ある朝、自分のサイトを開いた読者から連絡が来ます。「なんか、危険なサイトだって警告が出るよ」。
自分で開いてみると、たしかに出る。「保護されていない通信」。昨日まで何ともなかったのに、サイトの中身は何も変えていないのに、です。
これも「何もしていないのに壊れる」の代表例で、犯人はたいてい期限切れです。この講のゴールは、その期限の正体・・・証明書の仕組みを知り、自分のサイトの期限を自分で確かめられるようになることです。
身分証にたとえます。
URLの頭についている https の s、そしてアドレス欄の鍵マーク。あれはHTTPS（通信を暗号化して、盗み見や改ざんを防ぐ仕組み）が働いている印です。いまの水準では、これは"あって当然の装備"で、無いサイトにはブラウザが容赦なく警告を出します。
このHTTPSを支えているのが、証明書（「このサイトは本物です」と信頼された発行元が保証する、期限つきの身分証にあたるデータ）です。サイトが「私は本物のexample.comです」と自称するだけでは信用できないので、発行元が確認したうえで証明書を出す。ブラウザは接続のたびにそれを検分して、問題がなければ鍵マークを出します。
そして身分証である以上、有効期限があります。パスポートと同じで、期限が切れた瞬間、持ち主が本人のままでも、通してはもらえません。サイトの中身が完璧でも、証明書が切れれば全読者に警告が出る。これが冒頭の朝の正体です。
「でも、証明書なんて自分で用意した覚えがないぞ」と思った人へ。そのとおりで、いまどきの置き場所のサービスの多くは、証明書の取得も期限の更新も、裏で自動でやってくれています。あなたが知らずに済んでいたのは、自動がずっと成功し続けてきたからです。ではその自動が失敗したら？・・・という話が、そのままこの講の「やってはいけないこと」につながります。
この演習は、自分のサイトが無くても成立します。いつも見ているサイトでも構いません。
自分のサイトを持っている人は、必ず自分のサイトでもやってください。有効期限を見て、残りが何日かを数える。そして質問例2で、その期限が自動で延びる仕組みになっているかを確かめる。「うちの身分証は、いつ切れて、誰が更新してくれるのか」に即答できたら合格です。
そのまま貼って使えます。
「自動更新されているはず」と思い込んだまま、一度も確かめないこと。
証明書の事故は、設定を間違えた人より、確かめなかった人に起きます。よくある筋書きはこうです。最初は自動更新が効いていた。あるとき、ドメインの設定変更やサイトの引っ越しで、自動更新の前提条件が崩れた。でも証明書には残り期限があるので、その日から数十日間は、何事もなく動き続ける。見た目は完全に正常。そして期限の日、全読者への警告という形で、数十日前の変更が爆発する。第19講で"静かな失敗"の話を本格的にやりますが、これはその典型例です。
もう1つ、読者の側としての注意も。警告画面には「危険を理解して続行する」という小さな逃げ道がありますが、これを押す癖をつけないでください。警告は期限切れだけでなく、本物そっくりの偽サイトを検分で見破ったときにも出ます。「はいはい、いつもの警告ね」で続行する指は、いつか本物の罠の前でも同じ動きをします。