無料のSSL証明書「Let’s Encrypt」をレンタルサーバー以外で導入してみよう｜ブログ

はじめに WEBサイトを公開する上で必須となる、SSL証明書の導入。 SSL証明書を入れることで、ブラウザに「このサイトは安全ですよ」というのを伝え、https でのアクセスが可能になります。 https でアクセスすることで、インターネット上でのデータのやり取りは暗号化され、WEBサイトを安全に利用できます。 仮に、SSL証明書が導入されていない（httpでしかアクセスできない）サイトで、クレジットカード情報なんて入力しようものなら、不正利用されてしまう可能性がぐっとあがります。 SSL証明書は有料と無料のものがあり、無料の証明書で有名なものは「Let’s Encrypt」でしょう。 有料と無料の違いはいくつかありますが、無料であっても暗号化としては何も問題なく無料だからセキュリティ的に問題があるというわけではありません。 そんなSSL証明書を導入する場合、レンタルサーバーであればオプションや設定項目として用意されているのが殆どで、基本的にそのサーバーのコントロールパネルで簡単に導入することができます。 無料であれば、ほぼ Let’s Encrypt を利用しているかと思います。 ではレンタルサーバー以外、例えばVPSサーバーなど、ある程度ユーザー側が自由にサーバーを触れる環境でSSL証明書を利用したい場合、どうすればいいのでしょうか。 前提として レンタルサーバーは、基本的にレンタルしたサーバーを自由にカスタマイズすることはできません。 そのためSSL証明書の導入もできず、だからこそサーバーのコントロールパネルから導入するようになっています。 逆にVPSサーバーやクラウドサーバーなどでは、自由にサーバーをカスタマイズ出来る分、SSL証明書の導入も自分で行わなくてはいけません。 AWSなど、クラウドサーバーであればそれと連携したSSL証明書を導入するサービス（AWSであれば AWS Certificate Manager）もありますので、ここではVPSサーバーで自分で無料のSSL証明書 Let’s Encrypt を導入するという想定で手順を紹介します。 パッケージをインストールできる権限があれば、VPSサーバーに限らず同様に導入することは可能なのではないかと思います。 サーバーのOS次第で、利用するコマンドなどは変わりますがここではUbuntu系のOSでインストールすることを考えてみましょう。 パッケージをインストールしよう まず必要なパッケージをインストールします。サーバー内で以下のコマンドを実行しましょう php sudo apt install -y certbot dnf（RedHat系OS）の場合 sudo dnf install -y certbot このとき、以下のようなエラーメッセージが出た場合、パッケージがあるリポジトリが登録されていないのが原因かと思います。 E: Unable to locate package certbot その場合は以下のコマンドを実行してリポジトリを追加します。 sudo add-apt-repository ppa:certbot/certbot dnf系の場合 sudo dnf install epel-release sudo dnf install certbot 利用するWEBサーバーに合わせたプラグインのインストール 上記パッケージだけでも Let’s Encrypt の導入は可能ですが、より手軽にインストールするためにプラグインも導入しましょう。 プラグインはWEBサーバーごとに用意されているので、使いたいWEBサーバーに合わせてインストールしましょう。 Apache サーバーを利用する場合 sudo apt install -y python3-certbot-apache nginx サーバーを利用する場合 sudo apt install -y python3-certbot-nginx Let’s Encryptをインストールする 必要なパッケージはインストールできましたので、実際に Let’s Encrypt をインストールしてみましょう。 といっても、やることはコマンドを実行するだけなのでとても簡単です。 Let’s Encrypt のSSL証明書はドメイン認証型といい、ドメインに紐づいてSSL証明書が発行されます。 そのため、インストールする際に ” -d ” オプションでSSL証明書を利用するWEBサイトのドメインを指定します。 ” -d ” オプションは複数指定することが可能なので、サブドメインなどがあれば一緒に指定します。 Apache を利用する場合 sudo certbot --apache -d example.com nginx を利用する場合 sudo certbot --nginx -d example.com -d オプションを複数指定し、www あり/なしに対応 sudo certbot --nginx -d example.com -d www.example.com インストールを実行すると色々聞かれるので、入力していきましょう。 なおこの時、ドメインが正しいかどうかを実際にWEBサイトにアクセスして行うのでサイトにアクセス出来る必要があります。 Enter email address (used for urgent renewal and security notices) (Enter 'c' to cancel): test@example.com 連絡用のメールアドレス - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - Please read the Terms of Service at https://letsencrypt.org/documents/LE-SA-v1.6-August-18-2025.pdf. You must agree in order to register with the ACME server. Do you agree? - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - (Y)es/(N)o: Y 利用規約に同意する - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - Would