Let’s EncryptでSSL証明書を無料で取得しよう！

はじめに

Let’s Encryptは、Internet Security Research Group (ISRG) により運営されているSSL証明書の認証局(CA)です。
従来、WebサーバーにHTTPS通信を設定するには、SSL証明書をフォームなどから申し込んで購入し、届いた証明書ファイルをWebサーバーにアップロードして設定する必要がありました。
Let’s Encryptの証明書はcertbotというコマンドを通して無料で取得でき、cronなどに更新コマンドを登録しておくことによって更新まで自動化することが可能です。

事前準備

certbotコマンドを使った証明書の取得は、コマンドを実行するマシンに対して取得したいドメイン名でHTTPでアクセスできることが前提です。つまり、ドメインとIPアドレスが一致していて80番ポートにアクセスできる必要があります。

CentOS7系の場合以下のコマンドでcertbotコマンドをインストール可能です。(環境によってはcertbot-autoという名前の場合もあります)

$ sudo yum -y install certbot

その他のお使いのOSの対応状況およびインストール方法は、下記を参考にしてください。
Certbot クライアントのインストール – Let’s Encrypt 総合ポータル

証明書の取得(Standaloneプラグイン)

certbotコマンドを使って証明書を取得するにはいくつかの方法があるのですが、Standaloneプラグインを使う方法が一番簡単です。
Standaloneプラグインで証明書を取得するには、以下のコマンドを実行します。

$ certbot certonly --standalone -d <ドメイン名>

初回の取得時にはメールアドレスの入力や、利用規約への同意を求められます。
Congratulations! というメッセージが出れば成功です。
証明書の期限が迫ると、ここで入力したメールアドレス宛てに通知が飛びます

証明書の取得(Webrootプラグイン)

Standaloneプラグインを使った方法では、Webサーバーと同じ80番ポートを使うため、ApacheやnginxなどのWebサーバーが動いている場合に一度止める必要が出てしまいます。
稼働中のWebサーバーを停止させずに証明書を取得したい場合、Webrootプラグインを利用します。

$ certbot certonly --webroot -w <ドキュメントルートのパス> -d <ドメイン名>

WebrootプラグインではStandaloneプラグインと違って、ドキュメントルート（指定のドメインのサイトが格納されているディレクトリ）のパスを指定する必要があります。
Webrootプラグインドキュメントルートの下に.well-knownという隠しディレクトリを作り、稼働中のWebサーバーを通してそのディレクトリにアクセスできることを確認することで、ドメインの認証する仕組みです。

まとめ

今回はcertbotコマンドを使ったSSL証明書の取得方法を紹介しました。慣れてくるとここまでの作業は数分で完了します。
今までSSL証明書を取得するのは有料であったり申請して数日待つ必要があったりと難しいところがあったのですが、Let’s Encryptの登場によってテストサイト等にも気軽にHTTPSの設定ができるようになりました。

他にも紹介していない機能もありますので、実際にLet’s Encryptの証明書を利用されるのであれば以下のサイトにも目を通すようにしましょう。

Let’s Encrypt公式サイト（英語）
Let’s Encrypt総合ポータル（日本語）
certbot公式サイト