はじめに
Web サイトの常時 HTTPS 化が一般化し、SSL/TLS 証明書は導入して当然の存在になりました。一方で、いざ選定する段になると、無料の DV 証明書から年額数万円以上の OV・EV 証明書まで価格に大きな開きがあり、どれを選ぶべきか判断に迷う場面があります。
価格差の理由はしばしば「高い証明書ほど暗号化が強力」と理解されがちですが、これは正確ではありません。DV・OV・EV の違いは暗号化の強度ではなく、サイト運営者の実在性をどこまで審査するかという「認証レベル」の差です。 暗号化の仕組み自体はどの認証レベルでも共通で、通信の保護能力に差はありません。
本記事では、この認証レベルの違いを整理したうえで、2026 年から段階的に始まる有効期間の短縮が各レベルに与える影響まで含めて、実務目線で選定基準を解説します。
- DV・OV・EV の 3 つの認証レベルの違いと、審査で確認される範囲
- 「価格が高い証明書ほど暗号が強い」という理解が正確でない理由
- 2026 年から始まる有効期間の短縮（47 日ルール）が各認証レベルに与える影響
- 個人サイトから金融機関まで、用途別の選定基準
結論を先に述べると、認証レベルは暗号強度と無関係であり、選定の軸は「運営者の身元をどこまで公的に示す必要があるか」です。加えて 2026 年 3 月以降は証明書の有効期間と検証情報の再利用期間が段階的に短くなるため、認証レベルの選定だけでなく、更新の自動化まで含めた運用設計が必要になります。
SSL サーバー証明書が持つ 2 つの役割
SSL サーバー証明書には、大きく分けて 2 つの役割があります。この 2 つを分けて理解することが、認証レベルの違いを把握する前提になります。
役割 1: 通信の暗号化（盗聴の防止）
ユーザーが入力するクレジットカード情報やパスワードなどを暗号化し、通信経路上での盗聴や改ざんを防ぎます。一般に「SSL 化」としてイメージされる機能です。
ここで押さえておきたいのは、暗号化の強度は認証レベル（DV・OV・EV）では変わらないという点です。 実際の暗号強度を決めるのは、証明書に含まれる鍵の種類・長さ（RSA 2048 bit、ECDSA P-256 など）と、通信時に TLS でネゴシエーションされる暗号スイートであり、DV か EV かという認証レベルとは独立しています。無料の DV 証明書でも、年額数万円の EV 証明書でも、同じ鍵長・同じ暗号スイートであれば保護能力は同一です。
役割 2: 運営組織の実在証明（なりすましの防止）
もう一つの役割が、「このサイトを運営しているのは誰か」を示す身元の証明です。暗号化だけでは、通信を保護できても運営者の正体は保証できません。
参考: SSL 証明書の DV、OV、EV とは何ですか?（ジオトラスト）
「Web サイトが SSL で保護されていても、それだけでは安全なサイトとは言えない」
https://www.geotrust.com/jp/what-are-dv-ov-ev-tls-ssl-certificates
この「実在証明をどこまで行うか」の度合いが、次に説明する 3 つの認証レベルの違いに直結します。
DV・OV・EV の違いと認証レベル
3 つの認証レベルは、審査で確認する範囲が段階的に広がります。DV はドメインの管理権のみ、OV は組織の実在性、EV はさらに厳格な組織確認を行います。実社会の身分証明にたとえるなら、DV が「表札」、OV が「社員証」、EV が「パスポート」に近い位置づけです。
なぜ 3 段階に分かれているのか
仮に SSL 証明書に暗号化（役割 1）の機能しかなかった場合を考えます。攻撃者が本物に酷似した偽サイトを用意し、そこでも暗号化を有効にできてしまうと、利用者は「偽サイトとの間で安全に暗号化された通信」を行うことになり、暗号化の意味が失われます。
そこで重要になるのが「誰がこのサイトを運営しているのか」という実在確認（役割 2）です。求められる確認の厳しさはサイトの目的によって異なるため、審査の厳しさに応じて DV・OV・EV という 3 段階の認証レベルが用意されています。
DV（ドメイン認証）
Domain Validation の略で、「対象ドメインの管理権を持っていること」だけを確認して発行されます。確認は、ドメインの WHOIS に登録されたメールアドレスへの通知、DNS レコードの追加、指定ファイルの設置などで機械的に完了します。書類提出や電話確認はありません。
