SSL証明書の更新方法:自動更新と有料証明書の手順

SSL証明書の更新方法を解説。Let's Encryptの自動更新設定、有料証明書の更新手順、今後短くなる証明書の有効期間への備えまで紹介します。

よくある質問

Let's Encryptの証明書はどうやって更新しますか?

`sudo certbot renew` を実行します。有効期限が近い証明書だけが更新されるため、スケジュール実行しても問題ありません。多くのCertbot環境では、すでにこの処理を行う定期タスクが設定されています。また、`sudo certbot renew --dry-run` を使うと、テスト用の証明書を保存せずに、Let's Encryptのステージングサーバーで更新処理をテストできます。

2026年のSSL証明書の有効期間はどれくらいですか?

CA/Browser Forumの投票案SC-081v3により、公的に信頼される証明書の最大有効期間は2026年3月15日まで398日でした。この日以降は200日が上限となり、2027年3月15日に100日、2029年3月15日に47日へと短縮されます。認証局によっては上限より少し短い期間で発行する場合があり、Let's Encryptには独自のさらに短いスケジュールがあります。

SSL証明書の期限が切れるとどうなりますか?

ブラウザーでは訪問者にページ全体のセキュリティ警告が表示され、多くのブラウザーは手動で許可しない限り先へ進めません。証明書を厳密に検証するAPIクライアントや、決済・ログイン連携は、そのままエラーになることがあります。新しい証明書を更新してインストールすれば解消し、新しい証明書が有効になった後は訪問者側で何もする必要はありません。

更新は新しい証明書を購入するのと同じですか?

有料証明書の多くでは、更新とは同じドメインに対して新しい証明書を発行することを指し、通常は改めてドメイン認証を行い、CSRも新規作成または再利用します。更新を割引にしたりセットにしたりするベンダーもあれば、通常の購入として扱うベンダーもあります。割引が適用されると決めつけず、ご利用のプロバイダーの更新ポリシーを確認してください。

Let's Encryptの自動更新が止まってしまったのはなぜですか?

よくある原因は、タイマーやcronジョブが削除・無効化された、Webサーバーがポート80のHTTP認証リクエストに応答しなくなった、DNSを変更した、認証フックなしで手動オプションを使って証明書を作成した、などです。ワイルドカード証明書を自動更新するには、DNSプラグインが必要です。`sudo certbot renew --dry-run` を実行して、表示されるエラーを確認してください。

結論: 証明書がLet's Encrypt発行のものなら、sudo certbot renew を実行します(Certbotのインストール時に作成された定期タスクに任せてもかまいません)。認証局や販売代理店から購入した証明書の場合は、そのベンダーの管理画面から更新し、ドメインを再度認証したうえで、新しい証明書ファイルをサーバーまたはホスティング環境にインストールします。その後、ブラウザーで新しい有効期限を確認しましょう。証明書の最大有効期間は今後も短くなっていくため、早めに自動化しておくほど、手作業で更新する回数を減らせます。

まず確認:証明書の有効期限と設置場所

更新する前に、現在使っている証明書の状態を確認します。

  1. Chromeでサイトを開き、鍵アイコン(またはサイト情報アイコン)をクリックして証明書の詳細を開き、「有効期間の終了日」と発行元を確認します。
  2. ターミナルから確認することもできます:echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. 発行元がLet's Encryptなら、下の自動更新のセクションに進みます。それ以外の認証局であれば、おそらく有料証明書なので、有料証明書の更新手順に従ってください。
  4. マネージドホスティングやサイト作成サービスを使っている場合は、通常はプラットフォーム側で更新されます。ファイルをいじる前に、SSLやドメインのセキュリティ設定を確認しましょう。

どの種類の証明書か分からない場合は、SSL証明書の種類ガイドでドメイン認証・企業認証・EV認証の違いを、用語集のSSL証明書とはで基本を確認できます。

状況別の更新方法

状況対応手間
自前のサーバーでCertbotを使ってLet's Encryptを利用定期実行される certbot renew タスクが動いていることを確認し、--dry-run でテストする少ない(基本は初回のみ)
有料の認証局または販売代理店の証明書ベンダーの管理画面で更新し、認証して、新しいファイルをインストールする手動(期間ごとに繰り返し)
SSLが組み込まれたマネージドホスティングやサイト作成サービスSSL設定を確認する。更新は通常自動ほぼ不要
CDNやロードバランサーの背後にある証明書オリジンサーバーではなく、CDNやロードバランサー側で更新する構成による

Let's Encryptの証明書を更新する(自動更新)

Let's Encryptの証明書は、ソフトウェアによる更新を前提に設計されています。Certbotの公式ドキュメントでも、ほとんどのインストールでは自動更新があらかじめ設定されており、certbot renew を定期的に実行するタスクが動くと説明されています。

