ServBayでLet's Encryptを使ってSSL証明書を自動取得・管理する

現代のWeb開発において、本番環境をローカルで再現することは非常に重要です。その一環としてHTTPSの利用があります。ServBayはACME（Automated Certificate Management Environment）プロトコルをサポートしており、Let's Encryptのような認証局（CA）を通じて、無料のSSL/TLS証明書を自動で申請・インストール・管理できます。本記事では、ServBayでLet's Encryptを利用して証明書を発行し、ローカル開発サイトに適用する手順を詳しくご紹介します。

Let's Encrypt証明書を使うメリットは、無料／自動化／幅広い信頼性に加え、サイトのHTTPS挙動やService Worker、HSTSなどの機能をローカルで正確にテストできることです。

前提条件

Let's Encrypt証明書の申請を始める前に、以下の条件を満たしていることを確認してください。

1. パブリックドメインの所有: 実際に登録済みで利用可能なドメイン（例：servbay.demoまたはyourdomain.com）が必要です。Let's EncryptはローカルIPや.localといったパブリックでないドメインには証明書を発行できません。
2. ドメインのDNSレコード管理権限: ServBayはDNS APIを使ったドメイン所有権検証を行います。そのため、ドメインレジストラやDNSサービス（Cloudflare、GoDaddy、AWS Route 53など）の管理画面にアクセスでき、自動操作用のAPIキーを発行できる必要があります。
3. DNS APIキーの取得: 利用するDNSプロバイダーの指示に従い、適切なAPIキーまたはトークンを生成してください。取得方法はプロバイダーごとに異なりますが、通常はDNSレコード管理権限を持つAPIキーを作成します。acme.shプロジェクトのDNS API WIKIで、各プロバイダーごとの取得方法や必要な環境変数名を確認できます。

申請手順

以下はServBayでLet's Encryptを利用し、SSL証明書を取得する具体的な手順です。

1. ServBay管理パネルを開く: ServBayアプリを起動後、メニューバーのアイコンをクリックし、「管理パネル（Manager Panel）」を選択してWeb管理画面を開きます。

2. SSL証明書管理へ移動: サイドバーから「SSL証明書（SSL Certificates）」をクリックします。

3. 新しい証明書の申請を開始: SSL証明書リスト画面右上の丸い「+」ボタンをクリックすると、証明書申請用のウィンドウが表示されます。

4. 証明書情報を入力: 表示された「Request Certificate（証明書申請）」ウィンドウで、各項目を以下の指示に従って入力します。

   • Common Name（コモンネーム）: 証明書を識別しやすい任意の名称を入力します（例：servbay-demo-cert、mydomain-wildcard-certなど）。
   • Usage Purpose（用途）: 「TLS/SSL」を選択します。
   • Request Method（申請方法）: 「ACME」を選択します。
   • Issuer（発行機関）: 「Let's Encrypt」を選択します。
   • DNS API Provider（DNS APIプロバイダー）: ドロップダウンからご利用DNSサービス（例：cloudflare、godaddyなど）を選択します。
   • Algorithm（アルゴリズム）: 「ECC（楕円曲線暗号）」をおすすめします。鍵長は「384」を選んでください。ECC証明書はRSA証明書よりも鍵サイズが小さく、高いパフォーマンスと安全性を提供します。
   • E-Mail Address（メールアドレス）: 有効なメールアドレスを入力してください。Let's Encryptから証明書期限や自動更新失敗時の通知が届きます。
   • DNS API Tokens（DNS APIトークン）: DNSプロバイダーの指示通りにAPIキーやトークンを入力します。これらは通常、環境変数形式でACMEクライアントに渡されます。正しい環境変数名称・値はDNSプロバイダーのドキュメントやacme.shのDNS API WIKI参照。重要：API情報の先頭に「export」と付けないでください。 例：CloudflareならCF_Key=sdfsdfsdffgfdg\[email protected]（異なる変数は\nで区切る）。
   • Domain（ドメイン）: 証明書を発行したいドメインを入力します。複数ドメインやワイルドカード証明書（例：*.servbay.demo）にしたい場合は、カンマ（,）で区切って入力（例：servbay.demo, www.servbay.demo, *.servbay.demo）。ワイルドカード証明書申請時必ずDNS API認証が必要です。

   ご注意：スクリーンショットのCommon Nameは「Test」となっていますが、実際はより分かりやすい名称が推奨です。

5. 申請を送信: すべての情報が正しいことを確認し、「Request（申請）」ボタンをクリックしてください。

6. 申請完了を待つ: ServBayはバックグラウンドでACMEクライアントを起動し、入力したDNS API情報でドメイン所有権を検証、Let's Encryptに証明書をリクエストします。この処理にはDNS伝播やLet's Encryptサーバー応答に応じて多少時間がかかる場合があります。完了後、新規発行証明書がSSL証明書リストへ追加されます。

