EV SSL とワイルドカード SSL は、比べる軸がそもそも違います。EV は「証明書の申請者をどこまで確認したか」という認証レベルの種類で、ワイルドカードは「1枚の証明書でどの名前をカバーするか」という対象範囲の種類です。そして、EV 証明書はワイルドカードにできないという決まりがあるため、「EV のワイルドカード証明書」は存在しません。この記事では2つの軸を整理したうえで、どちらを選ぶべきかの判断材料と、どの証明書でも必要になるドメイン認証（DCV）の要点を説明します。
証明書を分ける2つの軸
軸1：認証レベル（DV / OV / EV）
- DV（ドメイン認証）：申請者がそのドメインを管理していることだけを確認します。Let's Encrypt などの無料証明書もこれに当たり、発行は自動化しやすく早いのが特徴です。
- OV（組織認証）：ドメインの管理に加え、申請した組織が実在するかを認証局が確認します。証明書の詳細に組織名が記載されます。
- EV（Extended Validation）：OV より厳しい基準で、組織の法的な実在、所在地、申請者の権限などを確認します。基準は業界団体の CA/Browser Forum が定めるガイドラインに沿っています。
軸2：対象範囲（シングル / ワイルドカード / SAN）
- シングル：
www.example.comのように1つの名前だけを対象にします。 - ワイルドカード：
*.example.comの形で、1階層分のサブドメインをまとめて対象にします。a.b.example.comのような2階層目や、ルートのexample.com自体は含まれないため、ルートは別途名前を追加します。 - SAN（マルチドメイン）：複数の名前を列挙して1枚にまとめます。異なるドメイン同士も並べられます。
この2つの軸を組み合わせたものが実際の商品です。ワイルドカードは DV と OV では提供されていますが、EV の基準ではワイルドカードの記載が認められていません。EV で複数の名前を扱いたい場合は、名前を1つずつ列挙する SAN 形式の EV 証明書になります。
EV SSL とワイルドカード SSL を比べる
| 観点 | EV SSL | ワイルドカード SSL（DV/OV） |
|---|---|---|
| 何を示すか | 組織の実在を厳格に確認した | ドメイン（OVなら組織も）を確認した |
| 対象範囲 | 列挙した名前のみ | 1階層分のサブドメインすべて |
| 発行までの時間 | 書類確認があり日数がかかる | DV なら自動化しやすく早い |
| 新しいサブドメインの追加 | 証明書の再発行が必要 | 再発行なしで使える |
| ブラウザでの見え方 | 通常の鍵表示と同じ（詳細で組織名が見られる） | 通常の鍵表示 |
| 運用上の注意 | 更新時にも組織の確認がある | 1つの秘密鍵を多くのサーバーで共有しがち |
ブラウザの表示について
かつて EV 証明書を使うと、アドレスバーが緑色になり組織名が表示されました。しかし利用者の判断にあまり役立っていないという調査結果などを受け、2019年ごろに Chrome や Firefox がこの特別な表示をやめています。現在は、証明書の詳細を開けば組織名を確認できるものの、一見して DV と区別はつきません（2026年10月現在）。EV を選ぶ理由が「アドレスバーに社名が出るから」であれば、その効果は期待できない点を知っておく必要があります。
暗号の強さは同じ
認証レベルの違いは「誰に発行したかの確認の厳しさ」であって、通信の暗号化の強さは変わりません。鍵の種類と長さ、サーバーの TLS 設定が同じなら、DV でも EV でも通信の保護は同等です。
どちらを選ぶか
判断の材料になるのは、次の条件です。
ワイルドカード（DV）が向いている場合
- サブドメインが多い、または今後増える（
shop.、blog.、stg.など） - 自動更新の仕組み（ACME）で運用したい
- 個人や小規模の WordPress サイトで、組織の実在を証明書で示す必要がない
OV または EV が向いている場合
- 取引先や業界の規程、監査、入札条件などで、組織の確認を経た証明書が求められている
- 金融や公共性の高いサービスで、証明書の詳細に正式な組織名を記載したい方針がある
両方の要件がある場合
組織認証が必要でサブドメインも多いなら、OV のワイルドカードが選択肢になります。EV が必須という条件なら、必要な名前を列挙した EV の SAN 証明書と、それ以外のサブドメイン用の DV 証明書を分けて運用する形が考えられます。どの組み合わせが提供されているかは認証局や販売事業者によって異なるため、各社の案内で確認してください。
どの証明書でも必要な「ドメイン認証（DCV）」
DV・OV・EV のどれであっても、認証局は発行前に申請者がドメインを管理していることを確認します。これを DCV（Domain Control Validation）と呼びます。主な方法は次の3つです。
- メール認証：
admin@やwebmaster@など決められたアドレスに届く確認メールで承認します。受信できるメールアドレスを用意しておく必要があります。 - DNS 認証：認証局が指定した TXT や CNAME レコードを DNS に追加します。Let's Encrypt の DNS-01 チャレンジもこの一種です。
- ファイル認証（HTTP 認証）：指定されたファイルを Web サーバーの決められたパスに置きます。
ワイルドカード証明書では、ファイル認証が使えない点に注意が必要です。ファイル認証は特定のホストを確認する方法のため、*.example.com の管理を示す手段として認められていません。ワイルドカードは DNS 認証（認証局によってはメール認証）で行い、Let's Encrypt では DNS-01 だけが使えます。
# DNS 認証の TXT が反映されたか確認する（名前は認証局の指示に従う）
dig +short _acme-challenge.example.com TXTDCV でよくあるつまずきは、TXT の値に余計な引用符や空白が入る、DNS の反映を待たずに認証を実行する、CAA レコードで別の認証局に限定している、の3つです。dig example.com CAA で、利用する認証局が許可されているかも確かめておきます。
有効期間の短縮と運用への影響
CA/Browser Forum では、サーバー証明書の最長有効期間を段階的に短くすることが決まっており、2026年3月から最長200日程度、その後さらに短くなる予定です。あわせて、一度行った DCV の結果を再利用できる期間も短くなります。具体的な日付と日数は変更されることがあるため、利用している認証局の告知で確認してください。
この流れは EV とワイルドカードの比較にも影響します。更新のたびに手作業の確認が必要な運用は負担が増えていくため、どの種類を選ぶにしても、ACME による自動更新や、認証局が提供する自動化の仕組みに対応しているかを選定条件に入れておくと、後から困りません。
まとめ
- EV は認証レベル、ワイルドカードは対象範囲の種類で、比べる軸が異なります。EV のワイルドカード証明書は発行されません。
- 現在の主要ブラウザでは、EV でもアドレスバーの見た目は DV と同じです。暗号の強さも認証レベルでは変わりません。
- サブドメインが多く自動化したいならワイルドカード（DV）、規程で組織の確認が必要なら OV / EV、両方なら OV のワイルドカードや EV の SAN との併用を検討します。
- どの証明書にも DCV が必要で、ワイルドカードはファイル認証が使えず DNS 認証が基本です。
- 有効期間の短縮が進むため、自動更新に対応できるかを選定の条件に入れます。