手順

  1. 定期タスクがあるか確認します。 systemd環境では systemctl list-timers を実行してCertbotのタイマーを探します。それ以外の環境ではcrontabを確認します。どちらの場所もCertbotのドキュメントに記載があります。
  2. ドライランを実行します。 sudo certbot renew --dry-run は、Let's Encryptのステージングサーバーに対して更新をテストします。テスト用の証明書は取得されますがディスクには保存されないため、稼働中のサイトでも安全に実行できます。
  3. 報告されたエラーを修正します。 よくある失敗は、ファイアウォールによるポート80のブロック、認証用パスを配信しなくなったWebサーバー設定、別の場所を指すようになったDNSなどです。
  4. 必要ならすぐに更新します。 sudo certbot renew は期限が近い証明書にしか処理を行わないため、何度実行しても問題ありません。
  5. 更新後にWebサーバーをリロードします。 お使いの構成で自動的に行われない場合に必要です。Certbotには、証明書が実際に更新されたときだけ実行されるデプロイフックがあります。
  6. 新しい有効期限を確認します。 ブラウザーか、上記の openssl コマンドで確認します。

自動更新だけでは動かないケース

  • Certbotの --manual オプションで作成した証明書は、認証フックスクリプトを組み合わせない限り自動更新されません。
  • ワイルドカード証明書にはDNS認証が必要です。無人で更新したい場合は、お使いのDNSプロバイダー用のDNSプラグインが必要になります。
  • 移行・再構築・クローンしたサーバーでは、証明書ファイルは引き継がれても、タイマーやcronの設定が失われていることがよくあります。

有効期間が短くなっても通用する更新スケジュール

Let's Encryptは、デフォルトの「classic」プロファイルを2027年2月10日に64日証明書へ、2028年2月16日に45日証明書へ移行すると発表しています。ACME Renewal Information(ARI)を使わないクライアントは、固定のスケジュールで更新すべきではなく、60日ごとの固定間隔では足りなくなる、というのが公式の指針です。Certbotの renew コマンドは残り有効期間を見て判断するため、より安全な方式です。Certbotを最新の状態に保ち、独自の固定間隔スクリプトで包むのは避けましょう。詳細はLet's Encryptの有効期間に関する発表をご覧ください。

有料SSL証明書を更新する

有料証明書は、ベンダーやホスティング側で自動更新を設定していない限り、自動では更新されません。ボタンやメニューの名称はベンダーごとに異なるため、以下は一般的な手順の流れとして捉え、実際の画面はプロバイダーのドキュメントで確認してください。

  1. ベンダーのアカウントで更新を開始します。 有効期限が近い証明書を探し、更新・再発行・再注文のいずれかを選びます。
  2. CSRを作成します。 多くのサーバーやコントロールパネルで、証明書署名要求(CSR)を作成できます。以前のCSRを再利用できるベンダーもありますが、新しい鍵ペアを生成するほうが一般的に望ましい運用です。
  3. ドメイン認証を完了します。 通常は、承認されたアドレス宛のメール、DNSレコード、サイト上のファイルのいずれかで、ドメインの管理権限を証明します。企業認証やEV認証の証明書では書類審査が必要になることもあるため、早めに着手してください。
  4. 発行されたファイルをダウンロードします。 通常は、証明書本体と中間証明書(チェーン)のバンドルが提供されます。
  5. サーバー、ホスティング、CDNにインストールし、 Webサーバーを再起動またはリロードします。
  6. テストします。 新しいブラウザーウィンドウでサイトを開いて有効期限を確認し、「不完全なチェーン」や混在コンテンツの警告が出ていないことを確かめます。
  7. リマインダーを更新し、 プロバイダーを乗り換えた場合は、古い証明書の自動更新を解約します。

ベンダーを比較している場合や、更新にかかる費用の目安を知りたい場合は、SSL証明書の費用ガイドをご覧ください。ドメイン登録の更新は別途必要で、ドメイン更新費用ガイドで解説しています。

証明書の有効期間は短くなっている(2026年11月確認)

CA/Browser Forumは2025年4月に、投票案SC-081v3を承認しました。これにより、公的に信頼されるTLS証明書の最大有効期間が段階的に短くなります。

発行日最大有効期間
2026年3月15日より前398日
2026年3月15日以降200日
2027年3月15日以降100日
2029年3月15日以降47日

実務上は、手動で更新している証明書は、現在は年に約2回、2027年3月以降は年に約4回、2029年には年に約8回の対応が必要になります。ドメイン認証の再利用期間も短くなるため、過去の認証結果に頼って手順を省くことはできなくなります。この上限は公的に信頼される証明書に適用されるもので、プライベート認証局や社内認証局は独自のルールに従います。