- 発行が速い（数分〜数時間）
- 価格が安い（年額 0 円〜数千円）
- 個人でも取得できる。
一方で、確認するのはドメインの管理権のみで、運営者の実在性は証明されません。この性質上、フィッシングを目的とした偽サイトでも DV 証明書を取得できてしまう点は、DV の構造的な制約として理解しておく必要があります。 ドメイン管理権の証明は、インターネット上での最低限の確認にとどまります。
OV（組織認証）
Organization Validation の略で、DV の確認に加えて「運営している組織が実在すること」を審査します。国内の認証局では、法務省のオンライン登記情報や、帝国データバンク・東京商工リサーチ・DUNS（D-U-N-S 番号）などの第三者データベース、電話帳情報などを用いて組織の実在を確認し、あわせて申請組織の代表番号への電話確認が行われます。
確認された組織名（O）や所在地（L）は証明書内に記録され、サイトの運営主体を公的に示せるようになります。発行の目安は数営業日〜1 週間程度です。
- フッターなどに運営組織名を根拠を持って示せる。
- 第三者データベースと照合されるため、なりすましサイトの取得が難しい。
EV（Extended Validation）
Extended Validation の略で、OV よりさらに厳格な、CA/Browser Forum の統一基準に基づく審査が行われます。組織の稼働状況、住所、登録番号と管轄の確認に加え、申請者の在籍確認を目的とした電話連絡など、OV に対して追加の確認手順が課されます。発行までの目安は 1 週間〜2 週間程度です。金融機関や官公庁、大規模な EC サイトなど、高い信頼性が求められるサイトで採用されています。
アドレスバーの緑色表示は廃止済み
以前の解説記事では、EV 証明書のメリットとして「ブラウザーのアドレスバーが緑色になり、企業名が表示される」点が挙げられていました。しかし、この表示はすでに廃止されており、現在は最新のブラウザーで確認できません。
廃止は段階的に進みました。Safari が先行して企業名表示を取りやめ、Google Chrome はバージョン 69（2018 年 9 月）で緑色の表示を廃止、続くバージョン 77（2019 年 9 月）で社名表示そのものを撤去しました。Mozilla Firefox もバージョン 70（2019 年 10 月）で同様の変更を行っています。背景には、HTTPS が標準化したことに加え、緑色バーが利用者に正しく理解されず、意図した保護効果が得られていないという各ブラウザーベンダーの判断がありました。
現在はどの認証レベルでもアドレスバーには鍵アイコンが表示されるのみで、見た目での区別はできません。ただし EV の審査そのものが廃止されたわけではなく、鍵アイコンをクリックして証明書の詳細を開けば、記録された組織情報を確認できます。
比較表: DV・OV・EV の違い
3 つの認証レベルの違いを項目別に整理します。費用感は認証局や販売代理店によって幅があるため、目安として参照してください。
| 項目 | DV（ドメイン認証） | OV（組織認証） | EV（Extended Validation） |
|---|---|---|---|
| 認証される内容 | ドメインの管理権のみ | 組織の実在性 | 組織の実在・管轄・運営権限 |
| 発行スピード | 数分〜数時間 | 数営業日〜1 週間 | 1 週間〜2 週間 |
| 費用感（年額・目安） | 0 円〜数千円 | 数万円〜 | 5 万円〜10 万円超 |
| 審査方法 | 自動（メール/DNS/ファイル） | 登記・第三者データベース・電話確認 | OV に加え管轄・登録番号・在籍確認 |
| Subject の記載 | CN（ドメイン名）のみ | O（組織名）・L（所在地） | O・L・businessCategory・登録番号 |
| 主な用途 | 個人ブログ・社内・検証環境 | 企業公式・会員制サイト | 金融・官公庁・大規模 EC |
2026 年から始まる有効期間の短縮（47 日ルール）と DV・OV・EV への影響
