証明書の更新の際にCSRの再作成は必要ですか？

SSL/TLS 証明書を更新する際、新しい CSR(と秘密鍵)を再作成することを強く推奨します。長期間同じ秘密鍵を使い続けることはセキュリティ上のリスクを高めるため、更新の機会に新しいキーペアを生成するのがベストプラクティスです。47 日ルール時代に向けては、ACME 自動更新を導入すれば CSR・秘密鍵の生成も自動化できます。

🔐 なぜ新しい CSR/秘密鍵が必要なのか

SSL/TLS 通信の安全性は、秘密鍵が漏洩していないことを前提に成り立っています。長期間同じ秘密鍵を使い続けると、以下のようなリスクが高まります。

📋 更新時の手順

1. 新しい秘密鍵を生成

   サーバ上で新しい秘密鍵を生成します。鍵長は RSA 2048 ビット以上または ECC P-256 / P-384を推奨。

   # OpenSSL での秘密鍵生成例(RSA 2048)
   openssl genrsa -out new-private.key 2048
   
   # ECC 秘密鍵生成例
   openssl ecparam -genkey -name prime256v1 -out new-private.key

2. 新しい CSR を作成

   新しい秘密鍵をもとに CSR を作成します。コモンネーム・組織情報は既存証明書と同じ内容を指定します。

   # OpenSSL での CSR 作成例
   openssl req -new -key new-private.key -out new-request.csr \
     -subj "/CN=www.example.com/O=Your Company/C=JP"

3. SSL ストアで更新申請

   マイページから更新申請を行い、新しい CSR を提出します。

4. ドメイン認証・発行

   ドメイン認証完了後、新しい証明書が発行されます。

5. サーバへ配置・切替

   新しい証明書と新しい秘密鍵をペアでサーバへ配置し、切替を行います。

💡 当店ツールでの CSR 生成

OpenSSL コマンドが分からない場合は、当店の CSR 生成ツール をご利用ください。Web フォームから必要事項を入力するだけで、秘密鍵と CSR が生成できます。

⚙️ 同じ CSR/秘密鍵を使い続けることは可能?

技術的には、既存の CSR・秘密鍵を使い続けて更新することも可能です。ただし、以下のようなリスクがあります。

🤖 47 日ルール時代は ACME で完全自動化

2029 年からの 47 日ルール時代では、年に 8 回程度の更新が発生します。毎回手動で CSR・秘密鍵を生成するのは現実的ではありません。

ACME 自動更新の場合

• CSR と秘密鍵は毎回自動で新規生成される
• サーバへの配置も自動
• 人為的なミスがゼロ
• 業界ベストプラクティス(秘密鍵ローテーション)を自然に実現

ACME 自動更新を見る →

📊 推奨される鍵の仕様

ECC 証明書については ECC 証明書とは何ですか? をご参照ください。

💡 関連するご質問

📚 関連ページ

• CSR 生成ツール
• CSR 解析ツール
• 秘密鍵紛失時の対応