メインコンテンツへ移動
Boletolibre

SSLとは：TLS・HTTPSと安全な接続の限界

SSLはSecure Sockets Layerの略で、TLS（Transport Layer Security）の前身です。SSLは現在では廃止された技術ですが、「SSL証明書」はTLS証明書を指す呼び方として残っています。現代のサイトでは、ブラウザーが正しく認証されたHTTPS接続を確立できるかが重要です。

Boletolibre編集部

公開日

ブラウザーとサーバーを結ぶ保護された通信路、外部決済への別の接続、盾の外に置かれたイベント情報のカード。
HTTPSは接続を保護しますが、イベントについての約束を検証するものではありません。

SSL・TLS・HTTPS・証明書の役割を分ける

SSLとTLSは通信の手順を定めるプロトコルです。証明書はサーバーの身元確認に使うもので、プロトコルそのものではありません。HTTPSはTLSで保護されたHTTP通信です。サービスが「SSL証明書」と表記していても、従来の呼び方を使っている場合があります。古いSSLプロトコルを求めるのではなく、実際のHTTPS設定を確認しましょう。[1][2]

ウェブサーバーの認証では、証明書がサーバーの鍵とドメイン名を結び付けます。ブラウザーは、要求した名前に対応するサーバーと通信しているかを確認できます。この確認が対象とするのは接続とその相手であり、ページ上のすべての説明ではありません。[2]

TLSが保護するもの

保護実際の意味
通信中の暗号化ブラウザーとサーバーの間のデータを第三者に読まれにくくする
完全性送信中のデータの改変を検出するために役立つ
サーバー認証要求したドメイン名に対応するサーバーを確認できる
[2]

保護する範囲は、接続された両端の間をデータが移動する区間です。主催者がその後どう情報を保存し、返金を扱うかを保証するものではありません。ページだけでなく、画像、スクリプトなどもHTTPSで読み込む必要があります。HTTPSのページ内でHTTPのリソースを読み込む状態は混在コンテンツと呼ばれ、保護を弱めるおそれがあります。[2]

イベントの例：二つの接続を別々に確認する

参加者がイベントページを開き、外部の決済ページへのリンクを押す場面を考えます。イベントページと決済先は別の接続です。最初のページが安全でも、次の接続まで安全だとは判断できません。決済情報を入力する前に、実際の移動先アドレスとHTTPS接続を確認してください。

また、HTTPSだけでイベントの開催、主催者の信頼性、すべての法的義務の履行が証明されるわけではありません。これらの判断にはイベントと販売者の情報が必要です。これは接続の安全性の限界であり、証明書が追加で与える保証ではありません。[2]

ページを案内する前の確認

  • 実際に公開するホスト名を開き、証明書の警告があれば原因を調べます。参加者に警告を無視するよう求めないでください。
  • ページと読み込むリソースがHTTPSを使うか確認します。
  • 決済リンクをたどり、リンクの表示文字だけでなく最終的なアドレスを確認します。
  • そのホスト名の証明書、更新、HTTPS設定を管理する担当者を確認します。

ドメイン登録やDNS設定が終わっても、HTTPSの準備完了を意味しません。担当するホスティングサービスに設定を確認し、利用者の操作経路も点検しましょう。接続の点検は、主催者の身元、イベントの詳細、中止時の案内の確認とは分けて行います。[2]

出典と参考資料

  1. SSLとTLSの用語Amazon Web Services · 確認日
  2. TLS・サーバー認証・混在コンテンツMDN Web Docs · 確認日