Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第4部 4-1

TLS・HTTPS・SSHとは｜通信を暗号化する仕組み

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 自社サイトの「保護されていない通信」表示を消したいとき
  • 取引先のチェックシートで、暗号化通信の設問に答えるとき
  • 制作会社から「サーバーにSSHで入ります」と言われ、何に気をつければよいか知りたいとき

読み終えたあと、社内でこう言えます

「自社サイトのHTTPSと暗号設定を、IPAの目安で確認しました」

結論：TLSは、インターネットの通信を暗号化し、相手が本物かを確かめる仕組みです。WebサイトにTLSを使ったものがHTTPSで、サーバーを遠隔で操作するための暗号化通信がSSHです。「保護されていない通信」の表示は、サーバー証明書を入れてHTTPSに統一すると消えます。設定の目安は、IPA「TLS暗号設定ガイドライン」の推奨セキュリティ型（TLS1.2を必ず有効、TLS1.1以前は無効）です。

TLSは通信の盗み見・書き換え・なりすましを防ぐ仕組みで、Webに使うとHTTPS、サーバー操作にはSSHを使う

暗号化通信が防ぐ3つのこと

インターネットの通信は、相手に届くまでに多くの機器を経由します。暗号化していない通信は、途中で中身を見られたり、書き換えられたりするおそれがあります。暗号化通信は、次の3つを防ぎます。

防ぐこと守る性質会社での例
盗み見（盗聴）機密性問い合わせフォームに入力された電話番号や住所を、途中で読まれる。
書き換え（改ざん）完全性ダウンロードした見積書や、表示された振込先が途中で差し替えられる。
なりすまし真正性（本物であること）本物そっくりの偽サイトに、気づかずにログインしてしまう。

3つの性質は機密性・完全性・可用性と真正性の節で説明しています。暗号化通信は、この3つを通信の区間で守る仕組みです。ただし、届いた先のサーバーやパソコンの中までは守りません。サーバーが乗っ取られていれば、暗号化していても情報は漏れます。

TLSの仕組み：鍵を決めてから話す

TLS（Transport Layer Security）は、通信を暗号化するための約束ごと（プロトコル）です。昔はSSLと呼ばれていました。今も「SSL証明書」「常時SSL」という言い方が残っていますが、使われているのはTLSです。

ブラウザがHTTPSのサイトを開くとき、裏では次の順番で準備が進みます。

  1. あいさつ：ブラウザが「使えるTLSの版と暗号の種類」をサーバーに伝えます。
  2. 身分証の提示：サーバーがサーバー証明書を見せます。証明書には、サイトのドメイン名と発行した認証局が書かれています。
  3. 身分証の確認：ブラウザは、信頼できる認証局が発行したか、ドメイン名が合っているか、期限内かを確かめます。
  4. 合鍵づくり：両者で、その通信だけに使う共通の鍵を安全に決めます。
  5. 暗号化して会話：以後のやり取りは、その鍵で暗号化し、改ざんがないかも確かめながら進めます。

最初に公開鍵暗号で相手を確かめ、その後は速い共通鍵暗号で通信する、という組み合わせです。暗号の基本は暗号の基礎の節にまとめています。

TLSの版：古い版は使わない

TLSには版があり、新しいほど安全です。最新のTLS1.3は、2018年8月にRFC 8446として標準になりました。古いTLS1.0と1.1は、2021年3月のRFC 8996で使用をやめるよう定められています。

版今の扱い
TLS1.3最新。対応していれば有効にする。
TLS1.2現役。多くの環境で必須。
TLS1.0・1.1使用をやめる（RFC 8996）。
SSL2.0・3.0使ってはいけない。

HTTPSと「保護されていない通信」の消し方

HTTPSは、Webの通信（HTTP）をTLSで暗号化したものです。アドレスが「https://」で始まります。Googleは2018年7月のChrome 68から、HTTPSでないサイトすべてに「保護されていない通信」と表示するようにしました。

この表示は、お客様に「このサイトは大丈夫か」と思わせます。問い合わせフォームがあるなら、なおさらです。消すには、次の4つを順に確かめます。

  1. サーバー証明書を入れる：多くのレンタルサーバーは、管理画面から証明書を設定できます。まず契約中のサーバーの機能を確認します。
  2. httpからhttpsへ自動で移す：「http://」で来た人を「https://」へ転送する設定にします。
  3. ページの中の部品もhttpsにする：画像やスクリプトの一部がhttpのままだと、警告が残ることがあります（混在コンテンツ）。
  4. HSTSを検討する：「このサイトは必ずHTTPSで開く」とブラウザに覚えさせる設定です。IPAのガイドラインも設定を勧めています。