認証レベルの選定と並んで、2026 年以降に重要になるのが証明書の有効期間です。CA/Browser Forum は 2025 年 4 月、公的に信頼される TLS 証明書の最大有効期間と検証情報の再利用期間を段階的に短縮する Ballot SC-081v3 を可決しました。この変更は DV・OV・EV のすべてに影響し、とくに運用の自動化を前提とした設計が求められる点で、認証レベルの選定と同じ重みを持ちます。
参考: Ballot SC081v3（CA/Browser Forum）
“Eventual reduction of maximum validity period from 398 days to 47 days”
（最大有効期間を 398 日から 47 日へ段階的に短縮する）
https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/
短縮スケジュール
有効期間とドメイン検証（DCV）の再利用期間は、次の 3 段階で短縮されます。
| 適用時期 | 証明書の最大有効期間 | ドメイン検証（DCV）情報の再利用期間 |
|---|---|---|
| 現在 〜 2026-03-14 | 398 日 | 398 日 |
| 2026-03-15 〜 | 200 日 | 200 日 |
| 2027-03-15 〜 | 100 日 | 100 日 |
| 2029-03-15 〜 | 47 日 | 10 日 |
あわせて、OV・EV に含まれる組織情報（SII: Subject Identity Information）の再利用期間も、2026 年 3 月 15 日から 825 日 → 398 日へ短縮されます。この変更は Apple・Google・Mozilla・Microsoft の主要ブラウザーベンダーがすべて賛成して可決されており、実施はほぼ確定した前提として扱うのが妥当です。
なお、この規則の対象は「公的に信頼される TLS 証明書」に限られます。社内システム向けのプライベート CA（内部 PKI）は対象外で、従来どおり長期の有効期間で運用できます。 公的証明書と内部証明書で更新サイクルが分かれる点は、設計上の考慮点になります。
DV への影響: 自動化（ACME）が前提になる
DCV 情報の再利用期間が 2029 年に 10 日まで短縮されると、ドメインの管理権確認を年に 30 回以上行う計算になります。メール認証や手動でのファイル設置といった方法は現実的でなくなり、ACME（HTTP-01 / DNS-01 チャレンジ）による自動発行・自動更新が実質的な前提になります。DV は Let’s Encrypt などで自動化が普及しており、この流れに最も適合した認証レベルといえます。
OV・EV への影響: 組織情報の再検証頻度が上がる
OV・EV では、証明書の再発行に加えて組織情報（SII）の再検証が絡みます。再利用期間が 398 日へ短縮されるため、登記情報の確認や電話確認といった組織審査を、少なくとも年 1 回の頻度で通す必要が出てきます。取得後は放置するという従来の運用は見直しの対象になります。
一部の認証局は OV 証明書の ACME 対応を進めており、証明書自体の更新は自動化しつつ、組織の再審査だけを定期的に行う運用も選択肢になります。導入前に、利用予定の認証局が OV/EV の自動化にどこまで対応しているかを確認しておくことをおすすめします。
DV・OV・EV の見分け方（ブラウザーとコマンドライン）
現在はどの認証レベルでもアドレスバーの見た目は同じため、証明書の中身を確認して判別します。ブラウザーで確認する方法と、コマンドラインで確認する方法の 2 通りを示します。
ブラウザーで確認する
アドレスバーの鍵アイコンをクリックし、接続の詳細から証明書ビューアを開きます。証明書の「サブジェクト（Subject）」欄を確認すると、記録されている情報で認証レベルを判別できます。
- DV: コモンネーム（
CN）にドメイン名のみが記載される。 - OV: 組織名（
O）や所在地（L）が記載される。 - EV: OV の情報に加えて、事業体種別（
businessCategory）や登記上の管轄、登録番号（serialNumber）などが記載される。
コマンドラインで確認する
サーバー証明書のサブジェクトと発行者は、opensslで確認できます。次のコマンドは、対象ホストに接続して証明書のサブジェクト（-subject）と発行者（-issuer）だけを表示します。
