今年も気が付けばすでに2月です。前回のブログから3か月も経過していました。少なからず、いや、少ないと思いますがご覧いただいている方もいらっしゃいますので、今年もたまーにですがブログをつづってまいりますのでよろしくお願い致します。
さて年末の忙しい時に、私は重い腰を上げました。なぜか忙しくなるとさらに忙しくする性格・・。
で何をしたかと言いますと、当店のホームーページに鍵を付けました。
これまで当店のホームページを見ようとすると、ご覧のような「セキュリティ保護なし」の表示がされていました。
当店がホームページ作ったころはこんな表示出なかったんですけどねー。
で、最近お客様からもこの表示が出るからネットでの買い物が不安だ!とのご指摘も出始めてきたので、いい加減にホームページをやめるか、この表示を出なくさせるか、2者択一で悩んでいたのです。
で、結局はこの表示を出させない方を選んだわけです。
ご存じの方も多いと思いますが、この表示は2018年の7月から表示されるようになりました。詳細は分かりませんが、世の中ネット取引が多くなり、パソコンとサーバーでのやり取りを暗号化して悪用を減らす意図や、そのページがちゃんと実在する会社や人であることを分かりやすくする為の政策だったのだと思います。
時代を考えるともちろん必要な事だったのでしょうけど、この表示を消すためにはそれなりの作業やお金がかかるのです。
という事で、私はこの作業を後伸ばしにしていたのですが先ほど書いたように、お客様の安心も含め、いよいよ重い腰を上げたのです。
この作業にかかった日数はまる二日です。なにせ知識ゼロからのスタートですから意外と時間が掛かりました。笑
実際にどのような作業を行ったのかを、かなり長いですが黙示録としても綴っておくことにしました。お暇な方は最後までお付き合いください。 笑
皆さんがホームページを見る際に必ずアドレスを打ち込みます。といってもほとんどの場合はワンクリックで見たいページに飛びますから、いちいちアドレスを入力する事は少ないでしょうけど、そのホームページのアドレスというのには必ず頭にhttpという文字が書かれています。このhttpはHyperText Transfer Protocol(ハイパーテキスト・トランスファー・プロトコル)の略で、ホームページのアドレスには必ずつける掟になっています。この掟は絶対で、これが無ければホームページは探せません。ところがこのhttpには弱点が有り、誰かがホームページを見ている最中に他の人も盗み見る事が出来ちゃうんです。
例えばそのサイトが、お買い物サイトでクレジットの入力や個人情報の入力をする場合、かなりやばいですよね? そこで他の方が盗み見ることが出来ない様に暗号化して鍵をかける方法が考えられました。それが SSL方式と呼ばれる物です。この方式をhttpに合体させたのが、httpsになります。つまりホームページのアドレスの頭にhttp:// ではなく、https://となっているページは、この暗号化を組み込んだホームページという事になります。そしてそのhttps://のページには一番左に鍵マークが表示されます。ちなみに「セキュリティ保護なし」のアドレスの場合は一番左には!が三角マークの中に表示されています。
ではこの三角マークから鍵マークにするにはどうすればよいのか?つまりSSLを組み込む方法というか流れを簡単にご紹介します。
この方法は当店がサーバーを借りている WebARENA(ウエブアリーナ)の場合ですので、他社サーバーの場合は細かいやり方は違いますが、基本的な流れは同じだと思います。
ちなみにWebARENAはNTT系のレンタルサーバーで、回線は安定していますし、価格も平均的な金額かと思います。
まずはWebARENAのサイトマネージャー(管理画面)を開き、[Web&FTP管理] > [独自SSL] > [CSR・秘密鍵の作成]から、CSRを作成します。このCSRというのは、SSLを取得するための申請書みたいなもので、ホームページが実際に存在しているかどうかを明確化し、運営者の所在地、組織名などの情報が掛かれた簡単なデータで、この後にSSL証明を取得する際に必要な公開鍵となります。これ自体は設問に答える形で比較的簡単に作成できました。どのレンタルサーバーでも比較的簡単に作れるはずです。
