最長有効期間短縮の背景

CA/Browser Forum（認証局事業者やブラウザーベンダーが参加する業界団体）では、 2011年にサーバー証明書の基本要件とされるBaseline Requirementsが制定されて以降、サーバー証明書の最長有効期間が段階的に短縮されてきました。

また、SSL/TLSサーバー証明書を発行する認証局は、必ずこのBaseline Requirementsに従うことが求められます。

CA/Browser Forumにおいて、2029年3月15日以降に発行されるサーバー証明書の最長有効期間を47日間に短縮することとなりました。 この変更内容はBaseline Requirementsに反映されます。

最長有効期間短縮の目的

サーバー証明書の最長有効期間短縮が決定された背景には、主に以下の2つの目的があります。

1.インシデント対応の迅速化

暗号技術に脆弱性が発見されたり、秘密鍵が漏洩するなどのセキュリティインシデントが発生した場合、サーバー証明書は、失効や再発行などの対応が必要となります。
有効期間が短くなることで、従来よりも高頻度でサーバー証明書が更新されるため、インシデント発生時の影響範囲を限定できます。

2.業界全体のサーバー証明書運用の改善

有効期間短縮に伴い、サーバー証明書の管理コストが増大しています。 この解決策の1つとして業界全体でACMEの普及が進められています。

最長有効期間短縮のスケジュール

CA/Browser Forumにて可決された最長有効期間短縮のスケジュールは以下の通りです。

まとめ

業界全体がインターネットにおけるセキュリティ強化のため、サーバー証明書の最長有効期間短縮が進んでいます。 JPDirectは、お客様のサーバー証明書の管理コストを削減できるよう、ACME対応版の提供などサービス・サポートの強化に取り組んでまいります。

はじめに

近年、クッキー（Cookie）の取り扱いやユーザーのプライバシー保護に対する関心が高まっており、企業やウェブ担当者には、より誠実で信頼性の高い対応が求められるようになっています。
本記事は、これからWebサイトを作成・運用しようとしている方、すでに運用中の方に向けて、クッキーの基本から日本におけるガイドライン、ユーザーの信頼を守るための設計について解説します。
また、それらの課題を解決する新しいクッキー同意管理ツール「STRIGHT（ストライト）」を紹介します。

「ドメイン名を登録し、Webページを作る際にプライバシー保護にも配慮したい。でも細かい実装まではよくわからない、できれば手間を省きたい。」という方は、ぜひ本記事をご覧ください。

クッキー（Cookie）とは

クッキーとは、Webサイトがユーザーのブラウザに保存する小さなデータファイルで、ユーザーの識別や利便性の向上を目的として使用されます。主に以下のような情報が含まれます。

• ユーザーIDやセッション情報: ログイン状態を維持するために使用されます。
• カート情報: ショッピングカートの内容を保持します。
• 設定情報: ユーザーがカスタマイズした表示設定や言語選択などを保存します。
• 閲覧履歴: ユーザーごとに、より適切なコンテンツを提供するために使用されます。

クッキーバナーは義務か

クッキーバナーとは、Webサイトにアクセスしたユーザーに対して、クッキーの使用について同意を求めるポップアップのことを指します。

2025年7月現在、日本の法律においてクッキー使用時にユーザーの同意取得が直接的に義務付けられているわけではありません。
しかし、以下の法律により、クッキーの利用は間接的に規制されています。

• 個人情報保護法
  • 他の情報と組み合わせて個人識別可能な場合は個人情報として規制
• 改正電気通信事業法
  • 外部送信規律により、通知・公表・同意取得・オプトアウト機会の提供を義務化

また、JIAA（日本インタラクティブ広告協会）のガイドラインでは、ユーザーの理解と信頼を得るために、クッキー等の利用目的を明示し、オプトアウト手段（※）の提供を推奨しています。
※ オプトアウト：Webサイト訪問時にデータの取得が始まり、ユーザーが望まない場合には、その処理を停止できる仕組み。
JIAAのガイドライン【行動ターゲティング広告ガイドライン】（外部リンク）

近年では、個人のプライバシー意識の高まりや個人情報保護法の強化などを背景に、企業にはより明確で誠実なプライバシー対応が求められています。

ダークパターンとは

ダークパターンとは、Webサイトやアプリの設計において、ユーザーを意図的に誤解させたり、不利益を与えたりするようなデザイン手法のことを指します。

こうした手法は、ユーザーに不信感を与え、サービス全体への信頼低下につながります。ユーザーが安心して利用できるようにするためには、ダークパターンを避けた誠実なデザインを心がけることが大切です。
ダークパターンを避けるデザインは、長期的に見てWebサイトの成功にもつながります。

ユーザーの信頼を守る設計

現在では、Webサイト全体の信頼性が問われています。ユーザーの立場に立ち、誠実な設計を行うことが、信頼獲得の鍵となります。

見かけだけのクッキーバナーや、クッキー設定をブラウザの設定任せにしているWebサイトに対しては、不信感を抱くユーザーも少なくありません。 ユーザーの信頼を得るためには、正直で分かりやすい情報提供と、直感的で使いやすい操作性の確保が欠かせません。

単にクッキーバナーを表示するだけでは不十分であり、内容が煩雑だったり分かりづらかったりすると、ユーザーの離脱を招く可能性があります。

一般社団法人ダークパターン対策協会（外部リンク）は、 誠実な設計を実践する事業者を対象に「NDD認定制度」を創設しています。 これは、ダークパターンを使用しないWebサイトを中立的に評価・認定する制度で、消費者が安心して利用できる目印として機能します。

※ 「NDD」は「Non-Deceptive Design（欺瞞的でないデザイン）」の略

クッキー対応も、信頼設計の一部

同協会が定める「ダークパターン対策ガイドライン」では、クッキーに関する透明な情報提供と、ユーザーの選択機会の確保が重要な対応項目とされています。

JPRSでは、このガイドラインに準拠したクッキー同意管理ツール「STRIGHT（ストライト）」を提供しています。 NDD認定の取得をご検討中の企業の方、誠実なサイト運営を目指す方は、ぜひ以下のリンクから詳細をご覧ください。

STRIGHT（ストライト）とは

STRIGHT（ストライト）は、株式会社インターネットイニシアティブ（IIJ）が開発した、Webサイト運営者向けの「クッキー同意管理ツール」です。
このツールを利用することで、ユーザーのプライバシーを適切に保護しながら、クッキー同意取得に伴うサイト離脱やWebサイトの視認性低下といった課題を解決します。

はじめに

この記事では、サブドメインの基本的な概念から実際の設定手順までを詳しく解説します。
「サイトの新設や、サブドメイン名を活用したサイト拡張を検討している」という方は、ぜひご覧ください。

サブドメインは、メインサイトとは異なるテーマやターゲットのページを作成したい場合や、 運用チームやサーバーを分ける必要がある場合に活用できます。

サブドメインとサブディレクトリの違い

サブドメインはメインサイトから独立したサイトとして扱われ、サブディレクトリはメインサイト内の一部として扱われる点が主な違いです。
サブディレクトリとは、ウェブサイト内で階層的に整理されたディレクトリ（フォルダ）のさらに下位に位置するディレクトリのことを指します。
他にも、サブドメインとサブディレクトリには、以下の表のような違いがあります。

