SSL.jp 確かな証明で、安心をずっと。

ACME自動更新 導入ガイド

証明書の取得・設置・更新を自動化する仕組みが ACME です。SSL.jp では JPRS・Sectigo・GeoTrust・RapidSSL の4ブランドで、90日ごとに自動更新される証明書をお取り扱いしています。

このページの要点

  • ACMEなら、有効期間が短くなっても更新作業は自動で行われます。
  • お支払いは年1回・年額のままで、証明書だけが90日ごとに入れ替わります。
  • ワイルドカード証明書をご利用の場合は、DNS-01認証が必要です。
  • ACMEクライアントの導入・設定は、お客様のサーバーでの作業となります。

ACMEとは

ACME（Automatic Certificate Management Environment）は、認証局とサーバーの間で証明書のやり取りを自動化するための通信手順です。サーバーに入れた「ACMEクライアント」が、ドメインの所有確認から証明書の受け取り、設置、期限前の更新までを自動で行います。

証明書の最大有効期間は2026年3月から200日、2027年3月から100日、2029年3月から47日へと短縮されます。更新の回数が年に何度も発生するようになるため、手作業での更新を前提とした運用は現実的ではなくなっていきます。ACMEはその答えにあたる仕組みです。

お申し込みから運用開始までの流れ

  1. 1お申し込み商品と対象ドメインを決めて、申込フォームからお申し込みください。
  2. 2お支払い21-domain.com にて、お申し込み分のポイントをご準備いただきます。
  3. 3接続情報のお受け取りACMEサーバーURL・EAB ID・EAB Key を弊社よりメールでご案内いたします。
  4. 4クライアントの設定お客様のサーバーでACMEクライアントに接続情報を設定し、証明書を発行します。
  5. 5自動更新の確認更新処理とWebサーバーの再読み込みまで動作を確認して運用開始です。

最初に決めること

ワイルドカード証明書（*.example.jp）をご利用の場合は、DNS-01認証が必須です。通常のFQDNで80番ポートを公開できる場合は、HTTP-01認証も選べます。

ACME対応商品と料金

いずれも年額・税込です。お支払いは年1回で、証明書は90日ごとに自動更新されます。

ブランド商品対象 利用できる認証方式年額（税込）
JPRSJPRS ドメイン認証型（ACME版）通常HTTP-01 / DNS-014,400円
JPRS ドメイン認証型ワイルドカード（ACME版）ワイルドカードDNS-0116,500円
SectigoSectigo ACME Certificate-as-a-Service通常HTTP-01 / DNS-013,300円
Sectigo ACME Certificate-as-a-Service WildcardワイルドカードDNS-0127,500円
GeoTrustGeoTrust DV Plan + Automate通常HTTP-01 / DNS-0118,480円
GeoTrust DV Plan + Automate WildcardワイルドカードDNS-0145,980円
RapidSSLRapidSSL Plan + Automate通常HTTP-01 / DNS-013,300円
RapidSSL Plan + Automate WildcardワイルドカードDNS-0123,760円

ACME対応SSL証明書を申し込む

サポート範囲について

弊社では、商品・お申し込みに関するご案内と、お申し込み後にお渡しするACME接続情報のご提供までを承っております。サーバー環境ごとの導入作業は、お客様にて実施をお願いしております。

弊社からご案内する内容

  • 商品内容とお申し込み方法
  • ACMEサーバーURL
  • EAB ID（KID）・EAB Key（HMAC Key）

お客様にお願いする作業

  • ACMEクライアントの選定・導入・更新
  • サーバー・Webサーバー・DNS・権限の設定
  • 環境に合わせたコマンドの作成・実行・動作確認
  • 発行・自動更新に関する個別の原因調査

ご確認ください

このページに掲載しているコマンドや手順は一般的な参考例で、すべての環境での動作を保証するものではありません。作業前にバックアップをご用意のうえ、必要に応じてサーバー管理者または保守事業者へご相談ください。ACMEクライアントのインストール代行や、環境ごとの設定サポートは承っておりません。

認証方式を選ぶ

HTTP-01

Webサーバー上のファイルで認証

認証局が所定のURLへアクセスし、ACMEクライアントが置いたファイルを確認します。

  • 外部からTCP 80番ポートへ到達できること
  • 対象のFQDNがそのWebサーバーへ向いていること
  • ワイルドカード証明書には使えません
DNS-01

DNSのTXTレコードで認証

_acme-challenge のTXTレコードを作成して、ドメインの管理権限を確認します。

  • ワイルドカード証明書には必須です
  • DNSのAPIがあれば更新まで自動化しやすい
  • APIキーは必要最小限の権限で保管してください

利用できる認証方式は、商品・認証局・ACMEクライアントによって異なります。各ブランドの公式手順にあわせてご対応ください。

作業前のチェックリスト

  • 対象のドメイン・FQDNを確定した
  • サーバーの管理者権限がある
  • ACMEサーバーURLを受け取った
  • EAB ID・EAB Key を安全に保管した
  • HTTP-01なら80番ポートの到達を確認した
  • DNS-01ならTXTレコードの更新手段を確認した
  • 証明書・秘密鍵の保存先を決めた
  • Webサーバーの再読み込み方法を確認した