you be willing, once your first certificate is successfully issued, to share your email address with the Electronic Frontier Foundation, a founding partner of the Let's Encrypt project and the non-profit organization that develops Certbot? We'd like to send you email about our work encrypting the web, EFF news, campaigns, and ways to support digital freedom. - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - (Y)es/(N)o: N メールアドレスにニュースレターなどを送ってよいか これだけで以下のことが自動的に行われます。 SSL証明書の発行 指定したWEBサーバーに合わせた設定を追加 なお、既にWEBサーバーが稼働中で、設定などを自分で行いたい場合は証明書の発行のみを行うことも可能です。 certonly とすることで証明書の発行のみを行う sudo certbot certonly --apache -d example.com nginx の場合 sudo certbot certonly --nginx -d example.com 証明書の発行のみを行い自分でSSLの設定を追加する場合は、該当ドメインのWEBサーバー設定に以下の設定を追加しましょう。 [example.com] は発行したドメインに合わせて変更 apache の場合 SSLCertificateFile /etc/letsencrypt/live/[example.com]/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/[example.com]/privkey.pem Include /etc/letsencrypt/options-ssl-apache.conf nginx の場合 sslcertificate /etc/letsencrypt/live/[example.com]/fullchain.pem; sslcertificatekey /etc/letsencrypt/live/[example.com]/privkey.pem; include /etc/letsencrypt/options-ssl-nginx.conf; SSL証明書がインストールできたので、これでWEBサイトが https でアクセス可能になったかと思います。もし、SSL接続ができない場合、設定が反映されてない可能性があるので、以下のコマンドで設定の再読み込みを行います。 apache の場合 sudo apachectl graceful nginx の場合 sudo nginx -s reload SSL証明書の自動更新 これでSSL証明書のインストールが完了しました。 ただ Let’s Encrypt は90日しか有効ではなく、有効期限が過ぎた場合はSSL接続が不可能になってしまいます。そのため、定期的に更新する必要があります。 証明書ごとに期限を管理して、期限が近づいてきたら更新の対応を行って……なんてするのはあまりにも煩わしいですし、当然そんなことする必要はなく更新の自動化を行うことが可能です。 自動更新の設定 Let’s Encrypt の更新の自動化について記事を探すと、cron に登録して行う方法を紹介しているところが多いですが、現在では certbot が自動的に SSL更新のためのサービスを登録してくれます。 SSL証明書自動更新のサービスが登録されているか確認 sudo systemctl status certbot-renew.timer 以下のようなメッセージがでればOK ● certbot-renew.timer - This is the timer to set the schedule for automated renewals Loaded: loaded (/usr/lib/systemd/system/certbot-renew.timer; disabled; vendor preset: enabled) Active: inactive (dead) Trigger: n/a 登録されていれば、サービスを有効にするだけであとは自動的に更新が実行されます。 自動更新サービスの有効化 sudo systemctl enable certbot-renew.timer もしサービスが存在していない場合は cron に登録しましょう。 crontab を編集 sudo crontab -e 以下を追加 0 3 certbot renew --deploy-hook "apachectl graceful" nginxの場合 0 3 certbot renew --deploy-hook "nginx -s reload" 毎日3時にコマンドを実行するような cron を登録しています。時間については自由に変えていただいて構いません。 certbot renew コマンドは、SSL証明書の自動更新を行うコマンドです。毎日実行していますが、更新時期が近づいていない証明書は更新がスキップされるので、毎日実行しても問題ありません。 –deploy-hook は、更新が正常に完了したときに実行するコマンドを定義するオプションです。証明書の更新が成功したときのみ、設定を再読み込みするようにすることで安全に更新処理が行えます。 更新の確認 –dry-run オプションをつけることで実際に実行しないが、コマンドがきちんと成功するかを確認することができます。 設定後に更新が正常に動作するか、一度は確認しておくことをおすすめします。 更新処理のテスト sudo certbot renew --dry-run 最後に ここで紹介したコマンドや流れは一例であり、サーバーやパッケージのバージョン次第では異なる可能性があります。 しかし、大まかな流れは同じだと思いますので、Let’s Encrypt 導入の際に参考になれば幸いです。