サブドメインの基本的な概念

ドメイン名空間（インターネット上のドメインを階層的に整理した仕組み）において、他のドメイン名を含むドメイン名がある時、含まれているドメイン名は、そのドメイン名のサブドメインです。 （JPRS用語辞典）
たとえば、「blog.jpdirect.jp」や「jpdirect.jp」はいずれも「jp」のサブドメインです。

また、サブドメインはそのドメイン名の管理者が自由に作ることができます。そして、作成したサブドメインの管理権限を他者に委任することも可能です。

サブドメインの特徴

ドメイン名ごとの自由度が高い

サーバーや運用チームを分けることで、異なるサービスや利用目的ごとに管理することができます。

親ドメインと一定の関連性がある

サブドメインは基本的に独立したサイトとして扱われますが、Googleの評価アルゴリズムによっては、親ドメイン（例：jpdirect.jp）との関連性が強い場合に限り、一定のSEO評価が共有される可能性があります。 ただし、必ずしもプラスに働くとは限らず、親ドメインの評価が低い場合はマイナス要因となることもあります。

サブドメインに関する注意点

SEOにおける注意

サブドメインは独立したサイトとして評価されるため、新規にSEO対策を行う必要があります。また、サブドメインと親ドメインが検索結果で競合する場合もあります。

サーバー証明書のコストがかかる

サーバー証明書とは、PCやスマートフォンの端末とインターネット上のWebサイトとの間の通信を暗号化するために必要な電子証明書です。
サブドメインにはそれぞれサーバー証明書の設定が必要であり、複数のサブドメインに対して個別に設定する場合、管理の手間が増える可能性があります。
ただし、ワイルドカード証明書を活用すれば負担を軽減できます。

サブドメインの作成方法

サブドメインは、親ドメインのDNS設定から作成できます。
JPDirectでドメインを取得している場合の具体的なサブドメイン作成手順は以下のとおりです。

0.サーバー側でサブドメインを設定

DNS設定が完了したら、サーバーでサブドメイン用の環境を構築します。

1.JPDirectのマイページへログイン

マイページへログインします。

2.対象ドメイン名の「ドメイン名情報」をクリック

3.「DNS設定情報」から設定内容（ホスト名、値、MX優先）の入力

各入力欄に設定する内容（ホスト名、値、MX優先）を半角で入力してください。
サブドメインの作成方法は、使用しているサーバーによって手順が異なります。

入力した内容をご確認のうえ、「内容確認」をクリックしてください。

4. 入力した内容をご確認のうえ、「同意して設定」をクリック

入力した内容と合わせて、JPDirect DNSサービスご利用規程をご確認ください。
内容をご確認の上、「同意して設定」をクリックしてください。

※申請受付後に自動メール（件名：DNSサービス設定受理のご連絡）が送信されます。

5.サーバー証明書を設定（HTTPS化）

サブドメインも安全な通信のためにサーバー証明書を適用する必要があります。

サーバー証明書とは、PCやスマートフォンの端末とインターネット上のWebサイトとの間の通信を暗号化するために必要な電子証明書です。

6.必要なCMSやアプリをインストール

サブドメイン用の環境が整ったら、WordPressやECサイト用CMSなど必要なツールをお使いの環境にインストールして利用を開始します。

まとめ

サブドメインは新サービスの開始や言語別ページの作成など、メインサイトとは異なるテーマやターゲットのページを作成したい場合や 運用チームやサーバーを分ける必要がある場合に活用できます。

• サブドメインを選ぶべき場合
• メインサイトとは異なるテーマやターゲットのページを作りたい場合
• 運用チームやサーバーを分ける必要がある場合
• サブディレクトリを選ぶべき場合
• サイトの評価を一元化してSEOを強化したい場合
• 同じテーマ内で補助的なコンテンツを作りたい場合

はじめに

JPDirectで登録したドメイン名をGoogle WorkspaceのGmailで使用することができます。
登録したドメイン名を使ってGmailでメールを送受信するためには、 JPDirectのDNSサービスでいくつかのDNSレコードを設定する必要があります。

※ 各手順の画像の左上には、「Google Workspace」と「JPDirect」のタグが付いています。「Google Workspace」のタグが付いている手順については Googleのページで、「JPDirect」のタグが付いている手順についてはJPDirectのマイページより操作を行ってください。

手順1：Google Workspaceにアクセス

Google Workspaceの管理コンソールにアクセスし、以下の画面まで進みます。
参照URL：https://workspace.google.com/

手順2：設定内容（ホスト名、値、MX優先）を確認

内容を確認して、以下の画面まで進みます。
この時、Google WorkspaceでGoogleMX レコードと確認コードをメモ帳などにコピーしてください。

手順3：JPDirectのマイページからログイン

JPDirectのマイページへログインします。

手順4：対象のドメイン名を選択

設定したいドメイン名のドメイン名情報をクリックします。

手順5：設定内容（ホスト名、値、MX優先）を入力

ページ下部の「DNSサービス」で設定する内容をMXの欄に入力します。
入力する内容は手順２で案内された内容です。
黒塗りの部分には、手順2で取得した確認コードを入力します。
値の末尾には.（ピリオド）を入力してください。

※ 以下の画像は一例です。

手順6：入力した内容をご確認のうえ、「同意して設定」をクリック

入力した内容をご確認ください。
内容に問題ないようでしたら「同意して設定」をクリックしてください。
お申し込み後、通常20分程度で自動メール（件名：DNSサービス設定完了のご連絡）をお送りします。
メールが届きましたらJPDirectでの設定は完了です。

※ Gmailにてレコードが確認できるまでには、24時間程度お時間がかかる場合があります。

手順7：Google Workspaceの画面でGmailを有効にする

Google Workspaceのページに戻り、「GMAILを有効にする」をクリックしてください。

JPDirectのDNSサービス設定が反映される前に「GMAILを有効にする」をクリックした場合、以下のようなエラーが表示されます。
時間をおいて、再度「有効化を再試行」をクリックしてください。

手順8：設定完了

以下の画面に進めば、設定は完了です。

皆さんはWebサイトを見る際にどのブラウザーを使っていますか？

Internet Explorer（IE）の後継「Microsoft Edge」やiPhoneでよく使われる「Safari」などたくさんの種類があり、世界で最も使われているのは「Google Chrome（グーグル クローム）（以下、Chrome）」です。Chromeは日本においても50%以上のシェアがあります（2023年7月時点）[出典：statcounter]。

今後、ChromeでHTTPSに対応していないURL（「http://」から始まるWebサイト）に接続した際に、Webサイトを表示する前に画面全体に警告メッセージを表示する方針であると発表がありました。

このページでは、2023年8月にGoogleが発表した内容（*）を元に、「HTTPSファーストモード」機能の概要とこの機能が初期設定で有効になった時の影響を解説し、Webサイトの運営者が今からできる対策についても解説します。

