ホームページのSSL証明書、切れていないか確かめる

2026年10月4日2026年10月19日

ホームページの鍵のマークが外れて、ブラウザが警告を出す。そのとき最初に困るのは、患者からの電話を受ける受付です。証明書には期限があり、期限は必ず来ます。問題は、その期限を院内の誰も見ていない状態になっていることです。この記事は、誰が見るかを決めるための材料を、IPAが公開しているガイドラインから拾います。

設定は「誰が決めるか」から書かれている

読んだのは、独立行政法人情報処理推進機構（IPA）のTLS暗号設定ガイドラインです。最終更新は2025年4月25日、第3.1.1版として公開されています。本体は111ページあり、通信の暗号化をサーバー側でどう設定するかを扱っています。

このガイドラインは、安全性と、古い機器ともつながるかという相互接続性との兼ね合いで、設定基準を3つに分けています。高セキュリティ型、推奨セキュリティ型、セキュリティ例外型です。そしてページには、どれを採るかを最終的に決めるのは誰か、まで書かれています。決めるべき人として挙げられているのは、サーバの管理や、サービスの提供に責任を持つ立場の管理者です。あわせて、安全性や相互接続性について特段の要求がなければ推奨セキュリティ型を採ることが勧められています。

歯科医院のホームページで詰まるのは、たいていこの手前です。責任を持つ管理者が誰なのかが、医院の側で決まっていないことがあります。制作会社なのか、レンタルサーバーの事業者なのか、ドメインを取った人なのか。証明書の期限が切れてから探し始めると、契約書を出すところから始まります。

警告を出さないことは、遵守項目に入っている

ガイドラインの要求設定は、2つに分かれています。遵守項目は、選んだ設定基準で最低限の安全性を確保するために、必ず満たすことが求められるものです。推奨項目のほうは、よりよい安全性を実現するために、満たすことが望ましいとされたものです。この2つは、満たせなかったときの意味が違います。

別紙のチェックリストを見ると、遵守項目のひとつに、接続してくることが想定されているクライアントに対して警告表示が出ないように対策するか、あるいは警告が出るブラウザはサポートの対象外だと明示したか、という項目が置かれています。つまり、警告が出る状態を放置することは、このチェックリストでは通りません。対策するか、対象外だと表に書くか。どちらかを選ぶ形になっています。

医院のホームページで後者を選ぶ場面は、まず考えにくいところです。患者は自分の端末で開きます。どのブラウザをサポートの対象外にするかを、医院の側で決められる立場にはありません。残るのは、警告が出ないようにしておくほうです。

チェックリストは、制作会社に渡す道具になる

このチェックリストの使い道は、ページにはっきり書かれています。ひとつは、選んだ設定基準に対応した要求設定項目の設定忘れを防ぐこと。もうひとつは、サーバ構築の作業を受託した先が、要求設定項目を適切に設定したことを確認することです。

後者は、医院にそのまま当てはまります。院長がサーバーの設定を読めなくても、受託した側が設定したことを確かめるための紙として使えます。「うちのサイトは、このチェックリストのどの設定基準で組まれていますか」と聞けば、答えは3つのうちのどれかになります。答えが返ってこない場合、その事実そのものが、いま確かめたかったことです。

更新のたびに、鍵も作り直す

証明書そのものの扱いにも、遵守項目があります。サーバ証明書の発行や更新をするとき、自分で公開鍵と秘密鍵の組を作るのであれば、その組を新しく作り直しているか、という項目です。前と同じ鍵を使い回さない、ということになります。

そして、そのすぐ次に並んでいる遵守項目が、医院にとっていちばん実務的です。いま書いた指示を、仕様書や運用手順書などに明記したか、という項目です。口頭の取り決めではなく、書いたものに残すところまでが遵守項目に入っています。更新を誰がやるかを決めるとき、その決めごとをどこに書くかまで、同じ日に決めておく形になります。

問い合わせフォームがあるなら、別の条文も関わってきます

医院のホームページに問い合わせフォームや予約フォームを置いているなら、そこを通るのは患者の氏名や連絡先です。個人情報の保護に関する法律第23条は、個人情報取扱事業者に対し、取り扱う個人データの漏えい、滅失または毀損の防止と、その他の安全管理のために必要かつ適切な措置を講じる義務を課しています。通信路の設定は、この措置の話と地続きです。

同法第25条は、個人データの取扱いの全部または一部を委託する場合について、委託を受けた者に対する必要かつ適切な監督を求めています。フォームで受けた内容を制作会社の側のサーバーで預かる形になっているなら、その関係が委託に当たるかどうかを確かめる点になります。当たる場合、監督の義務は医院の側に置かれます。「任せてある」という言葉で終わらせられない部分が、ここにあります。

今日、医院の側で決められること

期限を見る人を、院内で決める。担当を決めずに「気づいた人が」にすると、気づく人がいません
いまの契約に、証明書の更新作業が入っているかを読む。入っていないなら、誰がやるのかを聞く
更新の期限が近づいたとき、どこに連絡が来るのかを確かめる。退職した人のメールアドレスのままになっていないか
IPAのチェックリストを制作会社に渡し、どの設定基準で組んでいるかを書いて返してもらう
決めたことを、口頭ではなく書いたものに残す。ガイドラインが遵守項目として求めているのは、そこまでです

まとめ ── 期限は来る。見る人を決めておく

証明書の期限が切れると、患者の画面に警告が出ます。IPAのガイドラインは、警告が出ないようにすることを遵守項目に置き、どの設定基準を採るかは、責任を持つ立場の管理者が決めるべきことだとしています。医院にとっての実務は、暗号の中身を理解することではなく、その管理者が誰なのかを決めて、決めたことを書いたものに残すところにあります。チェックリストは、そのやり取りをそのまま紙にできる道具です。