TLS証明書 Let's Encrypt/ZeroSSL/Cloudflare 2026（ティーエルエスショウメイショ）
TLS Certificate発行サービス。Let's Encrypt (Free・90day Renewal・ACME v2)・ZeroSSL (Free・SectigoCA・90day)・Buypass Go SSL (180day Free)・Cloudflare Origin SSL (15year Self-CA)・Smallstep CA Self-Host・step-ca・cert-manager (k8s)・acme.sh・certbot・lego・Caddy内蔵・¥0 Free or ¥¥1k-¥¥30k/year Wildcard、2026年90day推奨化。
概要
TLS証明書発行サービスは、ウェブサイトやAPIをHTTPSで保護するために不可欠です。2026年に入ってからは、90日間の有効期間を標準化したACME v2の採用がほぼ必須となり、無料・有料の選択肢が拡充しました。Let's Encryptは依然として最も普及しているサービスで、ZeroSSLはSectigo CAを利用した無料オプション、Buypass Go SSLは180日間の無料証明書を提供。Cloudflare Origin SSLは15年間自己署名CAで保護し、企業内部ネットワーク向けに最適化。Smallstep CA Self‑Hostやstep‑caは自前のCAを構築したい組織向けに設計され、k8s環境ではcert‑managerが統合されるケースが増加しています。2025年にはACME v2の互換性がほぼ全ての主要サービスで保証され、2026年には90日有効期間が業界標準となりました。
主な特徴・仕組み
- 90日間有効期間：Let's Encrypt, ZeroSSL, Buypass Go SSL（180日）などで、定期的な更新を自動化しやすい。
- ACME v2対応：全サービスがAPI経由で証明書取得・更新を行い、スクリプトやCI/CDに組み込みやすい。
- 無料プラン：Let’s Encrypt（無償）、ZeroSSL（無料・Sectigo CA）、Buypass Go SSL（180日無料）で、初期投資ゼロ。
- 有料Wildcardプラン：¥1,000〜¥30,000/年でワイルドカード証明書を取得。2025年には多くのサービスが価格を見直し、より低価格化。
- Cloudflare Origin SSL：15年間自己署名CAで内部ネットワークを保護。ロードバランサーやCDNとの併用が推奨。
- Smallstep CA Self‑Host：自前CA構築で、社内ネットワークのセキュリティポリシーに合わせた証明書発行。
- step‑ca：軽量でDockerやKubernetes上で動作。2026年にはstep‑caの公式イメージが増え、デプロイが簡易化。
- cert‑manager：Kubernetes環境でACMEプロバイダーを統合し、Podごとに証明書を自動発行。
- acme.sh / certbot / lego：CLIベースでスクリプト化しやすい。acme.shは軽量で2025年に多数の新機能追加。
- Caddy内蔵：Webサーバー自体が証明書取得・更新を行い、設定ファイル一つで完結。
- CPU/メモリ要件：証明書発行はCPU 1コア、RAM 512MB程度で十分。
- ネットワーク帯域：証明書取得は数十KB、更新は100KB以内。
- セキュリティ：証明書の秘密鍵はローカルに保持し、外部に送信しない設計。
- 失効リスク：90日間の短期化により失効リスクを低減。
- 自動化：cronやsystemdタイマーで自動更新を設定し、管理コストを削減。
スペック比較表
| サービス | 無料/有料 | 有効期間 | ACME v2 | 主要ユースケース | 価格例 |
|---|---|---|---|---|---|
| Let's Encrypt | 無料 | 90日 | 対応 | 個人サイト・中小企業 | 0円 |
| ZeroSSL | 無料 | 90日 | 対応 | ワイルドカード有料 | 0円〜30,000円/年 |
| Buypass Go SSL | 無料 | 180日 | 対応 | 企業内サーバ | 0円 |
| Cloudflare Origin SSL | 無料 | 15年 | 自己署名 | CDN・内部ネット | 0円 |
