サポート › CSR の作成方法 › certbot（ACME自動取得）

🛠️ certbot のインストール

OS / ディストリビューション別のインストール方法：

Apache の場合は python3-certbot-apache を選択してください。

📋 FujiSSL の証明書を取得する手順

1. ACME アカウントの登録

   FujiSSL.jp で ACME ライセンスを契約後、メールで EAB（External Account Binding）認証情報が届きます。

   $ sudo certbot register 
     --server https://acme.fujissl.jp/acme/directory 
     --eab-kid <あなたのKey ID> 
     --eab-hmac-key <あなたのHMAC Key> 
     --email you@example.com 
     --agree-tos

2. 証明書の取得（Nginx・自動設定モード）

   --nginx プラグインを使えば、Nginx の設定ファイル編集まで自動化されます。

   $ sudo certbot --nginx 
     --server https://acme.fujissl.jp/acme/directory 
     -d example.com -d www.example.com

   これだけで以下が自動実行されます：

   • ✅ 秘密鍵の生成
   • ✅ CSR の生成
   • ✅ FujiSSL から証明書を取得
   • ✅ Nginx の設定ファイル更新
   • ✅ Nginx の再読み込み
   • ✅ 自動更新スケジュールの登録

3. 証明書の取得（Apache・自動設定モード）

   $ sudo certbot --apache 
     --server https://acme.fujissl.jp/acme/directory 
     -d example.com -d www.example.com

4. 証明書の取得（standalone モード）

   Web サーバ稼働中の場合は --webroot、停止可能な場合は --standalone。

   # standalone モード（Webサーバを一時停止）
   $ sudo certbot certonly --standalone 
     --server https://acme.fujissl.jp/acme/directory 
     -d example.com
   
   # webroot モード（Webサーバ稼働中のまま）
   $ sudo certbot certonly --webroot -w /var/www/html 
     --server https://acme.fujissl.jp/acme/directory 
     -d example.com

5. ワイルドカード証明書の取得（DNS認証）

   ワイルドカード証明書は DNS 認証が必須です。--manual モードでDNSレコードを手動追加します。

   $ sudo certbot certonly --manual 
     --preferred-challenges dns 
     --server https://acme.fujissl.jp/acme/directory 
     -d "*.example.com" -d example.com

   表示される TXT レコードを DNS に追加し、Enter を押すと検証が実行されます。

   💡 自動化したい場合 DNS プロバイダー（Route 53、Cloudflare、Google Cloud DNS など）の API キーを使った自動DNS認証も可能です。certbot 詳細ガイド をご参照ください。

6. 自動更新の確認

   certbot は自動的に systemd タイマー（または cron）に登録され、有効期限の30日前から自動更新します。

   # 自動更新のテスト（実際には更新しない）
   $ sudo certbot renew --dry-run
   
   # systemd タイマーの確認
   $ sudo systemctl list-timers | grep certbot

🗂️ 証明書の保存場所

certbot が取得した証明書は以下の場所に保存されます：

⚙️ Nginx 設定例

server {
    listen 443 ssl http2;
    server_name example.com www.example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # 推奨: TLS 1.2 / 1.3 のみ
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers off;

    # HSTS（推奨）
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # その他の設定
    root /var/www/html;
    index index.html;
}

# HTTP → HTTPS リダイレクト
server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

❓ よくあるご質問