証明書の有効期限カレンダーを見ながら、更新を切らさない仕組みを落ち着いて整えている一人運用の保守担当者
セキュリティ・パッチ約11分

SSL証明書の期限切れを防ぐ｜更新と監視で慌てない仕組み

朝、いつものようにサイトを開いたら、ブラウザが真っ赤な警告画面。 「この接続ではプライバシーが保護されません」——よく見ると、SSL証明書の有効期限が、昨日で切れていた。

問い合わせの電話が鳴り始める。お客さんはサイトに入れない。原因はすぐ分かるのに、更新作業や反映の確認に時間がかかって、その間ずっと冷や汗が止まらない。 こんな経験、ありませんか。あるいは「次の更新、いつだっけ」と頭の片隅で不安を抱えている人も多いと思います。

これは担当者の注意力の問題ではなく、「気づける仕組み」がなかっただけです。期限は静かに近づき、誰も教えてくれません。だからこそ、「忘れても気づける」仕組みを置いておけば大丈夫です。全部を一度にやらなくてOK。現場で回る最小から始めましょう。

結論：①今ある証明書と期限を1枚に棚卸し、②自動更新できるものは自動化、③自動化できないものは期限前に必ず鳴る監視を置く。この順で、まずメインのFQDNを1つ確認するところから。

構成（自前／LB／CDN／WAF）や証明書の種類（無料・有料、ドメイン認証・企業認証、ワイルドカード・SAN）で最適解は変わります。本文を自分の環境に読み替えつつ、細部は検証環境や公式情報で確認してください。

なぜ証明書は「うっかり」切れるのか

どれも「気をつける」では防ぎにくい話です。だから仕組みで受け止めます。

まず棚卸し：自分が抱えている証明書を1枚に出す

証明書を「自動更新できる」「手動更新が必要」「持ち主不明」の3つに仕分ける棚卸しの考え方を示した図
まず全証明書を1枚に並べ、更新方法で3つに仕分ける。空欄が残ったものほど危ない

まず「どの証明書を抱えているか」を一枚に。最低テンプレート（CSV）はこれで十分です。

例）

FQDN,用途,有効期限,設置場所,更新方法,監視URL,担当
www.example.jp,公開本番,2026-08-12,CDN→LB→Web,ACME自動(DNS-01),https://status.example.jp/checks/123,Web運用チーム
intra.example.jp,社内ツール,2026-10-01,Web,手動(OV),-,情シス

期限の取得は、環境により異なりますが例として：

  echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null \
    | openssl x509 -noout -enddate
  check_ssl_cert -H example.com -w 30 -c 14

この台帳で「自動更新できている／手動更新が必要／持ち主・更新方法が不明」に仕分けし、不明から優先して埋めます。

更新を切らさない進め方（自動化できるものから）

原則は「人がやらなくていいものは、人がやらない」。ただしCDN/WAF配下やワイルドカード・SANなど、やり方の選択肢を最初に押さえます。

① 自動更新にできるものは、自動更新にする

ACMEの更新はレート制限があります。検証時はステージング環境での動作確認→本番切替の順に。制限値や切替手順は公式情報で確認してください。

② CDN/WAF配下・ワイルドカード/SANで詰まりやすい所

③ 自動化できないものは、更新手順（Runbook）を1枚に

EV/OVなど発行に時間がかかるものは特にRunbook必須。最低限を1枚にまとめます。

④ 更新したら「効いているか」を外から確認

うっかりを防ぐ監視：期限の手前で必ず鳴らす

しきい値の考え方（前倒しOK）：

具体例：よくある「切れ方」と防ぎ方

連絡先の属人化を外す（通知・登録情報をチーム宛に統一）

最低ライン・優先順位・代替/免除（時間がない現場向け）

1) 公開本番FQDNだけ、外形のSSL期限監視を設定（60/30/14/7日、通知はチーム宛） 2) メイン証明書が自動更新かを確認（方式：HTTP-01/DNS-01/マネージド等） 3) 自動でないものは1枚だけRunbook化（申請〜反映〜確認まで）

明日やること：自分のサイトの期限を1つ確認する

  1. メインFQDNを1つ開き、ブラウザやopensslで有効期限を確認しメモ
  2. 自動更新か手動か、フロント（CDN/LB/WAF）側の更新有無も含め把握
  3. 監視を1つだけ置く（外形または内側）。通知はチーム宛
  4. CSVテンプレに1行追記。次はサブドメインと社内ホストを足す
  5. 自動更新の方式（HTTP-01/DNS-01/マネージド）を確認し、必要ならDNS-01等に切替を検討（公式情報で検証）

小さな一歩で「分からない」が「分かっている」に変わります。

「SSL証明書の期限切れ対策」チェックリスト

全部に○でなくてOK。P0を回せば、真っ赤な画面に出会う確率はぐっと下がります。

影響：仕組みにすると、何が変わるか

証明書の有効期限一覧が整い、期限が近づけば通知が届く状態になって安心している保守運用の担当者

証明書の期限切れは、ヒヤッとする一方で、本当は「気づく仕組み」さえあれば防げます。切らしてしまった経験があっても、それはあなたの注意力の問題ではありません。これまで仕組みがなかっただけ。今日は、手元のサイトを1つ開いて期限を確認するだけで十分です。小さな一歩が、明日の安心につながります。

よければ、こちらも

証明書の管理は、セキュリティ運用と「属人化させない仕組み」の両方にまたがる仕事です。鳴らし方の設計や、引き継ぎへの残し方もあわせて整えておくと、いざという時に落ち着けます。

ほかの実務ヒントは記事一覧からどうぞ。保守運用の小さな備えを、メールでも少しずつお届けしています。

関連用語