たとえば社員30人の工務店では（架空の例）

社員30人の工務店が、10年前に作った施工事例のサイトを持っているとします。総務の1人が兼務で管理していて、Chromeで開くと「保護されていない通信」と出ます。サイトには見積もり依頼のフォームがあります。

この場合、まずレンタルサーバーの管理画面で証明書を設定します。次に、制作会社にhttpからhttpsへの転送と、ページ内の画像の参照先の修正を頼みます。最初に直すべきはフォームのページです。入力された氏名や電話番号が、暗号化されずに送られているからです。

証明書の有効期間は短くなっていく

Webサイトの証明書のルールは、認証局とブラウザの業界団体（CA/Browser Forum）が決めています。2025年4月に可決された決議により、証明書の最長の有効期間は段階的に短くなります。

発行日最長の有効期間
2026年3月15日以降200日
2027年3月15日以降100日
2029年3月15日以降47日

人の手で年1回更新するやり方は、続けにくくなります。証明書の自動更新に対応しているかを、サーバー会社や制作会社に確かめておくと安心です。期限が切れると、ブラウザは強い警告を出してサイトを開きにくくします。

IPAのガイドライン：3つの型から選ぶ

IPAの「TLS暗号設定ガイドライン」（第3.1.1版、2025年4月）は、サーバーの設定を3つの型に分けています。特に事情がなければ「推奨セキュリティ型」を選ぶよう勧めています。

型想定TLSの版
高セキュリティ型高い安全性が必要な場合TLS1.3が必須。TLS1.2は任意。1.1以前は無効。
推奨セキュリティ型一般的な利用TLS1.2が必須。TLS1.3は実装があれば有効に。1.1以前は無効。
セキュリティ例外型推奨型へ移るまでの暫定TLS1.0〜1.3のいずれか。2029年度をめどに終了予定。

ガイドラインは、版のほかに暗号の種類も決めています。たとえば鍵の交換には、あとから鍵が漏れても過去の通信を読まれにくい方式（前方秘匿性。ECDHEなど）を勧めています。細かい設定は制作会社やサーバー会社に任せてかまいません。「推奨セキュリティ型に合っていますか」と聞けば十分に伝わります。

SSH：サーバーを遠くから安全に操作する

SSH（Secure Shell）は、離れた場所からサーバーにログインして操作するための暗号化通信です。規格はRFC 4251（2006年1月）などで定められています。サーバーの確認、利用者の認証、通信の暗号化をまとめて行います。

中小企業でSSHを直接使う場面は多くありません。ただ、制作会社や保守会社が、御社のサーバーをSSHで更新していることはよくあります。発注側として、次の点を確かめておくと安心です。

SSHは便利な分、外から入れる入口でもあります。入口の考え方はVPN機器の点検の記事と共通です。

チェックシートではこう聞かれる

よくある設問答え方の例
自社のWebサイトはSSL/TLSで暗号化されていますか。はい。全ページをHTTPSで提供し、httpで来た通信はhttpsへ転送しています。
古い暗号化方式（SSL3.0、TLS1.0/1.1）を無効にしていますか。はい。IPAのTLS暗号設定ガイドラインの推奨セキュリティ型に合わせ、TLS1.2以上だけを使っています。
サーバー証明書の有効期限を管理していますか。はい。サーバー会社の自動更新を使い、期限の30日前に担当者へ通知が届くようにしています。
サーバーの遠隔保守は暗号化された通信で行っていますか。いいえ。保守会社がFTPを使っているため、〇月までにSFTPへ切り替える予定です。

答えは実態どおりに書きます。分からない項目は、制作会社やサーバー会社に確認してから答えると安全です。

試験ではここが問われる

SG・支援士・Security+ 3・CISSP 4

  • TLSが提供するもの：通信の暗号化（機密性）、改ざんの検知（完全性）、証明書によるサーバーの認証（真正性）。
  • ハイブリッド方式：相手の確認と鍵の共有は公開鍵暗号、本体の暗号化は共通鍵暗号。処理の速さのための組み合わせです。
  • 前方秘匿性（PFS）：サーバーの秘密鍵が後で漏れても、過去の通信を復号できない性質。ECDHEやDHEで実現します。
  • HSTS：ブラウザにHTTPSでの接続を強制させる仕組み。httpの通信を足がかりに暗号化をはがす攻撃への対策です。
  • 紛らわしい対：SSH（遠隔操作）とSSL（TLSの旧称）。SFTP（SSHを使う転送）とFTPS（TLSを使う転送）。

