TLSとSSLの違いとは　HTTPS・サーバー証明書・暗号スイートの意味と、TLS1.2以上にする設定

TLSは、ブラウザとサーバーの間の通信を暗号化し、接続先が本物かを確かめる仕組みです。 このページでは、TLSの呼び名に関わる3語と、TLSで使う証明書と暗号の設定に関わる3語を説明します。 通信の盗み見と改ざんを防ぐための設定なので、サイトのHTTPS化とサーバー設定の見直しで使います。

OWASP Top 10:2025 では、暗号化の不備は「A04:2025 Cryptographic Failures（暗号化の失敗）」に分類されます。

TLS（Transport Layer Security）

• 何の略か Transport Layer Security の略です。
• 日本語では IPAとNICTのガイドラインは「TLS」と書きます。定まった日本語名は、確認できませんでした。
• 一言の定義 ブラウザとサーバーの間の通信を暗号化し、接続先を確かめる通信の規約です。
• どんなリスクがあるか 古い版のTLS1.0とTLS1.1が使える設定だと、通信の途中で弱い暗号を使わされるおそれがあります。IPAとNICTのガイドラインは、TLS1.2を有効にし、SSL2.0からTLS1.1までを無効にするよう定めています。
• 影響を受ける運用 サーバーの設定を作ったときから一度も見直していない、共用サーバーやVPSのサイトです。
• 実際の事例 確認できませんでした。
• 分類番号 CWE-327 です。

SSL（Secure Sockets Layer）

• 何の略か Secure Sockets Layer の略です。
• 日本語では 「SSL」と書きます。現在の通信はTLSですが、証明書の商品名などに「SSL」が残っています。
• 一言の定義 TLSの前身にあたる、古い通信の暗号化の規約です。
• どんなリスクがあるか SSL2.0は公開後まもなく脆弱性が見つかりました。SSL3.0は2014年10月に発表されたPOODLE攻撃により、使うべきでないと認識されています。
• 影響を受ける運用 古いサーバー機器やソフトウェアを、そのまま使い続けているサイトです。
• 実際の事例 確認できませんでした。
• 分類番号 CWE-327 です。

HTTPS（HyperText Transfer Protocol Secure）

• 何の略か HyperText Transfer Protocol Secure の略です。
• 日本語では 「HTTPS」と書きます。「常時HTTPS化」「HTTPS化」と使います。
• 一言の定義 WebのHTTP通信をTLSで包み、暗号化した通信にする方式です。
• どんなリスクがあるか HTTPのままだと、公共の無線LANなどで通信の途中にいる第三者が、内容の盗み見や広告・不正なプログラムの挿入をできます。
• 影響を受ける運用 ログイン画面や問い合わせフォームだけをHTTPSにして、他のページをHTTPのまま配信しているサイトです。
• 実際の事例 確認できませんでした。
• 分類番号 CWE-319 です。

サーバー証明書（Server Certificate）

• 何の略か 略語ではありません。
• 日本語では 「サーバー証明書」と書きます。「SSL証明書」「SSLサーバー証明書」とも呼ばれます。
• 一言の定義 サイトの運営者が本物であることと、暗号化に使う公開鍵を、認証局が保証する電子的な証明書です。
• どんなリスクがあるか 有効期限が切れる、ホスト名が合わない、信頼できない発行元だと、ブラウザは警告を出します。更新を忘れると、サイトに入れなくなる障害につながります。
• 影響を受ける運用 証明書の更新を人の手で行い、担当者の異動時に引き継ぎをしていない運営です。
• 実際の事例 確認できませんでした。
• 分類番号 CWE-295 です。

中間証明書（Intermediate Certificate）

• 何の略か 略語ではありません。
• 日本語では 「中間証明書」「中間CA証明書」と書きます。
• 一言の定義 サーバー証明書を発行した認証局が、ブラウザに登録された認証局とつながっていることを示す証明書です。
• どんなリスクがあるか サーバーが中間証明書を一緒に配信しないと、パソコンのブラウザでは開けても、スマートフォンや一部のソフトでは証明書の確認に失敗することがあります。
• 影響を受ける運用 証明書をサーバーへ入れ替えるとき、サーバー証明書のファイルだけを設定している運営です。
• 実際の事例 確認できませんでした。
• 分類番号 CWE-295 です。

暗号スイート（Cipher Suite）

• 何の略か 略語ではありません。
• 日本語では 「暗号スイート」とカタカナで書きます。
• 一言の定義 TLSで使う鍵交換、署名、暗号化、改ざん検知の方式を組にした名前です。
• どんなリスクがあるか 弱い方式の暗号スイートが使える設定だと、通信を解読されるおそれがあります。IPAとNICTのガイドラインは、設定で使う暗号スイートを一覧で示しています。
• 影響を受ける運用 古い設定の例をそのまま貼り付けて、サーバーを動かしている運営です。
• 実際の事例 確認できませんでした。
• 分類番号 CWE-327 です。

自分のサイトで確かめる方法

外から確かめられるのは、自分が管理するサイトだけにします。

1. ブラウザでサイトを開き、アドレス欄の錠前のマークを選びます。証明書の有効期限と発行元が見られます。

2. コマンド画面で、次のように打つと、証明書の内容を一覧にできます。example.com は自分のサイトに置き換えます。

   openssl s_client -connect example.com:443 -servername example.com

3. 出力の Verify return code: 0 (ok) を見ます。0 以外なら、中間証明書の配信漏れなどが疑われます。

プロンプト駅の「サーバー設定の点検」に、サーバーの設定ファイルを貼ると、危ない設定と設定例をAIに出させる文を作れます。

直し方の要点

IPAとNICTのガイドラインの推奨セキュリティ型では、TLS1.2を有効にし、TLS1.1以前を無効にします。 TLS1.3が使えるなら、有効にします。

nginx の場合

ssl_protocols TLSv1.2 TLSv1.3;
ssl_certificate     /path/to/fullchain.pem;
ssl_certificate_key /path/to/privkey.pem;

fullchain.pem は、サーバー証明書に中間証明書を続けて入れたファイルです。

Apache の場合

SSLProtocol -all +TLSv1.2 +TLSv1.3
SSLCertificateFile    /path/to/fullchain.pem
SSLCertificateKeyFile /path/to/privkey.pem

Apache 2.4.8 以降では、中間証明書も SSLCertificateFile のファイルに続けて入れます。

付けるときの注意

• 有効期限は、更新の作業を年次の定型業務にするか、自動更新の仕組み（ACME）に任せます。

出典

• IPA・NICT「TLS暗号設定ガイドライン 第3.1.1版」（2025-04-25、2026-10-28 取得） https://www.ipa.go.jp/security/crypto/guideline/ssl_crypt_config.html
• Apache HTTP Server 2.4「mod_ssl」の SSLCertificateChainFile の説明 https://httpd.apache.org/docs/2.4/mod/mod_ssl.html#sslcertificatechainfile

関連するページ

• Webセキュリティ用語辞典の索引
• セキュリティヘッダ（HSTSなど）
• Webサイトセキュリティ診断では、これらの設定を外から点検し、修正方法を添えて報告します。