結論から書くと、SSL 証明書とドメインの期限切れを防ぐには、担当者の記憶や個人宛てのメールに頼る管理をやめる ことです。期限・名義・支払い方法・通知先を 1つの台帳にまとめ、通知は共有のアドレスで受け、更新は自動にしたうえで、期限を別に監視します。証明書の有効期間は段階的に短くなるため、手作業の更新は続けにくくなります。
この記事では、ホームページの月額保守の全体と、開発会社と連絡が取れなくなったときのドメインやサーバーの権限の回復は扱いません。権限の回復は「開発会社と連絡が取れなくなった PHP システムを引き継ぐ手順」で説明しています。
期限が切れると何が止まるか
SSL 証明書
SSL 証明書（サイトとの通信を暗号化し、接続先がそのドメインのサーバーであることを確かめるための証明書）の期限が切れると、ブラウザは警告の画面を出し、そのままではページが表示されません。問い合わせや予約のフォーム、会員のログインも使えなくなります。
ドメイン
ドメインの期限が切れると、そのドメインのサイトとメールが止まります。証明書より影響が広く、元に戻せる期間にも限りがあります。
| 種類 | 期限が切れた後 |
|---|---|
| gTLD（.com や .net などの分野別のドメイン） | ICANN の典型的なライフサイクルの図では、更新の猶予（0〜45日）の後に、削除後に回復できる期間（30日）と削除待ち（5日）が続き、この2つの期間はサイトもメールも機能しません。更新の猶予の間も、ICANN の期限切れの回復に関するポリシーで、登録事業者（ドメインの登録を受け付ける事業者）は削除前の少なくとも8日間（期限後8日以内に削除するなら期限から）サイトやメールを止めるため、期限の直後から止まることがあります。その後は誰でも登録できる状態になります |
| .jp | 更新手続きの漏れなどで廃止されると、Web やメールが使えなくなります。廃止から20日以内なら登録回復申請ができます（通常は手数料が必要で、取り扱いや受付期間は事業者で異なる場合があります）。回復されなければ削除され、同じ文字列を登録できるようになります |
JPRS は「ドメイン名の廃止に関する注意」で、廃止したドメイン名が第三者に登録され、詐欺サイトやなりすましのメール、SNS アカウントの乗っ取りなどに悪用される可能性を挙げています。商標の侵害などに当たらなければ、差し止めもできません。
期限切れが起きる原因
- 自動更新の支払いが通らない。 登録したクレジットカードの有効期限が切れていたり、退職した担当者個人のカードだったりすると、自動更新の設定があっても更新されません。
- 通知の宛先に届かない。 gTLD については、表で触れた ICANN のポリシーが、登録事業者に、期限の約1か月前と約1週間前、期限後5日以内に登録者へ通知することを求めています。その宛先が退職した人や以前の制作会社なら、通知は社内に届きません。そのドメインのアドレスを宛先にしていると、メールが止まった後の通知も届きません。
- 無料の証明書の自動更新が失敗している。 Let's Encrypt の HTTP-01 という確認方式では、更新のたびに認証局（証明書を発行する機関）がサイト上の決まった場所のファイルを読みに来ます。サイト全体にパスワードをかけた、DNS（ドメイン名とサーバーを結びつける設定）の向き先を変えた、といった変更で読めなくなると失敗します。Let's Encrypt は期限切れの通知メールを 2025年6月4日に終了しているため、証明書が切れるまで気づかないことがあります。無料 SSL の更新の条件は、契約しているサーバーのマニュアルで確認します。
- 契約の名義が個人や制作会社になっている。 名義の人と連絡が取れないと、更新や設定の変更ができないことがあります。名義が開発会社や制作会社のままのときの進め方は、冒頭で挙げた「開発会社と連絡が取れなくなった PHP システムを引き継ぐ手順」で説明しています。
証明書の有効期間は短くなっていく
証明書の最大の有効期間は、CA/Browser Forum（認証局とブラウザの提供元などが集まる団体）の基本要件（6.3.2）で、次のように段階的に短くなることが決まっています。
| 発行日 | 最大の有効期間 |
|---|---|