HTTPSファーストモードとは

常に安全な接続を使用する機能

HTTPSファーストモードとは、2021年9月にリリースされた「Chrome 94」で搭載された機能で、現時点では初期設定で無効（適用しない）になっています。

この機能を有効にして、HTTPSに対応していないURLを閲覧しようとすると、Chromeは自動でHTTPS接続へのアップグレードを試み、それに失敗すると、画面全体に大きく警告メッセージを表示します。

いつからHTTPSファーストモードが初期設定で有効になる？

現時点では詳細な日程は公表されていない

Googleは、現在HTTPSに対応していないWebサイトを閲覧する際に「保護されていない通信」とアドレスバーに警告を表示しています。ただ、これでは気付かない人もいるため、画面全体に大きく警告メッセージを表示するHTTPSファーストモードを初期設定で有効にすることに向けて計画を進めている旨を、2023年8月16日に発表しました。

現時点でこの計画の具体的な日程までは公開されていませんが、進行に当たって、次の関連機能を順次リリースするとのことです。

• 「http://」のリンクをクリックした場合でも、「https://」に自動的にアップグレードする機能
• 「http://」からコンテンツをダウンロードしようとした際に警告のポップアップを表示する機能

今後、Googleは、HTTPSファーストモードの初期設定での有効化の実験を行いながら、段階的に適用範囲を広げていくことになります。

Webサイトの訪問者が離脱しないために、今からできる対策

ChromeはトップシェアのWebブラウザーです。HTTPSファーストモードが初期設定で有効化となった場合、HTTPSに対応していない「http://」のWebサイトのアクセス数は大きく減少することが考えられます。

そのようなことにならないためにも、Webサイトの運用者は運営するWebサイトのすべてのページに通信を暗号化するための、サーバー証明書の設定（HTTPS化、常時SSL化）をお勧めします。

まとめ

• Googleが「HTTPSファーストモード」を初期設定で有効にする予定であると発表
• HTTPSファーストモードが初期設定で有効になると「http://」にしか対応していないWebサイトを閲覧する際に画面全体に警告が表示される
• Webサイトのすべてのページに通信を暗号化するサーバー証明書の設定を推奨

本ページで使用している専門用語の解説

Webブラウザー（ブラウザー） パソコンやスマートフォンなどでWebサイトを閲覧する際に使用するソフトウェア。主要なブラウザーに「Chrome」「Safari」「Edge」「Firefox」などがある

Google Chrome（Chrome） Googleが開発したクロスプラットフォームのWebブラウザー。世界で最も利用されているブラウザー。日本においても50%以上のシェアがある（2023年7月時点）[出典：statcounter]

関連

鍵マークが表示されない？

SSLサーバー証明書を設定してhttps（通信の暗号化）に対応させたはずのWebサイトをChromeやFirefoxなどのブラウザーで見た時に、URLバー（アドレスバー）の横に鍵マークが表示されないことがあります。

Webページによって「鍵マークあり」「鍵マークなし」が変わってしまい、トップページは鍵マークが表示されているけど、会社案内ページは鍵マークが表示されていないなんてことも。

なぜ鍵マークが表示されるWebページとされないWebページがあるのか。また、どこを解消すれば鍵マークが表示されるようになるのか、ブラウザーを使って簡単に調べる方法をご紹介します。

鍵マークが表示されない原因（mixed-content）

httpsのWebページに、httpから始まる記述（リソース）が混ざってしまうと鍵マークが表示されません。
該当部分を読み込む際は安全でない通信が行われているためです。

このhttpのコンテンツが混ざってしまっている状態を「mixed-contents」といいます。

特に気をつけたいポイントは3つです。

• 画像・動画を読み込むURL
• CSSを読み込むURL
• JavaScriptを読み込むURL

【ブラウザー別】原因となっている箇所の見つけ方

Chromeでの見つけ方

1. 運営するWebサイトにアクセスした後、Chromeデベロッパーツールを開いてください。
   • 画面上で右クリックをすると[検証]の項目がありますのでクリック
     または
   • キーボードの[F12]を押す
2. [Console]をクリックするとmixed-contentがある場合は該当箇所が表示されます。

Firefoxでの見つけ方

1. 運営するWebサイトにアクセスした後、Firefox開発ツールを開いてください。
   • 画面上で右クリックをすると[要素を調査]の項目がありますのでクリック
     または
   • キーボードの[F12]を押す
2. [コンソール]をクリックすると混在表示コンテンツ（mixed-content）がある場合は該当箇所が表示されます。

Safari（Mac OS）での見つけ方

1. 運営するWebサイトにアクセスした後、Safari webインスペクタを開いてください。
   • 画面上で右クリックをすると[要素の詳細を表示]の項目がありますのでクリック
     または
   • キーボードで[option]・[command]・[I]を同時に押す
2. [コンソール]をクリックするとinsecure contentがある場合は該当箇所が表示されます。

まとめ

• SSLサーバー証明書を設定してhttpsに対応させても鍵マークが表示されないことがある
• 原因はhttpのWebコンテンツを外部から読み込んでしまう「mixed-content」にある
• 対処方法はWebページ内のhttpから始まる記述を修正すること
• 修正箇所はブラウザーの開発ツールなどで確認できる

関連ページ

• JPRSサーバー証明書商品案内（料金・見積もり・お申し込み）
• 常時SSL化で押さえておきたいメリットとデメリット【Webサイト運営者向け】
• 「保護されていない通信」という表示が出ないようにするには【Webサイト運営者向け】
• 【画像で解説】混合コンテンツでブロックとなった時の確認と対策〜Chrome79から段階開始【Webサイト運営者向け】

2018年7月にリリースされたGoogle Chrome68では、HTTPS化されていないWebページのアドレスバーに「保護されていない通信」という警告が表示されるようになりました。

さらにその後のバージョンアップでもHTTPのWebページに対する警告表示は徐々に強まっており、Webサイト全体をHTTPS化する「常時SSL化（常時HTTPS化）」はWebサイト運営者にとっていち早く取り組むべき課題となっています。

このページでは、JPRSがどのように自社サイトの常時SSL化を進めたのか、実際の体験をもとにお伝え出来ればと思います。

（1）はじまり

現代では、多くの企業が自社のWebサイトを所有し運営しています。中にはコーポレートサイト以外にもリクルートサイトや商品別のサイトなど、沢山のWebサイトを持っている企業も珍しくありません。そしてそうしたWebサイトの中には、サーバー証明書が設定されておらず常時SSL化がなされていないものも沢山あるかと思います。このようなサイトは、Google Chrome68による警告表示実施後は視覚的に「危険なサイト」として印象づけられてしまうことになります。

JPRSではそうした業界的な動きにあわせ、自社サイトの常時SSL化への取り組みを開始しました。

（2）対策チームの結成と対応検討

プロジェクトを任された若手社員の悩み

さて、自社サイトを常時SSL化させようと意気込んだはいいもののはじめはわからないことだらけでした。

こうした問題を1から解決するのはとても困難だったため、各部室から関係者を集めて対策チームを結成することにしました。チームには自社サイトの多くを管理している部室や、サーバーへの設定作業に関わるシステム系の部室など、社内の関係者が参加。そしてチームでの話し合いや情報共有の結果、自社サイトの管理状況が段々と明らかになってきました。