確認問題

問1 HTTPSで閲覧しているときに、TLSが直接防ぐものとして最も適切なものはどれですか。

  1. ア Webサーバーに保存された顧客データの流出
  2. イ 通信の途中での盗み見と書き換え
  3. ウ 利用者のパソコンへのマルウェア感染
  4. エ 大量の通信によるサイトの停止
答えと解説
正解：イ　TLSが守るのは通信の区間です。アはサーバーの中、ウは端末の中の問題で、TLSでは防げません。エはDDoS攻撃で、暗号化とは別の対策が必要です。

問2 社員20人の税理士事務所（架空）のサイトに「保護されていない通信」と表示されます。証明書を入れたのに、一部のページで表示が消えません。最も考えられる原因はどれですか。

  1. ア サーバーのOSが古い
  2. イ ページ内の画像などがhttpで読み込まれている
  3. ウ SSHが有効になっていない
  4. エ 証明書の鍵の種類がRSAである
答えと解説
正解：イ　ページ自体がhttpsでも、中の部品がhttpだと混在コンテンツとして警告が残ることがあります。SSHはサイトの表示とは関係ありません。RSAの証明書は今も広く使われています。

問3 IPA「TLS暗号設定ガイドライン」の推奨セキュリティ型について、正しいものはどれですか。

  1. ア TLS1.3だけを有効にし、TLS1.2は無効にする
  2. イ 互換性のため、TLS1.0も有効にしておく
  3. ウ TLS1.2を必ず有効にし、TLS1.1以前は無効にする
  4. エ SSL3.0とTLS1.2を組み合わせて使う
答えと解説
正解：ウ　推奨セキュリティ型はTLS1.2が必須で、TLS1.3は実装があれば有効にします。アは高セキュリティ型に近い設定です。イの考え方はセキュリティ例外型で、SSL3.0はどの型でも使えません。

よくある質問

フォームのない会社案内だけのサイトでも、HTTPSは必要ですか？
はい。ブラウザはフォームの有無にかかわらず警告を出します。また、途中で中身を書き換えられるおそれは、どのページにもあります。問い合わせ先の電話番号や振込先を載せているなら、書き換えられないことが特に大事です。
鍵マークが付いていれば、安全なサイトだと言えますか？
いいえ。鍵マークは「通信が暗号化されている」ことを示すだけです。偽サイトでも証明書は取れます。アドレスのドメイン名が正しいかを確かめる習慣が必要です。
自社サイトのTLSの版は、どうやって確かめますか？
サーバー会社の管理画面や仕様書で確認できることがあります。分からなければ、制作会社に「TLS1.1以前を無効にしているか」と文面で聞くのが確実です。Moshiruの無料スキャンでも、外から見える範囲で確かめられます。

暗号化の確認は任せて、結果を報告に使う

Moshiruは、打合せなしでテキストだけでお受けします。対象のURLと、確認してよいという許可をいただければ、証明書の期限や、古い暗号方式が残っていないかを外から確かめてお返しします。

無料スキャンを申し込む対象のURLと許可だけメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. IPA「TLS暗号設定ガイドライン」第3.1.1版（2025年4月、CRYPTREC GL-3001-3.1.1）
  2. IETF「RFC 8446 The Transport Layer Security (TLS) Protocol Version 1.3」（2018年8月）
  3. IETF「RFC 8996 Deprecating TLS 1.0 and TLS 1.1」（2021年3月）
  4. IETF「RFC 4251 The Secure Shell (SSH) Protocol Architecture」（2006年1月）
  5. Google Security Blog「A secure web is here to stay」（2018年2月）
  6. CA/Browser Forum「Ballot SC081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods」（2025年4月）
  7. DNSimple「SSL Certificate Validity Changes (2026 - 2029)」（有効期間の段階の確認に使用）
  8. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）
  9. IPA「情報処理安全確保支援士試験 シラバス 追補版（科目A-2）」Ver.4.0（2023年）