ここですでに鍵というキーワードが出てきましたね。しかも2つありました。秘密鍵と公開鍵です。つまりSSLはこの鍵を持つ人しかページを見れなくする方式なのです。特に大事なのが秘密鍵です。
出来上がったCSRを次に証明局という組織に提出し、SSL証明書を発行してもらいます。この作業が素人には非常に難関でした。
まず証明局ってなんなの?という疑問と、この証明局に証明書の発行をお願いする際にお金が掛かる部分です。簡単言うと、証明局は沢山あり、しかも金額がバラバラなのです。
何社あるのかは私もわかりませんが、いわゆる有名な証明局は価格が高く、そうでもないところは安いのです。その価格の違いに驚きました。
例えば有名な所ですと、シマンテック(Symantec)、グローバルサイン(GlobalSign)、ジオトラスト(GeoTrust)、サイバートラスト(cybertrust)、セコムパスポートなどです。
なんとなく聞いたことが有る名前ですよね? こうしたところに申請をお願いすると、年間ウン万円します。ちなみにSSL認証は必ず有効期限があるので、その年数に応じて金額が発生します。
この時点で私は非常に悩みました。ホームページを運営するのに、ランニングコストがさらに何万円もかかるのはさすがに厳しいです。しかもなんでも経費が高騰しているこの時代にです。
そこでいろいろと調べまくりました。そうすると、なんと無料でSSL証明を取得できる認証局が有るのが分かりました。
ところがここでまた悩む現実が・・。
そもそもSSL認証というのは、信頼の為の仕組みです。そう考えるとさすがに無料の認証では信頼に欠ける気がしたのです。実際、企業間取引で使用するサイトの場合は、このSSL認証をどこで取得したのかを確認するところもあるそうです。
そうなんです、このSSL認証というのはどこの認証局で取得したのかが誰でもわかるようになっています。さらに有効期限などもわかります。
さすがに当店の様な街の小さな花店ですからそこまでの信用は必要ないとしても、無料はやめておこうと思いました。そこで選んだのが クラウドSSL です。
ここは有料ですが、なんと3年で2,821円と格安です。ここに先ほどのCSRを提出し、審査を受けました。提出方法はとても簡単で、金額を事前にクレジットで決済し、必要な書類をWEB上で提出するだけです。ちなみにこのクラウドSSLの申し込みはXserverなので、ある程度信頼は有るかと思います。しらんけど・・。笑
そして翌日には証明書が届きました。もちろんメールで連絡が来て、そのメールアドレスに書かれているサイトからダウンロードする形です。
その後、その証明書を自分のホームページが有るサーバーに登録します。
方法は以下の通りですが、届いた証明書は2つあり、証明書と中間証明書がありました。
サイトマネージャー の[Web&FTP管理] > [独自SSL] > [SSLサーバー証明書の設定]を開き、SSL証明書と中間証明書をコピー&ペーストでそれぞれの欄に入力する。入力欄にはペーストした時の例が薄い文字で自動表示されるが、そのままコピー&ペーストで上書きする。と説明に有りました。
ところがここでまたうまくいかない現象が。届いたデータを張り付ければよいのかと思ったらうまくいかないのです。ここが素人のダメな所です。笑
届いたデータをいったんメモ帳などで開く必要が有りました。その開いたデータをすべてコピーして貼り付けなくてはなりませんでした。証明書と中間証明書どちらもです。(ここで半日費やしました 笑 )
その後、「受付番号の登録」を選択し、[ ■受付番号 ] 欄に受付番号を入力します。これがいわゆる秘密鍵となります。
こうして無事、当店のホームページに鍵が付けられ、「セキュリティ保護なし」の表示が出なくなりました。
おそらく、今回のブログは読むことすらお辛かった方も多くいらっしゃると思いますが、実際に作業した私はもっと辛かったです。笑
でももし業者さんにお願いしたとしたら、それなりに金額が掛かったと思うので、浮いたお金で大好きなウィスキーを購入させて頂いたのは内緒です。めでたしめでたし。
なお今回のブログのSSLに関する説明は素人が勝手な思い込みで書いた内容ですので、決して信用しないでください。悪しからず・・・。