常時SSL化の対象となるWebサイトの洗い出し

さて、自社サイトの管理に関する大まかな状況を把握し各サイトの管理部室を整理したところで、自社サイトの常時SSL化に関する対応検討が始まりました。

50サイトの中にはコンテンツが更新されていない古いサイトなどもありました。そうしたサイトを存続させるかどうかという点も含め、常時SSL化の対象とするべきWebサイトを改めて検討しました。

サーバー証明書にはDV、OV、EVといった種別があり、有効期間は最大2年まで（※2020年当時の最大有効期間）選択できます。

これらはサーバー証明書発行の際に必要な情報となりますので、基本となる判断基準を定め、今後発生するケースにも可能な限り適用できることを目指しました。

ひとくちに常時SSL化といっても、Webサイトにサーバー証明書を設定するには証明書の発行やサーバーの設定、コンテンツ自体の編集など様々なフローが必要になります。

対策チームでは、今後も全社的に利用できるような常時SSL化手順の作成を目指しました。その他様々な検討を経て、以下の方針で対応を進めていくことが決まりました。

（3）常時SSL化の実行

対応手順

チーム内での検討のもと対応手順を決定し、いよいよ実際に常時SSL化を実施する段階まで辿り着きました。あとは各部で手順に従い、スケジュール通りに準備を進めていきます。

また、証明書の発行〜設定と並行してWebコンテンツの編集も行いました。コンテンツ編集が不十分だと、せっかく常時SSL化をしても鍵マークが表示されないなど、様々な問題が発生してしまう可能性があります。（参考：httpsで鍵マークが表示されない！？ブラウザーで原因箇所を見つける方法）

上記の手順を優先順位が高いものから順に行っていき、数カ月をかけて対象サイト全件の常時SSL化が完了しました。

（4）サーバー証明書の「更新」手順制定

更新管理が大事

自社サイトの常時SSL化はひとまず完了しましたが、まだまだ運用体制は不十分です。次なる課題として、対策チームではサーバー証明書「更新」の手順制定に取り組みました。サーバー証明書は一度発行したらずっと使えるというものではなく、決められたタイミングまでに更新しないと有効期限を迎え、使えなくなってしまいます。

つまり、Webサイトにサーバー証明書を設定した後は、有効期限が切れるまでに忘れず更新を繰り返す必要があるということになります。サーバー証明書の更新は、手順自体は基本的には新規発行と同じです。しかし新規発行の際とは違い、各管理部室がサーバー証明書の更新タイミングを漏れなく察知するための管理体制が必要になります。

そこで私たちは、JPRSサーバー証明書の自社発行を行っている業務部門と連携し、更新状況を一元管理することで、各管理部室に対し適切に有効期限のリマインドを行える体制を構築しました。

（5）最後に

Google Chromeによる警告表示の実施をはじめ、政府機関の全Webサイトの常時SSL化が義務化されるなど、Webサイトの常時SSL化は業界的にも当たり前になってきました。

今後HTTPサイトへの制限がさらに厳しくなっていく可能性も考慮すると、冒頭にも記載の通り、常時SSL化はWebサイトを運営する上で必要不可欠なものになってくるのではないでしょうか。

運営サイトの常時SSL化がお済でない方にとって、本コンテンツが少しでも参考になれますと幸いです。

本ページで使用している専門用語の解説

SSL（Secure Socket Layer）

通信データを暗号化し、盗聴や盗み見されないようにする技術です。パスワードの送受信をするようなページでは必須とされます。HTTPS通信は、SSLの後継バージョンであるTLS（Transport Layer Security）の技術を用いておりますが、一般的に広く知られているSSLと表記しています。

HSTS（HTTP Strict Transport Security）

HSTSは、利用者が常時SSL化されたWebサイトにHTTPでアクセスしてしまうことを、できるだけ減らすための仕組みです。

JPRSサーバー証明書について

「.jp」の登録管理を行うJPRS(株式会社日本レジストリサービス) が提供するSSL/TLSサーバー証明書です。
「.jp」は150万件以上の登録実績があり、JPRSは設立以来15年以上、JPDNSを無事故・無停止で運用しています。安心と信頼の品質をSSL/TLSサーバー証明書でも実現します。

商品紹介ページ

2020年4月2日時点でApple社に信頼されなかった証明書を利用したWebサイトへの明確な対応は公表されておりませんが、Safariブラウザー（以降、Safari）でのWebサイトの読み込みがエラーとなると思われます。

このページでは、Apple社が発表した内容と今後の対策についてご案内します。

Apple社は有効期限が398日を超えるSSLサーバー証明書を信頼しないと発表

Apple社はサポートページで2020年9月1日以降に発行したSSLサーバー証明書で、有効期間が398日を超えるものを信頼しないと発表しました。
（参考：Apple Support「About upcoming limits on trusted certificates」）

この変更は「Webセキュリティを改善するための継続的な取り組み」の位置付けと説明しています。

ChromeやIE・Edgeなどのブラウザーには利用できる？

ChromeやIE・Edgeなどのブラウザーは有効期間短縮について発表していない。

Appleの発表は、Google Chrome、Internet Explorer（IE）、Microsoft Edgeなどのブラウザーには影響しません。2020年9月1日以降に発行されたSSLサーバー証明書で有効期間2年のものをインストールしたWebサイトであっても支障がないと言えます。

現在Google Chrome、Internet Explorer（IE）、Microsoft Edgeなどのブラウザーは有効期間短縮について発表しておりませんが、今後Appleの動きに追随してくる可能性も考えられます。

有効期間2年のSSLサーバー証明書を購入できるのはいつまで？

2020年8月31日以前

Apple社は2020年8月31日以前に発行したSSLサーバー証明書には影響しないと発表しています。

2020年9月1日以降

2020年9月1日以降にSSLサーバー証明書の発行（更新を含む）をご検討中の方は、有効期間1年で購入されることをお勧めいたします。
【2026年2月19日追記：業界標準に従い、JPDirectは2026年2月17日をもって、有効期間が1年の証明書の発行を終了しました。】

JPRSサーバー証明書について

「.jp」の登録管理を行うJPRS(株式会社日本レジストリサービス) が提供するSSL/TLSサーバー証明書です。
「.jp」は150万件以上の登録実績があり、JPRSは設立以来15年以上、JPDNSを無事故・無停止で運用しています。安心と信頼の品質をSSL/TLSサーバー証明書でも実現します。

本ページで使用している専門用語の解説

SSL（Secure Socket Layer）

通信データを暗号化し、盗聴や盗み見されないようにする技術です。パスワードの送受信をするようなページでは必須とされます。HTTPS通信は、SSLの後継バージョンであるTLS（Transport Layer Security）の技術を用いておりますが、一般的に広く知られているSSLと表記しています。

Webサイトの閲覧に大きく影響!?

iOS12.2（2019年3月リリース）から実施された変更

iPhoneやMacなどを使ってSafariで閲覧したWebサイトのURLが「http」から始まる場合、URLバー（アドレスバー）の横に「安全ではありません」と警告が表示されるようになりました。

今までも*パスワードやクレジットカードを入力するページに限定して表示されていましたが、2019年3月にリリースされたiOS12.2からは、Webサイトのアドレスが「http」から始まるすべてのWebページで警告が表示されることになりました。

Safariは国内でのブラウザー市場シェア2位に位置づけており、モバイル端末に限定すると70%以上になります[出典：statcounter/2019年2月時点]。iOS12.2の変更により、多くのサイト訪問者にブラウザー上で警告が表示されることが予想されます。

*・・ iOS 11.3 および macOS 10.13.4 （2018年3月リリース）以降

「安全ではありません」という表示を解除するには!?