| 2026年3月15日より前 | 398日 |
| 2026年3月15日〜2027年3月15日より前 | 200日 |
| 2027年3月15日〜2029年3月15日より前 | 100日 |
| 2029年3月15日以降 | 47日 |
2026年11月の時点で新しく発行される証明書は、最大200日です。有料の証明書を1年単位で契約していても、期間の途中で再発行と入れ替えが要るため、誰がいつ入れ替えるのかを契約先に確認しておきます。
無料の Let's Encrypt は、今は標準で90日の証明書を発行しています。2027年2月10日からは64日、2028年2月16日からは45日になる予定です。更新の回数が増えるほど、手作業では漏れる機会も増えます。
担当者が変わっても止まらない管理の仕組み
管理台帳を作る
ドメインと証明書ごとに1行で、次の項目を書きます。
| 項目 | 書く内容 |
|---|---|
| 対象 | ドメイン名、証明書を使っているホスト名（www.example.com など） |
| 期限 | 有効期限と、契約先の更新の締め切り |
| 契約先 | ドメインの登録事業者、サーバー、証明書の発行元 |
| 名義 | 契約者（会社名か、個人か） |
| 支払い方法 | 誰のどのカードか、請求書払いか |
| 通知先 | 更新案内が届くアドレス |
| 更新方法 | 自動か手作業か、何で更新しているか |
| 担当者と副担当 | 2人以上。管理画面のログイン情報の保管場所も書く |
パスワードそのものは台帳に書かず、別の安全な場所に保管します。
通知先は共有のアドレスにする
通知先は個人ではなく、複数の人が読む共有のアドレスにします。可能なら、管理しているドメインとは別のドメインの予備のアドレスも登録します。
自動更新にして、期限を別に監視する
自動更新が動いたかは、外から証明書の期限を見て確かめます。OpenSSL の s_client で証明書を受け取り、x509 で期限を調べます。
# 証明書の有効期限（notAfter）を表示する
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
| openssl x509 -noout -enddate
# 14日（1209600秒）以内に切れるかを確かめる。切れる場合は終了コードが0以外になる
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
| openssl x509 -noout -checkend 1209600-servername は、1台のサーバーに複数のサイトがあるときに目的の証明書を受け取るための指定です（OpenSSL 1.1.1 以降は省いても -connect の名前が使われます）。2つ目のコマンドを定期的に実行し、0以外で終わったら共有のアドレスに知らせます。しきい値は、自動更新が普段行われる時期より後にします。早すぎると、正常なときにも知らせが届きます。コマンドを動かせない場合は、サイトの監視を頼んでいる契約先に、証明書の期限も監視の対象かを確かめます。
ドメインの期限は共有のカレンダーにも登録し、1か月前と1週間前に担当者と副担当の両方へ知らせが届くようにします。登録事業者の通知と別の経路にしておくと、通知先の登録が古いままでも気づけます。
担当者が交代するときに引き継ぐ項目
- 台帳が最新か。次に来る期限と、その更新方法
- 各管理画面へのログインと、2段階認証に使う端末
- 通知先や登録者の連絡先に、前任者個人のアドレスが残っていないか
- 支払いのカードが前任者個人のものでないか
- 期限の監視の通知先
交代の日に前任者と一緒に管理画面を開いて確かめると、問題をその場で直せます。
h-system でできること
h-system のサイト運用代行ライトプランでは、他社が制作したホームページも含めて、稼働の監視、サーバー・基盤まわりの更新対応、不具合時の一次対応といったサーバー管理を、代表が直接お引き受けしています。サーバーやドメインの管理まで含めてサイトの運用を一か所に任せたい場合や、契約や更新を誰が見ているのか曖昧なままになっている場合も、ご相談いただけます。料金は月額制の個別見積りで、対象となる作業はご契約の際に確認します。