証明書を発行する

概要

AutoSSL で新しい SSL 証明書を発行するには、次の 2 段階があります。

証明書 を開き、証明書を作成 をクリックします。設定フォームが表示されます。

SSL 証明書を発行する認証局を選びます。現在、AutoSSL が対応しているのは次のとおりです。

証明書で保護するドメイン名を入力します。

ドメインを追加 をクリックすると、複数のドメインを追加できます。
ワイルドカードドメイン に対応しています（例: *.example.com）。
注: ドメイン名は重複できません。たとえば、ワイルドカードがサブドメインをすでに含むため、同じ申請に www.autossl.dev と *.autossl.dev の両方は指定できません。

この証明書を AutoSSL がどのように管理するかを設定します。

証明書名: （任意）見分けやすい名前を付けます。空欄の場合、AutoSSL はプライマリドメインから名前を自動生成します。
自動更新: 有効にすると、有効期限の前に AutoSSL が証明書を自動更新し、ダウンタイムを防ぎます。
有効期限の何日前に更新するか: 自動更新が有効なとき、期限の何日前に更新を始めるかを指定します（15 日から 45 日）。問題に対応する余裕を見るなら 21 日 が推奨です。

証明書署名要求（CSR）の技術パラメーターを変更できます。

署名アルゴリズム:
- RSA: 古いシステムとの互換性が高くなります。鍵長は 2048 ビット（推奨）、3072 ビット、4096 ビットから選べます。
- ECDSA: 性能が高く、鍵が小さくなります。曲線は P-256（互換性が最も高い）、P-384（より高い安全性）、P-521 から選べます。
ハッシュアルゴリズム: 証明書の署名に使う SHA-256、SHA-384、SHA-512 から選びます。

設定したら 次へ: DNS 検証を設定 をクリックし、証明書グループを作成して検証へ進みます。

認証局が証明書を発行する前に、申請したドメインを管理していることを証明する必要があります。AutoSSL は DNS チャレンジで検証します。

AutoSSL は、申請内の各ドメイン向けに CNAME レコード を生成します。

重要: DNS の CNAME レコードを設定したあとは、削除しないでください。レコードを削除すると、AutoSSL は以後の証明書を自動更新できません。

DNS レコードを追加したら、AutoSSL に戻ります。

すべてのドメインが 検証済み になると、証明書の発行を開始 ボタンが有効になります。

手順 1 で 自動更新 を有効にすると、AutoSSL は 有効期限の何日前に更新するか の設定に従い、期限前に証明書の更新を試みます。

自動更新とデプロイを組み合わせると、AutoSSL の利点がはっきりします。

証明書の自動更新: 更新のタイミング（例: 期限の 21 日前）になると、DNS 検証用の CNAME が有効なままなら、AutoSSL は手作業なしで CA から新しい証明書を発行します。
自動デプロイの開始: 新しい証明書の発行に成功すると、自動デプロイ が有効な、この証明書のデプロイをすべて開始します。
ダウンタイムなし: 発行された証明書はインフラストラクチャ（例: CDN、ロードバランサー、サーバーレス関数）へ自動で適用されます。HTTPS を維持するために、手作業は不要です。

同じ障害で通知や再試行が繰り返されないよう、AutoSSL は自動更新の失敗にバックオフを使います。

自動更新が一時停止されると、次のようになります。

これで一時停止とバックオフの状態が解除され、以降のスケジュール実行で自動更新の対象に戻ります。