5分でわかるSSL/TLS：仕組み・証明書・実務チェックリスト【2025年版】

1. SSLとTLSの違い（用語）

SSLは歴史的名称、現在はTLS。ブラウザの「鍵マーク」はTLSで暗号化されている状態。言い間違えても通じるが、正式にはTLSと呼ぶのが正確です。

2. TLS 1.3のざっくり流れ

1. ClientHello：対応暗号・拡張（ALPN等）を送る
2. ServerHello：方式を決め、サーバ証明書と署名を返す
3. 鍵合意（ECDHE）→ 共有鍵ができる
4. 以降の通信は共通鍵で暗号化（AES-GCM/ChaCha20-Poly1305）

TLS1.3は往復回数が少なく速い。HTTP/2（ALPN: h2）やHTTP/3（QUIC+TLS1.3）とも相性◎。

3. 証明書の種類と選び方

4. 運用の型（更新・自動化・ヘッダ）

• 自動更新：ACME（Let’s Encrypt/ZeroSSL）。更新は30〜60日ごとが目安。
• チェーン：中間証明書を必ず含める（fullchain.pem）。
• HSTS：Strict-Transport-Security: max-age=31536000; includeSubDomains（プリロードは慎重に）。
• OCSP Stapling：有効化で失効確認が高速化。
• ALPN：HTTP/2（h2）とHTTP/3（QUIC）を有効化。

5. 実務チェックリスト（保存版）

• [ ] TLS1.2/1.3のみ許可（1.0/1.1無効）
• [ ] 近代暗号スイート（AES-GCM / ChaCha20-Poly1305）
• [ ] OCSP Stapling有効
• [ ] HSTS設定済み（段階導入）
• [ ] HTTP→HTTPSを301で統一
• [ ] 画像/JS/CSSの混在コンテンツ無し
• [ ] 証明書の自動更新と監視（期限アラート）

6. よくあるエラーと対処

7. 便利コマンド（検証）

# サーバ証明書とチェーン確認
openssl s_client -connect example.com:443 -servername example.com -showcerts 

# HTTP/2/3のALPN確認（curl 8+ など）
curl -I --http2 https://example.com
# HTTP/3（対応環境のみ）
curl -I --http3 https://example.com

8. 最小Nginxスニペット（例）

server {
  listen 443 ssl http2;
  server_name example.com;
  ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256;
  add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
  # ...（root/proxy設定）
}
server {
  listen 80;
  server_name example.com;
  return 301 https://example.com$request_uri;
}

9. HTTP/3（QUIC）へのメモ

• 移動体回線での再送/遅延に強い。先にTLS1.3が必須。
• CDN（Cloudflare等）で有効化が簡単。オリジンはHTTP/2でもOK。