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
| openssl x509 -noout -subject -issuer出力のサブジェクトに O=（組織名）が含まれていなければ DV、含まれていれば OV または EV と判別できます。EV かどうかをさらに確認する場合は、証明書全体を表示して businessCategory や登録番号の有無を確認します。
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
| openssl x509 -noout -text参考: openssl-s_client / openssl-x509（OpenSSL Documentation）
https://docs.openssl.org/master/man1/openssl-s_client/
https://docs.openssl.org/master/man1/openssl-x509/
証明書の発行状況は、証明書透明性（CT）ログを横断検索できる crt.sh などのサービスからも確認できます。対象ドメインに対してどの認証局がどの証明書を発行しているかを把握する用途に向いています。
用途別の選び方と選定基準
認証レベルの選定は、暗号強度ではなく「運営者の身元をどこまで公的に示す必要があるか」を軸に判断します。基本的な対応関係は次のとおりです。
- 個人ブログ・社内システム・検証環境: DV で十分。暗号化が目的で、運営組織を公的に示す必要がない場合。
- 一般企業の公式サイト・会員制サイト: OV が標準的。運営組織の実在を第三者データベースで裏付けたい場合。
- 金融機関・官公庁・大規模 EC サイト: EV。厳格な組織審査を通した事実が求められる場合や、業界の要件で指定される場合。
エンジニア視点で追加したい確認事項
用途に加えて、運用面から次の点も確認しておくと選定の精度が上がります。
- 自動化対応: 47 日ルールを見据え、利用する認証局が
ACMEに対応しているか。DV は自動化が前提、OV/EV は対応範囲を要確認。 - 証明書ライフサイクル管理（CLM）: 管理対象の証明書が増える場合、発行・更新・失効を一元管理する仕組みの要否を検討する。
- ワイルドカード・マルチドメイン（SAN）: 保護対象のホスト構成に合わせて、ワイルドカードや SAN の要否を確認する。EV はワイルドカードに対応しない点にも注意する。
証明書をリバースプロキシや WAF で終端する構成では、証明書の設置箇所と更新の自動化を合わせて設計しておくと運用が安定します。
証明書の選定は Web サイト全体のセキュリティ設計の一部です。関連する対策の全体像は、関連記事『情報セキュリティ対策の全体像』を参照してください。
EV を今選ぶ意味はあるか
アドレスバーの企業名表示が廃止された現在、EV の視覚的な訴求効果は失われています。そのうえで EV を選ぶ実務上の理由は、証明書に記録される組織情報の厳格さ、CT ログや証明書詳細で確認できる登録番号などの精度、そして一部業界で EV が要件として指定されるケースにあります。多くの企業サイトでは OV で要件を満たせるため、EV は「厳格な組織証明が要件になっているか」を基準に判断することをおすすめします。
まとめ
SSL 証明書の DV・OV・EV は、暗号化の強さではなく組織の実在をどこまで審査するかという認証レベルで区分されます。暗号化の保護能力はどのレベルでも共通で、選定の軸は運営者の身元をどこまで公的に示す必要があるかにあります。加えて 2026 年 3 月からは有効期間が段階的に短縮されるため、更新の自動化まで含めた設計が求められます。
- DV・OV・EV の違いは暗号強度でなく認証レベルの差
- 暗号化の保護能力はどの認証レベルでも同一
- DV はドメイン管理権のみの確認で偽サイトも取得可能
- OV は登記情報や第三者データベースと電話確認で組織を審査
- EV は管轄や登録番号まで確認する最上位の認証レベル
- アドレスバーの緑色と企業名の表示はすでに廃止済み
- 2026 年 3 月からの有効期間短縮で更新自動化が前提
以上、最後までお読みいただきありがとうございました。