EAB とは

External Account Binding の略で、ご契約とACMEアカウントを結び付けるための情報です。ID と Key は機密情報にあたります。第三者への公開や、ソースコード・作業ログへの書き込みはお控えください。

ACMEクライアントを選ぶ

クライアント主な環境向いているケース 公式情報
CertbotLinuxApache／nginx と組み合わせて使いたい導入手順
acme.shLinux／macOS軽量なシェル環境で EAB や DNS API を使いたい公式リポジトリ
Posh-ACMEPowerShellWindows環境でDNS認証を自動化したい公式ドキュメント
win-acmeWindows／IISIISへの導入・更新をまとめて行いたい公式マニュアル
legoLinux／macOS／Windows単一バイナリで複数環境へ展開したい公式ドキュメント

認証局側で動作確認済みのクライアントが指定されている場合は、そちらをご利用ください。

ブランド別のご案内

JPRS

日本レジストリサービスの公式マニュアルにあわせてご設定ください。通常版は HTTP-01／DNS-01、ワイルドカード版は DNS-01 を使用します。

JPRSをご利用の場合

JPRSはテスト発行用の認証局を提供していないため、Certbot の --dry-run などテスト用のオプションは正しく動作しません。

GeoTrust・RapidSSL

DigiCert が提供する ACME 基盤を利用します。お申し込み後にご案内する、ご契約ごとのACMEサーバーURL・EAB ID・EAB Key をクライアントに設定してください。

Sectigo

お申し込み後にご案内するACMEサーバーURL・EAB ID・EAB Key をクライアントに設定してください。値はブランド・商品・ご契約ごとに異なりますので、ご契約ごとにお渡しした値をお使いください。

acme.sh による設定例

EAB情報を使う場合の一般的な記述例です。実際の値と DNS プラグイン名は、お申し込み後のご案内と acme.sh の公式情報、ご利用環境にあわせて調整してください。

1. acme.sh をインストールする

curl https://get.acme.sh | sh -s email=admin@example.jp

2. ACMEアカウントを登録する

~/.acme.sh/acme.sh --register-account \
  --server 'ACMEサーバーURL' \
  --eab-kid 'EAB_ID' \
  --eab-hmac-key 'EAB_KEY'

3. DNS-01 で証明書を発行する

~/.acme.sh/acme.sh --issue \
  --server 'ACMEサーバーURL' \
  --dns dns_ご利用のDNSプラグイン \
  -d example.jp \
  -d '*.example.jp'

4. 証明書を配置してWebサーバーを再読み込みする

~/.acme.sh/acme.sh --install-cert -d example.jp \
  --key-file /etc/ssl/private/example.jp.key \
  --fullchain-file /etc/ssl/certs/example.jp.crt \
  --reloadcmd 'systemctl reload nginx'

実行前にご確認ください

保存先・ドメイン名・DNSプラグイン・再読み込みコマンドは環境ごとに異なります。ご利用の環境にあわせて調整のうえ実行してください。DNS APIの認証情報は acme.sh の DNS API 一覧をご参照ください。

自動更新の確認

証明書が発行できたら、更新までひととおり動くことをご確認ください。

  • 更新用のジョブ（cron／タスクスケジューラ）が登録されている
  • 更新後、決めた保存先へ証明書が置かれる
  • Webサーバーの再読み込みが成功する
  • 証明書チェーンが正しく配信される
  • 更新に失敗したときの通知先を設定している
  • EAB情報とDNS APIキーの権限を必要最小限に絞っている

うまくいかないときの確認ポイント

アカウント登録に失敗する

ACMEサーバーURL・EAB ID・EAB Key の取り違えや、前後の余分な空白をご確認ください。

HTTP-01の認証に失敗する

80番ポート、DNSの向き先、認証ファイルの公開パス、CDNやリダイレクトの設定をご確認ください。

DNS-01の認証に失敗する

TXTレコードの反映待ち、APIの権限、プラグインの設定、古いTXTレコードの残存をご確認ください。

更新したのに証明書が変わらない

配置先とWebサーバーの設定が一致しているか、更新後の再読み込みコマンドが成功しているかをご確認ください。

お問い合わせについて

お渡しした接続情報そのものについてのご不明点は、お問い合わせフォームより承ります。ACMEクライアントのインストール、権限設定、DNS・Webサーバー固有の設定、エラーの個別調査は承っておりません。各ソフトウェアの公式資料をご確認のうえ、必要に応じてサーバー管理者へご相談ください。

準備ができたら

商品と認証方式を決め、対象ドメインをご確認のうえお申し込みください。従来のCSRを使う方式をご希望の場合は通常の申込フォームから承ります。

ACME対応SSL証明書を申し込む