「https」と「http」の違いとは

インターネット上の通信はそのままネットワーク上で送られます。暗号化されていないWebサイトに入力したパスワードや個人情報などは、悪意があり技術を持った第三者が覗こうと思えばその情報を簡単に見ることができます。

Webサイト運営者が「https」から始まるURLに変更する

「安全ではありません」の警告表示を解除するには、Webサイト運営者が「https」から始まるURLに変更することが必要です。この変更には、通信を暗号化するSSLサーバー証明書を用います。つまり、Webサイトを運用しているサーバーにSSLサーバー証明書を設定すれば、通信を暗号化でき、ブラウザーの警告も解除することができます。

まとめ

「安全ではありません」は、URLがhttpの時に表示される
警告表示を解除するにはSSLサーバー証明書を設定し、URLを「https」（通信が暗号化されている）に変更する必要あり

本ページで使用している専門用語の解説

SSL（Secure Socket Layer）

通信データを暗号化し、盗聴や盗み見されないようにする技術です。パスワードの送受信をするようなページでは必須とされます。HTTPS通信は、SSLの後継バージョンであるTLS（Transport Layer Security）の技術を用いておりますが、一般的に広く知られているSSLと表記しています。

「保護されていない通信」を解除するには

「保護されていない通信」＝通信が盗聴されてしまうリスクあり!?

インターネット上でのやり取りはhttpから始まるURLの場合は通信が暗号化されていないということをご存知でしょうか？

例えば、URLがhttpから始まるログイン画面にパスワードを入力したとします。
この時に入力したパスワードは、はがきに書いた情報のようにそのままネットワーク上で送られますので、悪意のある第三者が覗こうと思えばその情報を簡単に見ることができます。

こうした情報漏洩を防ぐためには通信を暗号化する必要があります。暗号化された通信を行い、情報を保護することができるhttpsにすることがWebサイトの運営者に求められています。

「保護されていない通信」という警告表示が出ないようにするには

「保護されていない通信」という警告表示が出ないようにするには、httpではなくhttpsから始まるURLに変更し、全てのページにおいて通信を暗号化する必要があります。
WebサーバーにSSLサーバー証明書を設定すると通信が暗号化され、httpではなくhttpsにURLを変更することができます。

「保護された通信」を行うSSLサーバー証明書とは？何枚必要？

SSLサーバー証明書とは

利用者はパソコンやスマートフォンからインターネットを介してWebページを見ています。閲覧する際に利用者側はブラウザーを使い、Webページがあるサーバーにアクセスしています。

ブラウザー（利用者側）とサーバー（Webサイト運営者側）の通信を暗号化していると、お申し込みフォームなどに入力した情報が暗号化され、「保護された通信」を実現できます。

この通信を暗号化するためにサーバー（Webサイト運営者側）にインストールする電子証明書のことを「SSLサーバー証明書」と言います。

1つのWebサイトにSSLサーバー証明書は何枚必要？

SSLサーバー証明書の必要枚数は、Webサイトの構成によって異なります。
Webサイトの構成は大きく2つに分けることができます。

[1]のケースであれば、コモンネーム（jpdirect.jp）は共通なので
SSLサーバー証明書は1枚ですべてに適用できます。

[2]のケースであれば、コモンネーム（jpdirect.jp/login.jpdirect.jp/example.jp）が異なるので
SSLサーバー証明書は3枚必要です。

複数枚を1枚にまとめることができるワイルドカードとは？

サブドメイン部分が異なっていても対応できるものをワイルドカードと呼びます。
[2]のケースであれば、SSLサーバー証明書はワイルドカード1枚にまとめることができます。

ただし、ワイルドカードの適用範囲にはご注意が必要です。

• メリット
• 証明書が1枚なので管理コストが低い（CSRや秘密鍵も1つ）
• 証明書が1枚なのでインストール作業が1回で済む

• デメリット
• 複数枚分の役割をするので料金はワイルドカードの方が高い
  JPDirectが取り扱っているものだと、ドメイン認証型（DV）1年が11,990円（税込）で、ワイルドカードが47,960円（税込）です。

複数枚を1枚にまとめることができるワイルドカードとは？

「*.」の部分が同一階層であれば「www」「login」など別のサブドメインがいくつあっても適用範囲です。

「*.」の部分と階層が異なる場合、「*.」の部分がない場合は適用範囲内です。別途SSLサーバー証明書が必要です。

「保護されていない通信」がChromeでは赤文字で目立つように

Chromeでは、WebサイトのURLがhttpから始まると「保護されていない通信」、httpsから始まると「保護された通信」となります。このhttpの後ろにつく「s」は「安全(な)」を意味するSecureの頭文字です。

今までもお問い合わせフォームやログイン画面など、特に重要な通信が行われるページがhttpだった場合に警告メッセージを表示するブラウザーがありましたが、ChromeではhttpからURLが始まるすべてのWebページに対して警告が表示されるようになりました。

さらにChrome70（2018年10月リリース）から、フォームに情報を入力しようとすると警告が赤字に変化し、ますます目立つようになりました。

ブラウザーが推進する「保護」

Googleは通信が暗号化された状態が標準になるように警告表示を段階的に変更する意向を公開しています。

ブラウザーの動向 [2018/09現在関連発表が行われているもの]

まとめ

• 「保護されていない通信」は、URLがhttpの時に表示される
• 全てのページでhttps（通信が暗号化されている）にする対応（常時SSL化）は必須の流れ
• WebサーバーにSSLサーバー証明書を設定すると通信が暗号化され、httpではなくhttpsにURLを変更することができる

本ページで使用している専門用語の解説

SSL（Secure Socket Layer） 通信データを暗号化し、盗聴や盗み見されないようにする技術です。パスワードの送受信をするようなページでは必須とされます。HTTPS通信は、SSLの後継バージョンであるTLS（Transport Layer Security）の技術を用いておりますが、一般的に広く知られているSSLと表記しています。

CSR（Certificate Signing Request） SSLサーバー証明書を発行するための証明書署名要求のことです。CSRには公開鍵やコモンネーム、組織名などの情報が含まれます。CSRの生成方法は認証局がマニュアルを公開しています。 （参考：「CSRの生成方法」）

