GlobalSign と Let’s Encrypt の比較：認証の種類・ドメイン認証（DCV）・運用の違いと選び方

GlobalSign と Let's Encrypt の証明書は、通信の暗号化の強さには差がありません。違いが出るのは、証明できる内容（ドメインだけか、組織の実在まで含むか）、ドメイン認証（DCV）と更新の仕組み、サポートや保証の有無です。この記事では、両者の違いを運用の観点で整理し、WordPress サイトでどちらを選ぶかの判断基準と、切り替え時につまずきやすい点を説明します。

基本的な位置づけ

Let's Encrypt は、非営利団体 ISRG が運営する無料の認証局です。ACME というプロトコルで証明書の発行と更新を自動化することを前提にしており、certbot などの ACME クライアントや、レンタルサーバーの「無料 SSL」機能の多くが Let's Encrypt を使っています。発行するのはドメイン認証（DV）の証明書だけです。

GlobalSign は商用の認証局で、DV に加えて、組織の実在を確認する OV（企業認証）や EV（拡張認証）の証明書、ワイルドカードや複数ドメイン（SAN）の証明書などを扱っています。日本語での問い合わせ窓口や、企業向けの管理サービスがある点も特徴です。具体的な製品構成や提供形態は変わることがあるため、公式サイトで確認してください。

比較のポイント

暗号化の強さは同じ

鍵の長さや暗号方式は、サーバー側の設定（RSA か ECDSA か、TLS の設定）で決まり、認証局の違いでは変わりません。主要なブラウザーは、DV と OV・EV の証明書をアドレスバー上でほぼ同じように表示します。かつての EV 証明書の「緑色のアドレスバー」はすでに廃止されているため、OV や EV を選ぶ理由は「訪問者に見せるため」より、「証明書の中に組織名が記載されることを社内規程や取引先が求める」といった事情になります。

有効期間はどちらも短くなっていく

Let's Encrypt の証明書は従来 90 日で、さらに短くする計画を公表しています。商用の証明書も、CA/Browser Forum（認証局とブラウザー事業者の業界団体）の決定によって最長有効期間が段階的に短縮されており、2026 年 3 月から 200 日、2027 年 3 月から 100 日、2029 年 3 月から 47 日とする予定が示されています（2026年10月現在）。

この流れは選び方に直接影響します。商用の証明書でも、年に1回手作業で入れ替える運用は成り立たなくなりつつあり、どちらを選んでも更新の自動化が実質的に必要になります。商用の認証局を選ぶ場合は、ACME など自動更新の手段が使える契約かどうかを確認しておくと、後で困りません。

ドメイン認証（DCV）の違い

DV でも OV・EV でも、証明書を発行する前に「申請者がそのドメインを管理しているか」の確認（DCV）があります。主な方式は次の3つです。

• HTTP によるファイル確認：指定された内容のファイルを、Web サーバーの決められたパスに置く。Let's Encrypt の HTTP-01 チャレンジがこれにあたる
• DNS の TXT レコード：指定された値を DNS に登録する。Let's Encrypt の DNS-01 チャレンジや、商用の DNS 認証がこれにあたる。ワイルドカード証明書には、Let's Encrypt では DNS-01 が必要
• メール認証：admin@ などの決められたアドレスに届くメールで承認する。商用の認証局で使われる方式

Let's Encrypt では、この確認を ACME クライアントが毎回自動で行います。商用の認証局では申請時に方式を選び、管理画面の指示に従って作業するのが一般的です。認証の結果を再利用できる期間にも業界ルール上の上限があり、これも短縮が進んでいます。

DCV が失敗するよくある原因

• CAA レコード：ドメインに CAA レコードがあり、使う認証局が許可されていない。Let's Encrypt なら letsencrypt.org、GlobalSign なら globalsign.com を CAA に含める必要がある。CAA を使っていなければ制限はない
• HTTP 認証が外から届かない：海外からのアクセスを遮断していたり、ファイアウォールで 80 番を閉じていたりする。認証局は複数の地点から確認を行うことがあり、Let's Encrypt は確認元の IP アドレスを公開していないため、IP 制限での許可はできない
• リダイレクトや WordPress の設定：/.well-known/acme-challenge/ へのアクセスが、セキュリティプラグインや .htaccess のルールで書き換え・遮断されている
• DNS の反映待ち：TXT レコードを登録した直後で、権威 DNS サーバーにまだ反映されていない

# CAA レコードの確認
dig example.com CAA +short

# TXT レコードが外から見えるか
dig _acme-challenge.example.com TXT +short

運用面の違い

Let’s Encrypt を使う場合

自動更新が止まると、90 日以内に期限切れになります。Let's Encrypt は期限切れ前の通知メールを 2025 年に終了しているため、更新の成否は自分で監視する必要があります。certbot を使っているなら sudo certbot renew --dry-run で更新の手順が通るかを定期的に確認し、外部の監視サービスで証明書の残り日数を見張っておくと安心です。発行数にはレート制限があるため、テスト中は本番環境ではなくステージング環境を使ってください。

GlobalSign を使う場合

CSR（証明書署名要求）の作成、申請、認証、発行された証明書と中間証明書のサーバーへの設置、という流れになります。中間証明書の設置漏れは、一部の端末だけで警告が出る原因になりやすいので、設置後に外部の SSL チェックツールで証明書チェーンを確認してください。OV・EV は組織の確認に日数がかかることがあるため、期限ぎりぎりではなく余裕をもって更新手続きを始めます。

WordPress サイトでの選び方

どちらが優れているかではなく、条件で決めるのが現実的です。

Let's Encrypt（またはレンタルサーバーの無料 SSL）が向いている場合

• 個人ブログや中小規模のメディア、一般的な企業サイトで、ドメインの暗号化ができれば十分
• サーバーやホスティングの機能で自動更新が組める

GlobalSign などの商用証明書が向いている場合

• 社内規程や取引先の要件で、OV・EV（証明書への組織名の記載）が求められている
• 認証局のサポート窓口や保証制度が必要
• 複数の部署・多数のドメインの証明書を、管理画面で一元管理したい

迷う場合は、まず社内規程や取引条件に「証明書の種類」の指定があるかを確認してください。指定がなく、自動更新ができる環境なら、Let's Encrypt で困ることは多くありません。

切り替えるときの注意

認証局を変えるときは、新しい証明書を発行・設置してから古い証明書を外します。CAA を使っている場合は、先に新しい認証局を CAA に追加しておきます。HSTS を設定しているサイトでは、証明書の不備がそのまま閲覧不能につながるため、作業前に現在の証明書と設定ファイルのバックアップを取り、可能ならステージング環境で手順を確認してから本番に入れてください。

まとめ

• 暗号化の強さは同じ。違いは証明できる内容（DV か OV・EV か）、DCV と更新の仕組み、サポートと保証
• Let's Encrypt は無料・DV のみ・ACME による自動更新が前提
• GlobalSign は DV・OV・EV を扱い、窓口サポートや管理サービスがある
• 証明書の有効期間は業界全体で短縮が進んでおり、商用でも更新の自動化が実質的に必要になる
• DCV の失敗は CAA、海外アクセスの遮断、.well-known への干渉、DNS の反映待ちを順に確認する
• 選ぶ基準は、社内規程や取引先の要件と、自動更新を組めるかどうか

• CAA レコードで証明書を発行できる認証局を制限する
• Let's Encrypt のレート制限と対処法