SSL証明書の自動更新・自動発行とは？ACMEプロトコルと47日時代への備え
ページ更新日：2026/08/22
2026年以降、SSL証明書の最長有効期間が段階的に短縮され、2029年3月15日以降は47日になる予定です（有効期間短縮スケジュールの詳細）。
※ 47日は CA/Browser Forum の Baseline Requirements が定める上限（MUST NOT）です。BR は同時に推奨値（SHOULD NOT）として 199 / 99 / 46 日を定めており、DigiCert はこの推奨値に合わせて上限より1日短く発行します。
有効期限が短くなると、手動での更新・インストール作業が増加し、運用コストが大幅に上昇します。
このページでは、証明書の自動更新・自動発行の仕組みと、47日時代に向けた準備について解説します。
ACMEプロトコルとは
ACME（Automatic Certificate Management Environment）は、SSL証明書の申請・発行・更新・失効を自動化するためのプロトコルです。
RFC 8555として標準化されており、Let's Encryptが普及させました。商用認証局でも対応が進みつつありますが、対応状況は認証局・商品によって異なります（弊社ではACMEエンドポイントを提供していません。詳しくは後述）。
- 証明書の有効期限が近づくと、ACMEクライアントが自動的に認証局に更新を要求
- DCV（ドメイン所有権確認）も自動で実施（DNS認証またはファイル認証）
- 取得した証明書のサーバーへのインストールと Web サーバーのリロードまで自動化できる
※ ACME プロトコル自体が保証するのは証明書の取得までです。配置・リロードは Certbot の Apache/Nginx プラグインや Caddy のようなクライアント側の機能で、使うクライアント・構成によって対応範囲が異なります。 - 対応クライアントを使えば、人間の操作なしに証明書ライフサイクル全体を管理できる
主なACMEクライアント
| クライアント | 対応OS | 特長 |
| Certbot | Linux / macOS | EFFが開発。最も広く使われる。Apache・Nginx向けプラグイン完備。Let's Encrypt公式推奨。 |
| acme.sh | Linux / macOS（シェルスクリプト） | 依存ライブラリなし。幅広いDNSプロバイダーのAPI対応。Docker環境にも向いている。 |
| win-acme | Windows Server | IIS向けのGUI/CLI両対応クライアント。Windows環境では最もポピュラー。 |
| Caddy | Linux / Windows / macOS | Webサーバー自体にACMEが組み込まれており、設定するだけで自動更新が有効になる。 |
| Traefik | Docker / Kubernetes | コンテナ・マイクロサービス環境向けリバースプロキシ。ACME自動更新内蔵。 |
Let's Encrypt（無料）と商用証明書の自動化の違い
| 項目 | Let's Encrypt（無料） | 商用証明書（DigiCert等） |
| 認証タイプ | DVのみ | DV・OV・EV |
| 有効期限 | 90日（自動更新前提） | 段階的に短縮中。2026年8月時点の DigiCert 実発行上限は199日（業界上限は200日）。2029年3月15日以降は業界上限47日／DigiCert 46日の見込み |
| 組織名の記載 | なし（DVのみ） | OV/EVで組織名を記載可能 |
| 保証・サポート | なし | あり（保証額・サポート窓口） |
| ACME自動化 | 完全対応 | 認証局・商品・販売経路によって異なる（弊社経由ではACMEエンドポイント提供なし。下記参照） |
| 向いている用途 | 個人サイト・開発環境・大量ドメイン管理 | 法人サイト・ECサイト・金融・官公庁 |
ACMEを使わずに自動化するには（弊社経由のご注文）
ACME は Let's Encrypt を中心に普及した仕組みで、商用の認証局がすべて対応しているわけではありません。
弊社では ACME エンドポイントを提供していません。
そのため RapidSSL・QuickSSL Premium・スタンダード・サーバID・トゥルービジネスID・Secure Site のいずれも、
弊社経由では certbot や acme.sh といった ACME クライアントからは取得できません。
※ 認証局が別の経路（法人向けプラットフォーム等）で ACME を提供している場合はありますが、弊社の販売経路とは別のお話です。
弊社では ACME の代わりに、次の2つを組み合わせて自動化していただく方式をご案内しています。
| 手段 | 内容 |
| 弊社 REST API | お客様のシステムから弊社APIを呼び出し、CSRの送付 → DCV確認 → 証明書取得までを自動化できます。新規注文・更新・再発行に対応し、複数ドメイン・複数サーバー環境の一括管理にも使えます。サンプルコードも公開しています。 |
| DNS認証（TXTレコード） | ドメイン確認（DCV）は更新・再発行のたびに必要ですが、DNS認証を選んで TXT レコードの書き込みを自動化すれば、確認作業まで含めて無人化できます。DNS API が使えるプロバイダーとの組み合わせが前提です。ワイルドカード証明書はファイル認証が使えないため、自動化するなら DNS 認証が最適です。 |
どの商品でどこまで自動化できるかは、各商品ページの「自動更新・運用自動化」もあわせてご確認ください。
例：RapidSSL の自動更新・運用自動化 ／ RapidSSL のよくある質問
47日時代に向けた準備チェックリスト
- ☐ 現在の証明書更新作業が手動かどうかを確認する：手動の場合、47日サイクルでは運用負荷が大きくなります。
- ☐ ACMEクライアントの導入を検討する：Certbot/acme.sh/win-acme等のインストール・テストを行う。
- ☐ DNS認証の自動化を確認する：DNS APIが使えるプロバイダーを使うとDCVも自動化できます。
- ☐ 証明書の一元管理体制を整える：台帳・監視ツールで期限切れを検知できる仕組みを作る。
- ☐ 使う商品・購入経路がACMEに対応しているか確認する：対応していない場合（弊社経由のご注文を含む）は、REST APIとDNS認証の組み合わせで自動化できるかを検討する。
- ☐ ステージング環境でテストする：自動化ツールは本番適用前にステージング環境で動作確認する。
📌 関連ページ：
SSL証明書の有効期限が「47日」へ短縮されます
複数年プランのメリット
複数ドメイン・SSL証明書の一元管理ガイド
RapidSSL（ラピッドSSL）— 価格・仕様・自動更新
無料SSL証明書（Let's Encrypt）と有料SSL証明書の違い
当社API自動注文ドキュメント