TLS証明書が予期せず期限切れになる可能性があります

証明書ライフサイクル管理の自動化が事実上必須となる標準規格の変更について、重要な節目が迫っています。

2026年3月15日以降、パブリックTLS証明書の最大有効期間は398日から200日に短縮されました。この日に証明書を購入または更新した場合、有効期限は2026年10月1日となります。

しかし、実際にはそれよりも早く期限切れを迎える可能性があります。デジサートをはじめとするパブリック認証局（CA）は、発生する可能性のある問題に対処する時間を確保するため、3月15日より前にTLS証明書の最大有効期間を変更しました。デジサートは2026年2月24日に切り替えを実施し、最大有効期間を199日としました。その前日にデジサートで証明書を購入または更新した場合、有効期限は2026年9月11日となります。

こうした変更を想定し、期限内に更新する準備はできていましたか？

これらの日付は、もはや遠い将来の話ではありません。期限は目前に迫っており、手動で証明書を更新している多くのお客様は、来春まで通知されない年次更新カレンダーのアラートを待っている可能性があります。その結果、サービス停止のリスクにさらされることになります。

日付を詳しく確認すると、さらに予想外の事態が見えてきます。前述のデジサートの199日間有効な証明書を、有効期限の前日である9月10日に更新した場合、新しい証明書の有効期限は2027年3月29日となります。その時点では、証明書の最大有効期間は99日に短縮されています。

証明書ライフサイクル管理（CLM）を自動化していれば、すでに30日ごとに証明書を更新することも可能です。更新時期を覚えておく必要がなく、有効期限切れによる予期しないサービス停止を心配する必要もありません。ただし、これは把握できている証明書に限った話です。

この問題は、最大有効期間が47日に短縮される2029年3月15日、またはその少し前から、さらに深刻になります。デジサートでは、パブリック証明書の最大有効期間を46日に制限する予定です。

2025年5月に発表されたこれらの標準規格の変更は、組織に証明書更新の自動化を事実上促すことを目的としています。2029年の変更後は、30～40日ごとに証明書を更新する運用が求められます。これほど頻繁な更新を、手動で一度も漏らさずに実施できるでしょうか。更新を忘れたり、対応する時間を確保できなかったりするたびに、サービス停止のリスクが生じます。

賢明な方法は、ACME（Automated Certificate Management Environment）標準規格を利用して、証明書の更新を自動化することです。自動化には、必要に迫られて導入するという理由以外にも、多くのメリットがあります。

• 信頼性：更新頻度にかかわらず、証明書を確実に更新できます。
• 正確性：人間がこのような作業を行うと、ミスが発生する可能性があります。設定に誤りのある証明書が発行され、失効が必要になることもあります。自動化を正しく設定すれば、適切な証明書を作成してインストールできます。
• 拡張性：管理する証明書の数が増えるほど、自動化の必要性は明らかになります。
  

自動化は完全に無償で実現することもできますが、無償であることには相応の負担が伴います。無償のツールやプロトコルを使用して自動化を実装するには、証明書を使用するすべてのサーバで設定変更や管理が必要になります。対象のサーバが数台を超える場合は、DigiCert Trust Lifecycle Managerのような包括的な証明書ライフサイクル管理（CLM）ツールの導入を検討する価値があります。

2027年3月の証明書有効期間の短縮は、自動化を導入していないユーザにとって、すでに問題を引き起こす可能性があります。まだ着手していない場合、DigiCert CertCentralは、自動化を最も簡単に実現できるパブリック認証局のサービスです。必要に応じて、デジサートのACMEクライアントをインストールできます。このクライアントはWindowsとLinuxで動作し、デジサートのサーバ向けに事前設定されています。また、certbotやPosh ACMEなど、無償で利用できるさまざまなACMEクライアントを使用することもできます。