どの ACME チャレンジタイプを使用すべきか？HTTP-01 または DNS-01?

2025年8月24日 Andrew Johnson

自動化された ACME プロトコルで SSL Certificate を取得する場合、SSL Certificate の発行を成功させるためには、適切な検証方法を選択することが極めて重要である。

ACME チャレンジには、HTTP-01 と DNS-01 の 2 種類があり、それぞれドメイン検証プロセスにおいて異なる目的を果たす。それぞれの違いを理解することで、SSL Certificate をウェブインフラにスムーズに導入することができます。

HTTP-01 ACME チャレンジの理解

HTTP-01 チャレンジは、SSL Certificate を申請する際にドメインの所有権を証明する最も簡単な検証方法です。

このチャレンジタイプは、ウェブサーバの所定の HTTP ロケーションに特定のトークンを配置し、認証局（CA）がこれを検証することを要求します。

HTTP-01認証は、ウェブ・サーバのルート・ディレクトリに直接アクセスできる従来のウェブ・ホスティング環境で特に有効です。

このプロセスでは、ドメインの/.well-known/acme-challenge/ディレクトリに、チャレンジトークンを含む一時ファイルを作成します。

HTTP-01チャレンジの大きな利点の1つは、シンプルで検証時間が短いことです。検証は標準的なHTTPプロトコルで行われるため、プロセスは通常数分以内に完了します。ただし、この方法では、Webサーバーがポート80でパブリックにアクセスできる必要があり、すべての導入シナリオに適合するとは限りません。

DNS-01チャレンジ方式は、ドメイン検証により柔軟なアプローチを提供し、特に複雑なホスティング環境やワイルドカードSSL Certificateに適しています。

このチャレンジタイプでは、ドメインのDNS設定に特定のTXTレコードを作成し、所有権を証明します。

DNS-01バリデーションは、ウェブサーバーのアクセシビリティに関係なく、どのようなドメインでも動作する能力が際立っています。このため、ロードバランサー、クラウドサービス、またはHTTP検証が実用的でない内部ネットワークが関与するシナリオに最適です。

DNS-01の課題に関する主な考慮点は、DNSの伝播における潜在的な遅延です。

DNSレコードの変更は、グローバルに伝播するまでに数分から数時間かかることがあり、HTTP-01チャレンジに比べて検証プロセスが長くなる可能性があります。

HTTP-01 チャレンジと DNS-01 チャレンジのどちらを選択するかは、多くの場合、特定のインフラ要件に依存します。

標準的なウェブサーバー上の単一ドメインの SSL Certificate の場合、HTTP-01 は、通常、最も迅速で簡単なソリューションを提供します。

DNS-01チャレンジは、ワイルドカードSSL CertificateやHTTPバリデーションが困難な環境に対応する場合に、特に有用です。この方法は、複数のサブドメインを含むシナリオや、セキュリティ・ポリシーによってサーバーへのアクセスが制限されている場合に優れています。

複数のドメインを管理する組織やSSL Certificateの自動更新を必要とする組織では、DNS-01チャレンジの方が規模に応じた管理が可能であることがよくあります。

DNS管理によって検証を一元化できるため、多様なホスティング環境における制御と一貫性が向上します。

ACMEチャレンジを実装する際には、選択した方法がセキュリティ要件に合致していることを確認してください。

HTTP-01チャレンジでは、特定のサーバーパスへの一時的なパブリックアクセスが必要ですが、DNS-01では、DNS認証情報とレコードの慎重な管理が必要です。

セキュリティ強化のためには、選択した検証方法にかかわらず、適切なアクセス制御の実装を検討してください。

HTTP-01では、サーバーレベルのセキュリティポリシーを利用してチャレンジディレクトリを保護する。DNS-01の場合は、安全なAPIキーを採用し、DNS管理システムへのアクセスを制限する。

検証プロセスを定期的にテストすることで、信頼性の高い SSL Certificate の更新を維持することができます。

Trustico®は、チャレンジの完了とSSL Certificateの発行を検証する監視システムを導入し、デジタル資産の継続的な保護を確保することを推奨します。

どちらのチャレンジタイプも最新の暗号化標準をサポートし、ドメイン検証の業界要件に準拠していることを忘れないでください。

最終的にどちらを選択するかは、どちらの方法に固有のセキュリティ上の利点があるかということよりも、お客様の技術環境、セキュリティポリシー、運用上のニーズによって決まります。