| Smallstep CA Self‑Host | 自前 | カスタム | 対応 | 社内PKI | 0円（インフラ費） |
具体例・対応製品
- Nginx：acme.shやcertbotを組み合わせて自動更新。
- Apache：certbotを利用し、mod_sslと連携。
- Caddy：証明書取得を内部で処理。
- Traefik：Let's Encryptとの統合が標準。
- Kubernetes：cert‑managerを導入し、Pod単位で証明書を管理。
- ハードウェア例：RTX 5090（24GB GDDR7, 450W TDP, ¥128,000）やRyzen 9 9950X3D（DDR5-6000, 1.5GHz, 3.5GHzターボ, 650W TDP, ¥120,000）を搭載した自作PCで、上記Webサーバーを構築。
自作PCでの選び方・注意点
- CPU：証明書発行は軽量。Intel i5 12th世代以上で十分。
- メモリ：最低2GB。Webサーバーと証明書管理を同時に動かす場合は4GB推奨。
- ストレージ：SSD 256GBで高速アクセス。証明書の秘密鍵は暗号化して保存。
- ネットワーク：安定したインターネット接続。証明書取得時に外部と通信するため、DNS設定が正しいことを確認。
- ファイアウォール：HTTP/HTTPS（80/443）を開放。ACMEチャレンジ用に80番ポートが必要。
- 自動更新：cronジョブでacme.shを実行し、失効前に更新。失敗時はメール通知設定。
- バックアップ：秘密鍵と証明書を別ドライブに暗号化して保存。
- ログ監視：証明書更新ログを定期的に確認し、失敗がないかチェック。
- セキュリティ：OSは最新パッチ適用。不要なサービスは停止。
- 電源：RTX 5090の450W TDPを考慮し、650W以上の電源ユニットを選択。
関連用語との違い
- Let’s Encrypt vs ZeroSSL：Let’s Encryptは純粋に無料で90日更新。ZeroSSLはSectigo CAを利用し、無料でワイルドカードも取得可能。
- Cloudflare Origin SSL：外部CAではなく、Cloudflareが自己署名CAを発行。CDN経由で外部に公開しない内部ネットワークに最適。
- Smallstep CA Self‑Host vs step‑ca：Smallstepは自己CAを構築するフレームワーク。step‑caはその中核となる軽量CA。
- cert‑manager vs acme.sh：cert‑managerはKubernetes専用。acme.shはCLIで汎用OSに対応。
よくある質問(FAQ)
Q1. 何が最適なサービスですか？
A1. 個人や中小企業でHTTPSを導入する場合はLet’s Encryptが最適。ワイルドカードが必要ならZeroSSLの有料プランを検討。企業内サーバならBuypass Go SSL（180日無料）やCloudflare Origin SSL（15年自己署名）が有効。
Q2. 失効リスクはどう管理しますか？
A2. 90日有効期間の証明書は自動更新を設定し、失効前に更新する。cronジョブやcert‑managerのWatchdog機能で失敗を検知し、メールで通知。
Q3. 自動更新を行う際の手順は？
A3. 1. acme.shまたはcertbotをインストール。2. DNSまたはHTTPチャレンジ用にポート80を開放。3. acme.sh --issue -d example.com --standalone で証明書取得。4. acme.sh --install-cert で証明書をWebサーバーに配置。5. cronに 0 3 * * * acme.sh --renew -d example.com --force を追加。
まとめ
TLS証明書発行サービスは、90日有効期間とACME v2の標準化により、セキュリティと運用コストを大幅に低減しています。Let’s Encrypt、ZeroSSL、Buypass Go SSL、Cloudflare Origin SSL、Smallstep CA Self‑Host など、多様な選択肢が存在し、用途や予算に応じて最適なサービスを選べます。自作PCに組み込む際は、CPU・メモリ・ネットワーク設定を適切に行い、証明書の自動更新を確実に設定することで、長期にわたる安全な運用が可能です。