まだ手動で更新している場合の現実的な選択肢は、自動発行(ACME)に対応した認証局やホスティングへ移行するか、ホスティングやCDNなどのマネージドな層をサイトの前段に置くことです。

SSL更新チェックリスト

チームのタスク管理ツールにコピーしてお使いください。

`` [ ] すべての証明書を一覧化する:ドメイン、発行元、有効期限、設置場所 [ ] 各証明書の更新担当者を記録する(チーム名ではなく個人名) [ ] 有効期限の30日前と14日前にリマインダーを設定する [ ] Let's Encrypt:Certbotのタイマーまたはcronジョブがあることを確認する [ ] Let's Encrypt:certbot renew --dry-run を実行してエラーを解消する [ ] ワイルドカード:DNSプラグインまたはフックが設定されていることを確認する [ ] 有料証明書:認証用の連絡先メールまたはDNSの操作権限がまだ使えることを確認する [ ] ベンダーが求める、または推奨する場合は、新しいCSRと鍵を生成する [ ] 証明書と中間証明書チェーンの両方をインストールする [ ] Webサーバー、CDN、ロードバランサーをリロードする [ ] 新しいブラウザーでサイトをテストし、新しい有効期限を確認する [ ] サブドメイン、wwwあり・なし、APIエンドポイントもテストする [ ] 期限切れの証明書を削除し、古いリマインダーを廃止する [ ] 今は200日、2027年3月15日からは100日を前提に計画する ``

更新でよくあるミス

  • 更新する層を間違える。 CDNやロードバランサーでTLSを終端している場合、オリジンサーバーの証明書を更新しても、訪問者に見える証明書は変わりません。
  • チェーンを忘れる。 サーバー証明書だけをインストールすると、あるブラウザーでは動いても、別のブラウザーやAPIクライアントでは失敗することがあります。
  • サーバーをリロードしない。 新しいファイルがディスク上にあっても、古い証明書が配信され続けることがあります。
  • 認証メールが退職した従業員に届く。 連絡先アドレスが確実に監視されているようにしましょう。
  • リマインダーを1つだけに頼る。 カレンダーの通知は消されがちです。自動化に加えて外部の有効期限監視を組み合わせるほうが堅実です。

ホスティング先を検討中の方へ

SSLの更新まで含まれるホスティングなら、こうした作業そのものが不要になります。We.Incの無料プランでは、Nora Kessler StudioやGreenfield Renewablesなどの用意されたテンプレートから、最大3つのサイトを公開できます。プロンプトからサイトの下書きを作るAIビルダーは、月額$20のStarterプランから利用できます。こちらから登録できます。

よくある質問

Let's Encryptの証明書はどうやって更新しますか?

sudo certbot renew を実行します。有効期限が近い証明書だけが更新されるため、スケジュール実行しても安全です。多くのCertbot環境にはすでに定期タスクがあり、sudo certbot renew --dry-run で証明書を保存せずにテストできます。

2026年のSSL証明書の有効期間はどれくらいですか?

上限は2026年3月15日まで398日で、現在は200日です。2027年3月15日に100日、2029年3月15日に47日となります。認証局によっては上限より少し短い期間で発行します。

SSL証明書の期限が切れるとどうなりますか?

ブラウザーにはページ全体のセキュリティ警告が表示され、厳密に検証するAPIクライアントは失敗することがあります。更新した証明書をインストールすれば、訪問者側で何もしなくても解消します。

更新は新しい証明書を購入するのと同じですか?

通常、更新とは同じドメインに対して改めて認証を行い、新しい証明書を発行することです。価格や割引はベンダーによって異なるため、ご利用のベンダーでご確認ください。

Let's Encryptの自動更新が止まってしまったのはなぜですか?

タイマーやcronの設定がなくなっていないか、ポート80がブロックされていないか、DNSが変更されていないか、フックなしの手動モードで作成した証明書ではないか、DNSプラグインなしのワイルドカード証明書ではないか、を確認してください。certbot renew --dry-run を実行すると、具体的なエラーが表示されます。

無料で始める · クレジットカード不要

Umair Ali Sadaqat

We.Inc創業者

UmairはWe.Incの創業者です。AIによるウェブサイト制作、制作会社、ウェブ制作スタジオの経営について執筆しています。

素晴らしいものを作る準備はできましたか？

立ち上げ、成長、自動化のすべてを1つのプラットフォームで行う15,000+社がWe.Incを利用しています。

無料で始める

クレジットカード不要 · 営業担当に相談する

関連: ブログ｜デジタルマーケティングと集客のヒント

製品

ご利用いただける方

機能

リソース

会社情報

サイトマップを見る