コモンネーム（Common Name） CSRを生成する際の項目の1つで、ドメイン名（またはサブドメイン）のことです。

「常時SSL化」とは

「常時SSL化」とは、Webサイト全体をHTTPS化（通信の暗号化）することを指します。

今までは、Webサイト上でパスワードや個人情報等を入力するページ（ログインページやクレジットカード決済ページなど）のみをHTTPS化し、特に重要な情報のみ保護するという形式が一般的でした。

近年では、GoogleなどHTTPS化を推進する組織の働きもあって世間の意識が高まり、Webサイトの常時SSL化が求められています。

常時SSL化のメリット

メリット1：Webサイトのセキュリティ向上

URLがhttpから始まるWebページは通信が暗号化されておらず、第三者によってブラウザーとサーバー間の通信データを盗聴・改ざんされてしまうリスクがあります。
SSL/TLSという技術を用いてHTTPS化（通信の暗号化）をすることで、Webサイト訪問者が安心してWebサイトを利用することができるようになります。

○HTTPS化で防げる脅威（通信の暗号化）

• 通信内容の盗聴
• 通信内容の改ざん

また、SSLサーバー証明書（組織認証型）は認証局がWebサイト運営者の実在性を確認しており、全てのWebページにおいて第三者のなりすましではないことを証明することができます。

○HTTPS化で防げる脅威（通信の暗号化）

• 第三者によるなりすまし

メリット2：「HTTP/2」によるWebサイト表示の高速化

HTTPS化すると、次世代プロトコルである「HTTP/2」を利用できるようになります。「HTTP/2」を利用すると、通信の効率化によってWebサイトの表示を高速化し、現在主流である「HTTP/1.1」より速くWebサイトを表示することができます。

※HTTPS化することによる負荷でWebサイトの表示速度が遅くなると言われていた時期もありました。現在は通信機器の機能向上により、httpとhttpsの表示速度に大きな差はなくなってきています。

「HTTP/2」「HTTP/1.1」のどちらを利用しているか確認する方法

1. 運営するWebサイトにアクセスした後、以下の方法でChromeデベロッパーツールを開いてください。

• 右クリックをすると[検証]の項目がありますのでクリック または
• キーボードの[F12]を押す

2. [Network]をクリックして表示されるProtocol欄に表示されます。（[h2]は「HTTP/2」を指します）

メリット3：SEOへの影響

Googleは2014年にHTTPSをランキングシグナル（検索順位を決定する要素の1つ）に使用することを公表しています。HTTPからHTTPSにした方が検索順位の向上に良い影響があると言えます。ただし、良質なコンテンツが与える検索順位への影響などと比べるとHTTPSのランキングシグナルのウェイトは大きくないとのことです。

メリット4：アクセス解析の精度向上

Google Analyticsには、Webサイト訪問者の参照元がわかる「リファラー」という機能があります。

運営するWebサイトのURLがhttpの場合、httpsのWebサイトから訪問してきた際にリファラーの情報が受け渡されず、参照元を確認することができません。

それに対して、HTTPS化されたWebサイトでは、HTTP・HTTPS両方のページからのリファラーを確認することができるため、アクセス解析の精度を高めることができます。

常時SSL化していないことのデメリット

Google Chromeでアクセスした際に「保護されていない通信」と表示される

2018年7月にリリースされたChrome68では、httpから始まるWebサイトにアクセスした場合、URLバー（アドレスバー）の横に[保護されていない通信]と警告が表示されるようになりました。

ユーザーが利用するブラウザーに警告表示が出ることで、Webサイト訪問者が離脱してしまうことも考えられます。

また、httpsの場合は「保護された通信」というメッセージともに鍵マーク（南京錠のマーク）も表示されるので、Webサイトの訪問者に対して視覚的な安心感を与えることができます。

このブラウザでの警告表示は段階的に強化され、Googleは2018年10月リリースのChrome70ではURLバー（アドレスバー）にhttpから始まるURLのフォームに情報を入力すると赤字で警告が表示されるようになりました。

常時SSL化をする前に注意するべきこと

ポイント1：事前に料金・管理にかかるコストを把握しておく

常時SSL化（全HTTPS化）するにはSSLサーバー証明書が必要です。
運営するWebサイトが必要とする料金を確認しておきましょう。
複数のサブドメインを使っているWebサイトの場合はワイルドカード証明書がオススメです。
同一階層はワイルドカード証明書1枚で適用でき、SSLサーバー証明書の導入コスト・管理コストを削減することができます。

ポイント2：対応環境を把握しておく

パソコンや現在主流のスマートフォンからのアクセスには支障はありませんが、フィーチャーフォン（いわゆるガラケー）やAndroid2.0など一部の機種/OSからhttpsのWebページにアクセスはできません。どの機種に対応しているか概要を把握しておきましょう。

常時SSL化推進の動き

日本でのHTTPS経由で読み込まれたWebページの割合

2018年8月4日時点の「世界各国におけるChromeでのHTTPSの使用状況」によると日本は約67%がHTTPS経由で読み込まれたWebページとのことです。グラフから見える通り、今後もHTTPS通信の割合が高まっていくことが予想されます。

出典元：「Google透明性レポート-HTTPSに関する報告」

大手Webサイトの対応

GoogleやYahoo!JAPANなどの検索ポータルサイト、XやFacebook、InstagramといったSNSでは、ユーザー保護の観点から既に常時SSL化が行われています。

政府系サイトの対応

2018年7月25日に内閣官房 内閣サイバーセキュリティセンターは、「政府機関等の情報セキュリティ対策のための統一基準群（平成30年度版）」を決定しました。

この統一基準群を構成する文書の1つである「政府機関等の対策基準策定のためのガイドライン（平成30年度版）」において、ウェブの基本対策事項を以下のように解説しています。

SSLサーバー証明書発行手順

1. CSRの生成

SSLサーバー証明書の元になるCSRや秘密鍵を生成します。
生成手順は認証局のWebページにマニュアルが公開されています。

2. 申し込み

SSLサーバー証明書を購入するサイト（認証局）を選び、お申し込みください。

3. 発行審査

SSLサーバー証明書の認証局により審査があります。ドメイン名の使用権やWebサイト運営者の実在性確認などが行われます。

4. インストール

WebサーバーにSSLサーバー証明書を設定してください。

本ページで使用している専門用語の解説

SSL（Secure Socket Layer）

通信データを暗号化し、盗聴や盗み見されないようにする技術です。パスワードの送受信をするようなページでは必須とされます。HTTPS通信は、SSLの後継バージョンであるTLS（Transport Layer Security）の技術を用いておりますが、一般的に広く知られているSSLと表記しています。

CSR（Certificate Signing Request）

SSLサーバー証明書を発行するための証明書署名要求のことです。CSRには公開鍵やコモンネーム、組織名などの情報が含まれます。CSRの生成方法は認証局がマニュアルを公開しています。（参考：「CSRの生成方法」）

現在のChromeでは混合コンテンツが表示されていますが、将来リリースされるChrome81では完全にブロックされてしまいます。このページでは、今からできる対策についてご案内します。

