AWS ACM と Sectigo の比較：AWS 上のサイトで証明書をどう選ぶか

AWS の ALB や CloudFront の前で HTTPS を終端するだけなら、AWS Certificate Manager（ACM）の公開証明書がいちばん手間がかかりません。一方、OV・EV の証明書が必要な場合、EC2 の中の Nginx や AWS 以外の環境でも同じ証明書を使いたい場合は、Sectigo のような商用認証局の証明書が候補になります。この記事では、両者の仕組みの違いと、ドメイン認証・更新・設置場所の観点からの使い分け、Sectigo の証明書を ACM に取り込む方法までを整理します。

そもそも何が違うのか

ACM は、AWS が提供する証明書の発行・管理サービスです。ACM の公開証明書は Amazon の認証局（Amazon Trust Services）が発行し、ALB や CloudFront、API Gateway など ACM と連携する AWS サービスに直接ひも付けて使います。秘密鍵は AWS が管理し、利用者が直接触れることは原則ありません。

Sectigo は、旧 Comodo CA を前身とする商用の認証局です。利用者が自分で秘密鍵と CSR を作り、証明書を受け取って任意のサーバーに設置します。証明書はファイルとして手元にあるので、AWS に限らずどこでも使えます。

つまり、ACM は「AWS のサービスに組み込まれた証明書」、Sectigo は「どこにでも持ち運べる証明書」という違いです。

観点ごとの比較

項目が多いので表で整理します（2026年10月現在）。サービスの仕様は変わるため、AWS と Sectigo の最新ドキュメントを確認してください。

料金体系はサービスや契約で異なり、変更もあるため、各社の公式情報で確認してください。

ドメイン認証と更新の違い

ACM：DNS 認証の CNAME を残しておけば更新が自動で進む

ACM で証明書をリクエストすると、ドメイン認証の方法として DNS 認証かメール認証を選べます。DNS 認証では、ACM が示す CNAME レコードを DNS に登録します。Route 53 でホストゾーンを管理していれば、コンソールからレコードを作成できます。

この CNAME レコードを消さずに残しておき、証明書が連携サービスで使われている限り、ACM は期限前に自動で更新します。更新された証明書は ALB や CloudFront に自動で反映されるため、サーバーの再読み込みも不要です。証明書の有効期間の上限は業界全体で段階的に短くなっていますが（2026年3月から最長 200 日）、ACM の DNS 認証を使っていれば運用上の影響はほとんどありません。

メール認証を選ぶと、更新のたびに承認メールへの対応が必要になります。特別な理由がなければ DNS 認証を選んでください。

Sectigo：認証方式を選べる代わりに、更新は自分で回す

Sectigo では、DNS の TXT や CNAME、HTTP のファイル設置、メールなどからドメイン認証の方法を選びます。発行後は証明書ファイルを自分で設置し、期限前に更新と差し替えを行います。

有効期間が短くなるにつれ、手作業での更新は負担が大きくなります。Sectigo の証明書を使い続けるなら、ACME に対応した契約や販売代理店を選び、certbot などで発行から設置までを自動化するのが現実的です。

設置場所で考える使い分け

ALB や CloudFront で HTTPS を終端する構成：ACM が第一候補です。WordPress を EC2 や ECS で動かし、手前に ALB を置く一般的な構成なら、ACM の証明書を ALB のリスナーに設定するだけで済みます。CloudFront で使う証明書は、バージニア北部リージョン（us-east-1）でリクエストまたはインポートする必要がある点に注意してください。ALB で使う証明書は、ALB と同じリージョンに置きます。

EC2 上の Nginx や Apache で終端する構成：ACM の通常の公開証明書は秘密鍵を取り出せないため、EC2 の中では使えません。AWS は秘密鍵ごとエクスポートできる公開証明書の選択肢も提供していますが、その場合は更新のたびに証明書を取り出して配置し直す仕組みが必要になります。手元で証明書を扱うなら、Sectigo などの商用証明書や Let's Encrypt との比較で考えることになります。

OV・EV が必要な場合：ACM の公開証明書は DV のみなので、Sectigo などの商用認証局を使います。取引先や社内規程で組織認証が求められているケースが該当します。

