SSL 証明書

SSL 証明書 (正確には TLS 証明書) は、Web サイトの運営者の身元を認証局 (CA) が証明し、ブラウザとサーバー間の通信を暗号化するためのデジタル証明書です。証明書が有効なサイトは https:// で始まる URL でアクセスでき、アドレスバーのアイコン (図柄はブラウザやバージョンによって異なる) を開けば証明書の内容を確認できます。

QR コードのリンク先が SSL 証明書を持たない HTTP サイトの場合、2 つの問題が発生します。第一に、通信が暗号化されないため、スキャン後にユーザーが入力する個人情報やクレジットカード情報が盗聴されるリスクがあります。第二に、ブラウザが「保護されていない通信」の警告を表示するため、ユーザーが不安を感じて離脱します。QR コードの信頼性を確保するには、リンク先の HTTPS 対応は必須です。

SSL 証明書には 3 つの認証レベルがあります。DV (Domain Validation) はドメインの所有権のみを確認する最も基本的な証明書で、Let's Encrypt で無料取得できます。OV (Organization Validation) は組織の実在性も確認します。EV (Extended Validation) は最も厳格な審査を経て発行されます。かつては企業名がアドレスバーに常時表示されましたが、Chrome 77 と Firefox 70 (いずれも 2019 年) でこの表示はアドレスバーのアイコンから開くページ情報側へ移され、現在は証明書の詳細を開いて確認する形になっています。QR コード決済や金融サービスのリンク先には、OV 以上の証明書が推奨されます。

フィッシング対策の観点では、SSL 証明書の存在だけでは安全性を保証できません。攻撃者も DV 証明書を取得して HTTPS のフィッシングサイトを構築できるためです。QR コードをスキャンした後は、URL のドメイン名が正規のものかどうかを確認する習慣が重要です。