Google社は混合コンテンツを段階的にブロックすると発表

Google社は2019年10月3日にセキュリティブログでChrome79から混合コンテンツを段階的にブロックすると発表しました。
（参考：GoogleSecurityBlog「No More Mixed Messages About HTTPS」）

今後リリースされるChromeで混合コンテンツを警告・ブロックする機能が徐々に実装されていく予定とのことです。Web運営者の方々はChromeでの実装前に混合コンテンツの状態を解消しておくことをおすすめします。

混合コンテンツの確認方法と対策

確認方法

httpsのWebページにアクセスして、ChromeのURLバー（アドレスバー）をご確認ください。
以下の画像のような表示がされていれば混合コンテンツと判定されています。

対策

Chromeデベロッパーツールで混合コンテンツ箇所が示されます。（※）
該当箇所のHTMLを修正すると混合コンテンツの状態は解消されます。

特に気をつけたいポイントは3つです。

• 画像・動画を読み込むURL
• CSSを読み込むURL
• JavaScriptを読み込むURL

※Googleデベロッパーツールの使い方は、「【画像で解説】httpsで鍵マークが表示されない！？ブラウザーで原因箇所を見つける方法」をご確認ください。

まとめ

Chrome79から混合コンテンツへの対策が一層強化されていきます。2020年4月7日週リリース予定のChrome81では混合コンテンツの箇所がブロックされ、画像等が表示されなくなります。Web運営者は事前に混合コンテンツとなっていないか確認し、解消しておくことをおすすめします。

JPRSサーバー証明書について

「.jp」の登録管理を行うJPRS(株式会社日本レジストリサービス) が提供するSSL/TLSサーバー証明書です。
「.jp」は150万件以上の登録実績があり、JPRSは設立以来15年以上、JPDNSを無事故・無停止で運用しています。安心と信頼の品質をSSL/TLSサーバー証明書でも実現します。

日本国内でも発生している「ドメイン名ハイジャック」。DNSのシステムやドメイン名の管理ID・パスワードが狙われ、ドメイン名の登録情報を不正に書き換えられてしまう被害が国内・国外で起きています。

本ページではドメイン名ハイジャックの被害事例や攻撃手法の紹介に加え、JPレジストリであるJPRSの「レジストリロックサービス」を利用して登録情報の不正書き換えを防ぐ「JPDirectドメインロックサービス」についてご案内します。

ドメイン名の管理権限を狙った不正な行為とは

近年、SNS（ソーシャル・ネットワーキング・サービス）で著名人や企業の公式アカウントが乗っ取られ、被害に遭ったニュースを聞く機会が増えました。SNSのアカウントにログインするためのID・パスワードを不正に入手し、アカウント利用者になりすまして投稿を行う不正行為です。

これと同じように、ドメイン名の管理権限を持たない第三者が、不正な手段でドメイン名を自身の支配下に置く攻撃手法が知られています。この行為を「ドメイン名ハイジャック」といいます。

万が一、企業が管理するドメイン名が乗っ取られた場合、企業の信頼や事業継続に以下のような致命的な影響が考えられます。

• 公式サイトのURLなのに偽サイトが表示されてしまい、サイトを訪問したお客様が被害に遭う。
• 電子メールの窃盗が行われ、機密情報が外部に流出してしまう。

ドメイン名ハイジャックについては現在も複数の被害事例が国内外で報告されています。サーバーの管理を行うシステム担当者だけではなく、ドメイン名の更新手続きやWebサイトの内容更新などを行う担当者（以下、Web担当者）も適切な知識を持ち、対策を検討・実施することを強くお勧めします。

国内・国外での被害事例

同社の調査により、攻撃者は以下の手順で顧客向けポータルサイトへの攻撃を成功させたことが判明しています。

1. ドメイン名の管理を行うレジストラのアカウントに不正アクセス（ドメイン名ハイジャックが発生）
2. メール関連のDNS設定を書き換え、正規の手順でSSLサーバー証明書を不正発行
3. 不正発行されたSSLサーバー証明書を、攻撃者が立ち上げた偽サイトに設定
4. DNS設定を書き換え、顧客のアクセスを偽サイトに誘導

攻撃者はドメイン名ハイジャックを成功させた後に正規の手順でSSLサーバー証明書を入手し、偽サイトに設定することで「URLがhttps://で始まっており、ドメイン名も正しいのに、アクセス先は偽サイト」という状況を実現させました。

権威DNSサーバー・フルリゾルバー（キャッシュDNSサーバー）を狙う手法【DNSのシステム管理者向け】

権威DNSサーバー・フルリゾルバー（キャッシュDNSサーバー）を狙うドメイン名ハイジャックの手法は、次のようなものがあります。

• 権威DNSサーバーに不正なデータを登録する
• キャッシュDNSサーバーに不正なデータをキャッシュさせる

これらの手法に対応するためには、サーバーのアクセス権限を奪われないように正しく管理・運用することやDNSSEC検証の有効化など、攻撃手法に対する適切な対策を取る必要があります。
詳細は下記のWebページをご一読ください。

管理画面のID・パスワードを狙う手法【企業のWeb担当者向け】

企業のWeb担当者が普段利用しているドメイン名の管理画面のID・パスワードの漏洩、推測されやすいパスワードを利用していたことによるパスワードのクラッキングなどの理由で不正ログインされ、管理画面からの操作でドメイン名が乗っ取られてしまう手法です。

不正なログインをされた時に起きうること

不正なログインをされた時に管理画面からどのような不正な操作が可能になるかを、ケースごとに解説します。

不正なログインをされたとしてもドメイン名を守る方法

Whoisでドメイン情報を定期的にチェックすることや申請時に管理指定事業者から送られる自動メールを確認することは、意図しない申請が行われた時に迅速に検知する方法の1つです。

ただ、検知時点では既に申請が行われてしまっているため、ドメイン名ハイジャックの被害を完全に防止することはできません。

セキュリティ対策を検討する上では不正なログインがされてしまった状況を想定し、想定した状況でも第三者にドメイン情報を勝手に変更されないようにロックをかけておけると安心です。

不正なログインによる書き換えを防止するため、ロック設定を行ったJPドメイン名の情報変更を受け付けないようするサービスをレジストリが提供しています。レジストリロックサービスの利用料はかかりますが、JPドメイン名のレジストリが提供している有効で強固な対策となります。

JPDirectドメインロックサービスとは

ドメインロックサービスは、JPDirectが提供する登録情報の意図しない不正書き換えを防止するサービスです。ドメインロックサービスでは、JPレジストリの「レジストリロックサービス」を使用しています。

ネームサーバー設定変更など各種申請手続きをブロックすることによって、万が一、パスワード情報などが盗まれても、お客様のJPドメイン名を悪意がある情報に書き換えられることを防ぎます。

一度ロックをかけると、所定の認証を経て解除しない限り、Web担当者だけではなくドメイン名の管理指定事業者であるJPDirectも登録情報を変更することはできません。

