていた場合、暗号化だけでは意味を持たなくなってしまいます(例:フィッシングサイトなど)。

そこでSSLサーバー証明書にはもうひとつ、自らの「信頼性の証明」という重大な役割があります。そしてこの信頼性を保証する組織が「認証局(CA)」であり、その認証を受けて証明書が発行されます。

どの認証局を選ぶべきか

どの認証局によって発行された証明書であるのか、ということはブラウザ上の鍵マークをクリックすることで、誰でも簡単に確認できます。そしてここで「どの認証局を選ぶべきか」という問題が関わってきます。

まず認証局自体に、知名度やブランド力といったものがやはり存在します。
たとえばシマンテック(旧ベリサイン)は大手ネットショップ、ネットバンクなどで軒並み採用されており、一般ユーザーにも馴染み深くなっています。SSLが導入されていることを示す「シール」も、ウイルス対策ソフトで有名な「Norton(ノートン)」のものが表示されるため、やはり安心感を与えやすいです。
またグローバルサインも国内シェアNo.1であり、認知度がかなり高くなっています。

一方で格安のラピッドSSLなどになると、一般ユーザーへの認知度はどうしても低くなります。またウェブサイトに貼る「シール」の提供自体がない等の点で、ユーザーに与える安心感が落ちてしまいます。
※ラピッドSSLにもサイトシールと呼ばれるものはあるのですが、これは誰でも保存可能な単なるGIF画像です。本来のシールの役割を果たしているとは言いがたいので提供なしとしました。

また2011年頃には低価格で有名なComodo(コモド)社のハッキング事件が起こっており、信頼性という面ではやはり格安SSLは大手認証局には及ばない面があります。

ただし、いわば高級ブランドと廉価ブランドのように、認証局の違いは価格にも大きく反映されます。企業や法人であればグローバルサインやシマンテックなどの採用がおすすめですが、一方で個人であれば格安のラピッドSSLなどの利用も有力な選択肢になります。

認証局によるその他の違い

なお暗号化と信頼性証明以外の点でも、認証局によって多少違いがあります。たとえば証明書の発行スピード、万が一のトラブルの際の補償額、携帯や古いスマホへの対応率などです。基本的には大手認証局の方がサポート含め手厚くなる傾向があります。

証明書には3つの認証レベルがある

ここまでは認証局ごとの違いを中心に説明してきましたが、SSLサーバ証明書自体にも幾つかの種類があります。同一の認証局であっても、価格の異なる複数の証明書を提供しているのはこのためです。

証明書の種類の違いは、主に認証方法の違いによるものです。簡単な審査だけで発行されるレベルの低いものから、非常に厳格な審査を通過しないと発行されないレベルの高いものまで、大きく分けて3種類があります。

ドメイン認証

もっとも簡単な証明方法です。これはウェブサイトのドメイン宛にメールを送信し、それが正しく届くかどうかを調べることで「ウェブサイトが本当に存在しているか」を確かめる方法です。

簡易な認証方法のため低価格の独自SSLに採用されており、上記の表でいえばラピッドSSL、ジオトラストのクイックSSLプレミアム、またグローバルサインでもっとも割安のクイック認証SSLなどがこれに当たります。

メリットとしては低価格であることと、また企業でなく個人でも利用できることが挙げられます。後述の企業認証やEV認証は発行対象が法人に限定されることもあり、個人で運営しているサイト・ブログの問合せフォームなどに独自SSLを導入したい場合には、ドメイン認証のものから選ぶことになります。

企業認証(法的実在証明)

ウェブサイトの運営元企業が法的に存在することを確認する証明方法です。価格面ではドメイン認証のものに比べて高くなってしまいますが、信頼性という面ではドメイン認証とは段違いに良くなります。

なぜならドメイン認証というのは、結局はそのドメインの持ち主であれば誰でも認証してもらうことができます。そのため認証局によっては最短2分のスピード発行などに対応しているほどです。しかしユーザーの立場に立った場合に「この通信先を信頼できるか」というと、非常に不安の残る認証方法です。

これに対して企業認証は帝国データバンクなどのデータベースへの登録確認、企業へ実際に電話するなどの方法を通して、たしかにその企業が実在していることを確かめます。この認証レベルにいたってはじめて、個人情報やクレジットカード情報などを安心して取り扱えると言えます。

そのため企業・法人でウェブサイトを運営する場合にはもっともスタンダードな証明書の種類となります。具体的にはグローバルサインの企業認証SSL、シマンテックのセキュアサーバIDなどがこれに当たります。

EV認証(物理的実在証明)

一番厳格な証明方法がこのEV認証です。前述の企業認証にくわえて、さらに会社の登記事項の確認、あるいは場合によっては実際の住所に赴いたりなどのより厳しい確認作業を行った上で発行されます。

このEV認証を伴うものは(どの認証局かを問わず)「EV SSL」とも呼ばれます。具体的にはシマンテックのセキュアサーバID EV、グローバルサインのEV SSLなどが該当します。

さらにEV SSL証明書を導入したサイトにアクセスした場合、ブラウザのアドレスバーが自動的に緑色になり、ユーザーに安全性を視覚的にもアピールできます。
ただし価格面で非常に高価になってしまうため、予算と必要性の兼ね合いを考えて選んでください。