証明書の利用

証明書が正常に発行されリストに表示されたら、ローカルサイトに適用できます。

1. Webサイト設定へ移動: サイドバーの「Webサイト（Websites）」をクリックします。
2. 該当サイトの設定を編集: 対象サイトの右側にある編集ボタン（鉛筆アイコン）を押して編集画面へ。
3. HTTPS/SSL設定: サイト設定画面のSSL/HTTPS関連項目を探します。通常ここで証明書のソースを選択できます。
4. ACME証明書を選択: 証明書ソースに「ACME」を指定し、右側に表示されるドロップダウンから先ほど取得したCommon Nameの証明書を選択します。
5. 設定を保存: 設定変更を保存すると、ServBayがサイト設定を再読み込みし、新しいSSL証明書が有効になります。これでローカルサイトにHTTPSでアクセスできるようになります。

このスクリーンショットは、サイト設定でACME証明書を選択する画面です。

証明書の自動更新

Let's Encrypt証明書の有効期間は90日間です。ServBayには自動更新機能が組み込まれており、ACME証明書の有効期限が近づくと（通常30日以内）、同じ設定情報を用いて自動で更新が実施されますので手動での操作は不要です。DNS APIトークンが有効であることを必ずご確認ください。もし自動更新時に問題が発生した場合は、申請時に登録したメールアドレス宛てにLet's Encryptから通知が届きます。

ACMEプロトコルとDNS API認証について

• ACMEプロトコル: ACMEはドメイン認証と証明書発行を自動化するためのオープン標準プロトコルです。Let's Encryptなどの認証局とクライアントソフト（ServBay組み込みのACMEクライアントなど）がこのプロトコルを使い、証明書取得と管理を自動化します。
• DNS API認証: ACMEプロトコルがサポートするドメイン所有権確認方法のひとつです。クライアントがDNS APIを通じてあなたのドメインDNSに特定のTXTレコードを追加し、認証局がそれを確認します。DNS API認証は以下の場合に特に有効です：
  • ワイルドカード証明書（例：*.servbay.demo）を申請する場合
  • ローカルServBay環境が外部から直接アクセスできない場合（例えば社内ネットワーク、ISPが80/443ポートをブロックしている等）

証明書アルゴリズムの選択：ECC vs RSA

証明書申請時に、ServBayではECCまたはRSAのどちらかを選べます。

• RSA: 伝統的な公開鍵暗号方式。RSA証明書は最も広い互換性があり、ほぼ全てのブラウザやクライアントでサポートされています。鍵長は2048ビットや4096ビットが一般的です。
• ECC: 楕円曲線暗号による公開鍵方式。同じセキュリティ強度でRSAより短い鍵（例：ECC256ビット≒RSA3072ビット）を使えるためTLSハンドシェイクが高速で、サーバー・クライアント双方の計算負荷が低減します。現代のブラウザやOSならほぼサポートされています。

推奨： 新規証明書の場合はECC・384ビット鍵長が最適です。性能・安全性ともに優れています。レガシーな端末互換性が最優先の場合のみRSAも選択肢となります。

注意事項

• DNS伝播遅延: 申請後、DNS TXTレコードの反映に多少時間がかかる場合があります（通常数分〜数時間）。すぐ失敗した場合は少し待って再申請してください。
• APIキーの管理: DNS APIキーはドメインのDNSレコードを制御できるため、厳重に管理し流出させないようご注意ください。
• Let's Encryptのレート制限: 申請頻度が高い場合、Let's Encryptのレート制限に引っかかることがあります。通常の自動更新・一般利用では問題ありませんが、短期間の連続申請にはご注意ください。

よくある質問 (FAQ)

• Q: ドメインをローカルIPに向けていますが、Let's Encrypt証明書は取得できますか？
  • A: はい、DNS API認証方式なら可能です。Let's EncryptがチェックするのはDNSレコードを管理できるかどうかであり、IPの種類は問われません。
• Q: 証明書申請に失敗した場合は？
  • A: DNS APIキーの入力内容や権限が正しいか確認し、DNS API Providerの選択違いもご確認ください。DNSの伝播が完了していない可能性があるため、数分待ってから再試行してください。失敗原因はServBayのログにも出力されます。
• Q: 証明書到期前、何日前から自動更新されますか？
  • A: 通常、有効期限30日以内に自動更新が試みられます。
• Q: ローカル開発の.localドメイン用に証明書は申請できますか？
  • A: できません。Let's Encryptはパブリックドメイン専用です。.localやローカルIP用途ならServBay User CAまたはPublic CA機能で自己署名またはCA署名証明書を作成してテスト可能です。
• Q: DNSプロバイダがServBayリストに無い場合は？
  • A: ServBayのACMEクライアントは主要なDNSサービスに対応していますが、非常にマイナーなプロバイダは手動設定が必要な場合があります。acme.shのDNS API WIKIでサポート状況と設定方法を確認し、UIに無ければServBayサポートへご相談ください。

まとめ

ServBayはACMEプロトコルを組み込むことで、ローカル開発環境におけるLet's Encrypt SSL証明書の取得・管理を大幅に簡素化しています。DNS API認証を活用することで、パブリックドメイン（ワイルドカード含む）にも無料かつ自動更新対応の証明書をスムーズに発行可能。これにより、本番レベルのHTTPS環境をローカルで構築しやすくなり、開発効率やテスト精度の向上にも貢献します。本記事の手順に沿えば、あなたのServBayサイトに安全な接続を素早く導入できます。