対象ドメイン名

• 属性型JPドメイン名（CO.JP/OR.JP/NE.JP/AC.JP/AD.JP/ED.JP/GO.JP/GR.JP）
• 地域型JPドメイン名
• 汎用JPドメイン名（ASCII/日本語）
• 都道府県型JPドメイン名（ASCII/日本語）
  ※gTLD等ドメイン名（COM/NETなど）は本サービスの対象外です。

ロック設定・解除の流れ

以下のプロセスにおいてロック設定・解除設定を行います。

1. Web担当者（お客様）とドメイン名管理指定事業者（JPDirect）間で事前に定めた所定の手続きにて認証
2. ドメイン名管理指定事業者（JPDirect）とJPレジストリ間で事前に定めた所定の手続きにて認証

ドメインロックサービス（レジストリロックサービス）料金

※ドメインロック設定中の解除・再設定は無料です。
※初回設定料は1ドメイン名につき、1回のみ適用となります。過去にドメインロックサービスの利用があったドメイン名については、設定更新料が適用されます。
※設定更新のご案内は、設定対象ドメイン名の有効期限が近づきましたらJPDirectよりご案内いたします。
　設定更新の際は、ドメイン名登録更新料の他にドメインロック設定更新料のお支払いが必要となります。

ご利用期間

ご利用期間は、ドメインロック対象ドメイン名の有効期限までとなります。 ※1 申し込み完了（初回設定）の時期により、初回設定期間が1年以内となる場合があります。


※2 次年度の更新手続きは、ドメイン名の有効期限が近づきましたらJPDirectよりご案内いたします。設定更新の際は、ドメイン名登録更新料の他にドメインロック設定更新料のお支払いが必要となります。

サービス内容

「ドメインロックサービス」を設定すると以下の申請の処理をブロックします。
※登録担当者・技術連絡担当者の情報変更はブロック対象外となります。

• 登録者情報変更申請/記載事項変更申請（※）
• ドメイン名変更申請（属性型・地域型JPドメイン名のみ）
• ドメイン名移転申請
• ドメイン名廃止申請（料金未納による廃止申請は除く）
• ドメイン名廃止申請キャンセル
• 指定事業者変更申請
• ネームサーバー設定
• Webリダイレクトサービス設定
• DNSサービス設定
• 署名鍵の設定
• ホスト情報の設定
  （ロック設定ドメイン名を使ったホスト情報に限る）

注意事項

• ドメインロック設定後にブロック対象の申請を行う場合は、ドメインロック解除手続きが必要です。
• ドメインロックに関する各種お手続きは、JPDirect窓口営業時間（9:00-18:00（土日祝祭日・法律に定める休日及び12月29日～1月3日は除く）内の対応となります。営業時間外はお手続き出来ませんので、ご注意ください。

本ページで使用している専門用語の解説

レジストリ
ドメイン名やIPアドレス、AS番号といったインターネット資源の登録・割り当てを担当する組織（登録管理機関）のことです。ドメイン名のレジストリは、登録済みドメイン名の情報と登録者情報を管理しています。

指定事業者
JPドメイン名における指定事業者は、ドメイン名登録者とJPRSの間に入ってドメイン名登録に関する窓口業務を行います。

Whois
ドメイン名やIPアドレスなどの登録者情報を、インターネットユーザーが参照できるようにするサービスです。JPドメイン名はJPRS WHOISにて公開されています。

SSL（Secure Socket Layer）
通信データを暗号化し、盗聴や盗み見されないようにする技術です。パスワードの送受信をするようなページでは必須とされます。HTTPS通信は、SSLの後継バージョンであるTLS（Transport Layer

Security）の技術を用いておりますが、一般的に広く知られているSSLと表記しています。

はじめに：CO.JPドメイン名とは

多くの日本企業が利用しているドメイン名

「CO.JP」は株式会社、合同会社、合名会社、合資会社などが登録できるドメイン名で、1社につき1件だけ登録できます。CO.JPドメイン名は上場企業の98%が登録しており（東証プライム市場を対象、2022年4月JPRS調べ）、登録数は45万件以上に上ります（2022年4月1日時点：「JPドメイン名の登録数 」参照）。

会社設立準備中から取得可能

「CO.JP」には会社設立準備中から登録できる仮登録制度があります。

仮登録と通常登録の違い

STEP1：会社名・サービス名と同時にドメイン名も考えておく

会社名・サービス名とドメイン名は同時に考えておく

Webページやメールアドレスに利用するドメイン名は、会社名やサービス名の英語表記で登録するケースも多く見られます。会社名・サービス名を検討する際にドメイン名の文字列も同時に考えておくことで、会社名・サービス名とドメイン名の文字列を合わせることができます。

希望するドメイン名が空いているか確認する

ドメイン名の候補があれば、すぐに空き状況を確認しましょう。ドメイン名は早い者勝ちなので、空いていることが確認できたら、すぐに登録することが大事です。

STEP2：いつ仮登録（会社準備中の登録）を申請するべきか確認しよう

会社準備中に登録した「CO.JP」は、通常の登録と同じようにWebページやメールアドレスで利用することができますので、メールアドレス<nihon＠example.co.jp>やURL<https://example.co.jp>を記載した名刺や会社パンフレットなど、会社設立の準備を進めることができます。

通常の登録と異なる点は、申請日から6カ月以内に会社を設立して本登録をすることが条件ということです。
会社の登記を完了させて本登録申請の手続き（STEP4）を行わなければ、ドメイン名は自動的に廃止となりますのでご注意ください。

会社設立予定日から仮登録申請日を逆算しておく

仮登録申請を行うとCO.JPドメイン名の有効期限は申請日の６カ月後までとなります。この有効期限までに会社を設立して本登録をする必要があります。会社設立（登記完了）予定日が6カ月以内になりましたら仮登録申請を行ってください。

STEP3：仮登録（会社準備中の登録）を申請する

CO.JPの登録資格

日本国内で登記を行っている会社が登録できます。

• 株式会社、有限会社、合同会社、合名会社、合資会社、相互会社、特殊会社、特定目的会社、その他の会社
• 信用金庫、信用組合、外国会社（日本で登記していること）
• 有限責任事業組合
• 投資事業有限責任組合、投資法人
• 企業組合（CO.JPかOR.JPのどちらか１つを選択可能）

※登録資格に適さない場合は取得したドメイン名が抹消となります。必ずご確認ください。
※個人事業主はCO.JPを取得できません。JPドメイン名は取得できます。

費用

オプションサービス料金一覧

※初回設定料は1ドメイン名につき、1回のみ適用となります。過去にドメインロック利用のあるドメイン名については、設定更新料が適用されます。

お支払い方法

• 銀行振込（請求書払い/振込手数料はお客様負担となります）
• コンビニ支払い
• クレジットカード払い
• クレジットカード自動決済（更新時のみ）

必要書類

• 原則不要
  本登録後に登録資格（法人登記）が確認できない場合は書類提出が必要です。

STEP4：本登録（会社設立後の手続）を忘れずに！

仮登録申請日から6カ月以内に法人登記を完了させて、本登録手続きを行ってください。費用は無料です。