その他のポイント

認証局および認証レベルの違いは上記のとおりです。ただし、このほかにもこまかな点で幾つか気をつけるべきポイントがあります。以下、それぞれの項目について簡単に解説します。

ワイルドカード(複数サイト)対応

サーバ証明書は通常、一つのウェブサイトに対して一枚発行されます。そのため「example.com」と「hogehoge.com」という二つのサイトそれぞれに証明書を導入するには2枚分の申し込みが必要です。
※一つの証明書で複数の独自ドメインに対応する「マルチドメイン」機能を有しているものもなかにはあります。ただし、この場合でもドメインの数だけ同じ追加料金が必要になるため、費用面で優れているわけではありません。

これは「flower.example.com」と「book.example.com」のようなサブドメインの場合でも同じです。ただし、このようなサブドメイン形式の場合のみ、複数のサブドメインサイトにまとめて一つの証明書で対応できる「ワイルドカード」形式のSSLがあります。
※ルートドメインである「example.com」と、サブドメインの「flower.example.com」のサイトを運営する場合にも対応できます。

ワイルドカード対応のSSLは料金が高額になりがちです。以前はラピッドSSLのワイルドカードが(代理店経由で)1万円台と比較的安価でしたが、2015年に入って大幅値上げで5万円台となり導入のハードルは高くなっています。また、あくまでも簡易のドメイン認証レベルのもののため、よほど対象サイト数が多くないかぎりは通常SSLを個別に導入する方が現状ではおすすめです。

代理店の利用について

SSLサーバ証明書は、大量に販売する代理店を経由することで公式よりも大幅に安く購入できるのが一般的です。公式での取得と比較しての特別なデメリットもないため、当サイトでは代理店での取得をおすすめしています。

代理店は国内および海外のものも含めて多数のものがありますが、当サイトでは主な国内正規代理店の価格を比較し、その最安値を表内に掲載しています。またキャンペーン等で価格の変動が起こることもあるため、毎月はじめに料金を再調査して更新しています。

なお海外の代理店ではさらに低価格で購入できるところもありますが、その場合は証明書は国内発行ではない(第三国発行)ため、証明書運用にトラブルが生じた際に困る可能性があります。そのため当サイトでは国内代理店のみ掲載を行っています。

共用レンタルサーバーへの独自SSL導入

VPSや専用サーバーと異なり、共用サーバーの多くではSSL持ち込みが許可されていません。そのため公式サイトや代理店で独自SSLを取得しても利用は行えません。かわりにレンタルサーバー事業者が提供している取得代行サービスを使う必要があります。

なお共用サーバーでも、WebArena SuiteXやさくらのレンタルサーバでは代理店等で取得した独自SSLの持込みが許可されています。代理店で割引購入したSSLを導入したい場合には、こうしたサービスを選ぶことになります。

ただし、最近になって一部のエックスサーバーやさくらにおいて、SNI SSLと呼ばれる低価格SSLが提供されています。SNI SSLの場合は、たとえばラピッドSSLだと年間1620円で利用できるなど、代理店で別途取得するよりもさらにお得になる場合もあります。とくに個人でドメイン認証の証明書を検討している場合にはおすすめです。

さらにエックスサーバーにおいて、無料SSLサーバー証明書Let’s Encryptの利用が可能となりました。しかも自動更新のため、一度設定してしまえばユーザー側でのその後の更新作業は不要となっています。じつは当サイトも現在はこの機能を用いて、無料でサイト全体のSSL化を行っています。
(参考記事:エックスサーバーのレビューと評価

証明書選びに迷ったら

独自SSLは証明書ごとの違いが一見しただけだと分かりにくいため、どうしても選ぶにあたって迷いがちです。そのため、あらためて対象別に簡単なおすすめを掲載します。

個人ユーザー

個人でウェブサイトを運営している方は、企業認証やEV SSLは利用できません。そのためドメイン認証のものから選ぶことになります。

具体的には年間4000円ちょっとで導入できるラピッドSSLが定番です。または知名度も一定以上ある認証局を選ぶならば、グローバルサインのクイック認証SSLがおすすめです。

そのほかレンタルサーバーもあわせて新規契約を検討している(または乗り換えを考えている)という場合には、無料の独自SSL「Let’s Encrypt」に対応したエックスサーバーがおすすめです。当サイトもこれを用いて、サイト全体をSSL化(HTTPS化)しています。

企業・法人ユーザー

企業や法人の場合は、ウェブサイトの運営元の信頼性をきちんと証明できる「企業認証」レベルのSSLの導入をおすすめします。ただし重要性の高いウェブサイトでなければ、必ずしも最上位のEV SSL(物理的証明)である必要はありません。

具体的にはグローバルサインの企業認証SSLが価格と知名度のバランスが良くておすすめです。代理店経由なら2万円台後半で取得できるなど、企業認証としては最安値の部類に入ります。また価格的にはかなり高額になりますが、認知度の高いものを使いたいならシマンテックのセキュア・サーバIDが安心です。

・参考:企業・法人向けSSLサーバ証明書ランキング