サーバー証明書の有効期限短縮　～EDIの影響と対策を解説～

接続先の確認と、安全な通信を支える「身分証」

サーバー証明書は、接続先が目的のサーバーであることを確認するための電子証明書です。「有効期限付きの身分証」のような役割を持ちます。

このサーバー証明書を使って接続先を確認し、通信を暗号化して保護する仕組みが、Transport Layer Security（TLS）です。EDIシステムは、通信を始める際に相手のサーバー証明書を確認します。TLSで接続先の確認や暗号化を行うことで、なりすましや通信内容の盗み見、改ざんを防ぎます。

証明書を発行する機関を「認証局」といいます。認証局は、申請者が対象のドメイン名を利用する権利を持つかどうかを確認します。ドメイン名とは、インターネット上の住所にあたる名前です。証明書の種類によっては、会社の実在性も確認します。

サーバー証明書には、多くのパソコンやWebブラウザーなどが信頼する認証局から発行されるパブリック証明書と、特定の企業や取引先の間で信頼する認証局を決めて使うプライベート証明書があります。今回の有効期限短縮は、パブリック証明書が対象です。

証明書の有効期間とドメイン審査情報の再利用期間が短縮

有効期間の上限は、証明書が発行される時期によって変わります。新規取得だけでなく、更新時に発行される証明書にも、その時点の上限が適用されます。

2026年3月15日から、パブリックサーバー証明書の最長有効期間は200日に短縮されています。短縮後の上限は、各適用日以降に発行される証明書に適用されます。発行済みの証明書の有効期限は変わりません。

2029年3月15日以降は、証明書の有効期間が最長47日、ドメイン審査情報の再利用期間が最長10日になります。ドメイン審査（ドメイン・コントロール・バリデーション）とは、申請者に対象のドメイン名を利用する権限があるかを認証局が確認する手続きです。

証明書の発行時点で前回の確認から10日を超えている場合、認証局は利用権限を改めて確認します。この「10日」は、証明書の更新間隔ではなく、認証局が過去の確認結果を再利用できる期間です。実際の有効期間や切り替え時期は、認証局やサービスによって異なります。EDIで使う証明書の更新日程を決める際は、利用中のサービスの案内を確認し、ドメインの再確認にかかる時間も見込んでおきましょう。

短縮の目的は、証明書の信頼性を保つこと

証明書の発行時に確認した情報も、ドメイン名の管理者の変更などによって変わる可能性があります。短い間隔で情報を確認し直すことで、証明書の信頼性を保ちやすくなります。

また、誤って発行された証明書などが不正に使われる期間を短くし、被害のリスクを抑える狙いもあります。

用途を分け、セキュリティ上のリスクを抑える

1つの証明書を複数の用途に使うと、ある用途の認証の仕組みを悪用し、別の用途のシステムを攻撃する「クロスプロトコル攻撃」などのリスクが高まります。用途を分けることで、こうしたリスクを抑えます。

2027年3月から、サーバー用とクライアント用の兼用ができなくなる

用途分離は、新たに登録・公開される中間認証局から先に適用され、その後、既存の認証局にも適用されます。兼用している場合は、次回更新に向けて対応を確認しましょう。

EDI通信での証明書の利用例

自社から取引先へ接続する場合、自社は取引先のサーバー証明書を確認します。その際、取引先から提示される中間証明書と、自社側に登録されているルート証明書を使います。

中間証明書は、サーバー証明書の発行元を確認するためのものです。さらに、ルート証明書を基準に、その中間証明書の発行元を確認します。こうして発行元をたどり、取引先のサーバー証明書が信頼できるかを確認します。

取引先からも自社の確認を求められる場合は、クライアント証明書を使います。

期限までに更新しないと通信ができなくなり、取引に影響する

ーバー証明書の有効期限までに更新・設定を終えないと、通常はEDI通信ができなくなります。注文データなどを送受信できず、受注処理や出荷が遅れるおそれがあります。

更新作業に時間と手間がかかる

証明書の更新には、申請・取得、システムへの設定、通信確認などの作業が必要です。取引先との調整が必要な場合もあるため、余裕を持って進める必要があります。

有効期間が短くなると、これらの作業を行う回数が増え、担当者の負担も大きくなります。

使っている証明書と有効期限を確認する

自社のEDIで使う証明書が、今回の短縮対象かを確認しましょう。併せて、有効期限と更新の担当者を確認します。

わからない場合は、証明書の提供元やEDIシステムの保守窓口に確認します。

証明書の種類に合わせて対応する

パブリック証明書を使っている場合は、有効期限の短縮に合わせて、更新の間隔を見直しましょう。サーバー用とクライアント用を兼用している場合は、引き続き使えるかも確認しましょう。

プライベート証明書を使っている場合は、今回のルールによって一律に47日へ短縮されるわけではありません。利用しているサービスの案内に従って更新します。

有効期限前に、設定と通信確認まで終える

証明書の更新は、新しい証明書を取得するだけでは完了しません。システムに設定し、通信できることを確認する必要があります。

申請や取引先との調整に時間がかかる場合もあるため、余裕を持って準備しましょう。

更新の自動化や運用委託を検討する

更新回数が増える場合は、自動更新に対応した仕組みや、更新作業を任せられるサービスを検討しましょう。

その際は、証明書の取得だけでなく、システムへの設定や通信確認まで、どこまで対応できるかを確認します。