AWS 以外の環境と共通の証明書を使いたい場合：オンプレミスや他のクラウドと同じ証明書を使うなら、持ち運べる Sectigo の証明書が向いています。

Sectigo の証明書を ACM に取り込む

「ALB で終端したいが OV 証明書が必要」という場合は、Sectigo で発行した証明書を ACM にインポートして ALB に設定できます。インポートには次の3つを用意します。

• サーバー証明書（PEM 形式）
• 秘密鍵（PEM 形式、パスフレーズなし）
• 中間証明書のチェーン（PEM 形式）

AWS CLI でのインポート例です。ファイル名は手元のものに読み替えてください。

aws acm import-certificate \
  --certificate fileb://www_example_com.crt \
  --private-key fileb://www.example.com.key \
  --certificate-chain fileb://sectigo-chain.crt \
  --region ap-northeast-1

注意点が2つあります。

1つ目は、インポートした証明書は ACM が自動更新しないことです。期限前に Sectigo で更新した証明書を、同じ証明書 ARN に対して再インポート（--certificate-arn を指定して上書き）すると、ALB の設定を変えずに差し替えられます。期限が近づくと ACM からイベントが通知されるので、Amazon EventBridge でメールやチャットに通知を流しておくと更新漏れを防げます。

2つ目は、秘密鍵の扱いです。インポートのために秘密鍵を作業端末へコピーした場合は、作業後に端末から削除し、鍵を保管する場所と担当者を決めておいてください。

ALB の後ろの WordPress で注意すること

ALB で HTTPS を終端し、ALB から EC2 へは HTTP で転送する構成では、WordPress から見るとアクセスが HTTP に見えます。そのままだと、管理画面へのリダイレクトがループしたり、URL が http:// で出力されたりします。

ALB は元のプロトコルを X-Forwarded-Proto ヘッダーで伝えるので、wp-config.php の「編集が必要なのはここまでです」の行より上に次のように書きます。編集前に wp-config.php のバックアップを取ってください。

if ( isset( $_SERVER['HTTP_X_FORWARDED_PROTO'] ) && 'https' === $_SERVER['HTTP_X_FORWARDED_PROTO'] ) {
    $_SERVER['HTTPS'] = 'on';
}

このヘッダーは送信元が自由に付けられるため、EC2 の Security Group で ALB からの通信だけを受け付ける設定にしておくことが前提です。インターネットから EC2 に直接届く状態だと、偽のヘッダーで HTTPS と誤認させられます。

CAA レコードと切り替え時の確認

DNS に CAA レコードを設定している場合、ACM を使うなら Amazon の認証局、Sectigo を使うなら Sectigo を許可する値が必要です。指定する値は各社のドキュメントに従ってください。ACM から Sectigo へ（またはその逆へ）切り替えるとき、CAA の更新を忘れると発行が止まります。

切り替え後は、外部から実際に配信されている証明書を確認します。

echo | openssl s_client -connect www.example.com:443 -servername www.example.com 2>/dev/null \
  | openssl x509 -noout -issuer -enddate

issuer が Amazon か Sectigo の中間証明書になっているかで、意図した証明書が使われているかを確認できます。CloudFront と ALB の両方を使っている場合は、それぞれのドメインで確認してください。

まとめ

• ACM は AWS のサービスに組み込んで使う DV 証明書、Sectigo はどこにでも設置できる DV・OV・EV 証明書
• ALB や CloudFront で終端するなら ACM が手間が少なく、DNS 認証の CNAME を残せば更新も自動で進む
• EC2 内で終端する、OV・EV が必要、AWS 以外と共通で使う、といった条件なら Sectigo などの商用証明書を検討する
• Sectigo の証明書は ACM にインポートして ALB で使えるが、自動更新はされないため再インポートと期限通知の仕組みを用意する
• ALB の後ろの WordPress は X-Forwarded-Proto で HTTPS を判定し、EC2 は ALB からの通信だけを受け付ける

• ロードバランサーでのSSL終端の設定
• AWS CloudFront の設定と使い方