読み方：ワイルドカードしょうめいしょ

ワイルドカード証明書【wild card certificate】

概要

ワイルドカード証明書とは、SSL/TLSで利用するサーバ証明書の一種で、あるドメインの直下にあるサブドメインすべてに一通で対応できるもの。通常は単一のFQDN（完全修飾ドメイン名）ごとに証明書を発行する必要があるが、ワイルドカード証明書ならドメイン名を共有する複数のサブドメインに一括して適用できる。

通常のサーバ証明書は、対象とするドメイン名（コモンネーム）として「www.example.jp」のような単一のFQDNを設定して発行される。そのため「www」の部分が異なる「shop.example.jp」のような別のサブドメインには、同じ証明書を流用できない。サブドメインを複数運用する場合、それぞれに証明書を取得し直す手間とコストが生じる。

これに対し、ワイルドカード証明書はコモンネームを「*.example.jp」のように記載する。「*」の部分には任意の文字列が入るため、「www.example.jp」「shop.example.jp」「mail.example.jp」など、example.jpの直下に作られるどのサブドメインでも同一の証明書で通信を暗号化し、サーバの身元を証明できる。

ただし、ワイルドカードが置き換えられるのは左端の一階層分のみである。「shop.example.jp」の下にある「www.shop.example.jp」のような二階層目のサブドメインや、サブドメインを持たない「example.jp」自体には適用されない。ルートドメインへの対応が必要な場合は、証明書の拡張領域であるSANs（Subject Alternative Names）に「example.jp」を登録することで、ワイルドカードと併せて有効化することができる。

ワイルドカード証明書は複数のサブドメインを一通の証明書で管理できるため、証明書の取得や更新作業を一本化できる。商用認証局（CA）から購入する場合、単一ドメインの証明書よりは高価だが、3～4ドメイン以上で共有すればそれぞれについて購入するよりは安価となることが多い。一方、秘密鍵を複数のサーバで共有することができるため、いずれかのサーバから鍵が漏洩すれば、保護対象のサブドメイン全体の安全性が脅かされるというリスクもある。

サーバ証明書は審査の厳格さによって「DV証明書」（Domain Validation）、「OV証明書」（Organization Validation）、「EV証明書」（Extended Validation）の3段階に分類されるが、申請者の実在性を最も厳しく審査するEV証明書では、仕様上ワイルドカード証明書の発行が認められていない。ワイルドカードを利用したい場合は、ドメインの利用権のみを確認するDV証明書か、組織の実在性を確認するOV証明書を選択する必要がある。Let's Encryptのような無償の自動発行サービスでもワイルドカード証明書を発行できるが、その際にはDNSによるドメイン所有確認が求められる。