移行でHTTPSが切れないようにする：証明書の考え方

レン

移行したら「保護されていない通信」って出た、って話を聞くんだけど。

プロクラ

証明書を新しいサーバーに用意し忘れると、そうなる。証明書はドメインとサーバーの組で持つものだから、引っ越し先でも取り直しが要るんだ。

切り替え前に取れるかどうか

証明書の取得には、その名前が自分のサーバーを指していることの確認が要ります。つまり切り替え前は取れない場合があります。切り替えた直後に取得する段取りにするか、確認方法を変えて事前に取るか、どちらかを決めておいてください。何も決めずに切り替えると、その間だけ警告が出ます。

プロクラ

無料の証明書（Let's Encrypt等）は、ドメインの持ち主であることを確認してから発行される。確認の方法が2つあって、どちらを使うかで「切り替え前に取れるか」が変わる。

• Web経由の確認: そのドメインへのアクセスが自分のサーバーに届く必要がある。つまり切り替え後でないと取れない
• DNS経由の確認: DNSにレコードを1つ足すだけでよい。切り替え前に取っておける

レン

じゃあ、切り替え前に取っておいたほうが安全だよね？

プロクラ

そう。先に用意しておけば、向き先を変えた瞬間からHTTPSで見られる。Web経由しか使えない場合は、切り替え直後に取得する段取りを組んでおこう。数分の間だけ警告が出ることになる。

自動更新を必ず設定する

プロクラ

無料の証明書は有効期間が短い。手で取っただけだと、数か月後に切れる。取得と同時に、自動更新の仕組みが動いているかまで確認すること。

レン

確認って、どうやるの？

プロクラ

更新を担当する仕組みが有効になっているかを見る。多くの環境では、定期実行の設定が自動で入るようになっている。入っていなければ自分で設定する。ここを飛ばすと、数か月後に何もしていないのに落ちるよ。

古いサーバーの証明書は放っておいてよい

プロクラ

使わなくなれば、そのまま期限切れになる。慌てて消す必要はない。むしろ並走中は残しておいたほうが、まだ古い方を見ている人がエラーにならずに済む。

切り替え前に済ませておく

プロクラ

証明書は、ドメインの向き先を変える前に新サーバーで取っておくのが理想だよ。切り替えてから取ろうとすると、その間だけ警告が出る状態になる。

• 取得の確認方法によっては、ドメインが向いていなくても取得できる
• 取得できたら、新サーバーのIPに直接アクセスして確認しておく
• 自動更新の設定も、切り替え前に入れておく
• wwwありなしの両方を対象に含めたか確認する

切り替え後に確認すること

• ブラウザで警告が出ないか（証明書がドメインと一致しているか）
• httpで来た人がhttpsへ転送されるか
• 自動更新の仕組みが有効になっているか
• 最初の更新時期に、実際に更新されたかを一度だけ確認する

プロクラ

古いサーバーの証明書は放っておいてよい。使わなくなれば期限切れになるだけだし、並走中は残しておいたほうが、まだ古い方を見ている人がエラーにならずに済むからね。

レン

先に取っておく。自動更新の設定も一緒に移す。