HTTPSの鍵マークをクリックすると証明書が見れる
配信URL：（配信済みになったら記入）
台本
オープニング
【ジングル】 はい，どうもこんにちは．「雨宿りとWEBの小噺」始まりました．気づきの配達屋 Keethこと桑原です．
この番組では，気にも留めていなかったものに光を当てることで，世界の見え方が少し変わるかもしれない，そんな Web 業界の裏話や小噺をご紹介しております．
今回のお題は「HTTPSの鍵マークをクリックすると証明書が見れる」です．
本題
今日はですね，ブラウザのアドレスバーの話をします．
みなさん，何かしらのサイトを開いたときに，アドレスバーの左端に小さいマークが出てるの，見たことありますよね．昔から鍵のマークが出ていたやつです．あれ，クリックしたことありますか．
僕，これ人に聞くと，わりと「ない」と言われるんですよ．エンジニアの方でもそうです．知ってはいるけど，わざわざ押したことはない，という．
でも，あれ押すと，中身がちゃんと見られるんです．そのサイトが使っている証明書というものの詳細が出てきて，誰がこの証明書を発行したのか，いつまで有効なのか，どういう暗号の方式で通信を守っているのか，そういうことが全部書いてあります．無料で誰でも見られます．
で，今日はその鍵マークの話をするんですけど，実はこの回，ちょっとややこしい前提がありまして．
今，Google Chrome には，あの鍵マークがもう無いんですよ．
2023年の9月に消えました．今あそこに出ているのは，つまみを2つ並べたような，設定画面でよく見る「調整」のアイコンです．英語だと Tune と呼ばれているやつですね．知らないうちに変わっていた，という方，たぶん結構いらっしゃると思います．僕も最初は，自分の設定が何かおかしいのかなと思いました．
28年くらいずっとあったものが，静かに消えてるんです．
今日はこの，生まれてから消えるまでの話をします．結論から言うと，これは技術が変わった話じゃなくて，人間がそれをどう受け取ったかの話でした．
まず，生まれたときまで遡ります．
話は1990年代の半ば，Netscape というブラウザの会社に戻ります．この番組では何度か名前が出てきている会社ですね．当時のブラウザ戦争の主役です．
1994年，Netscape は RSA という暗号の会社とパートナーシップを組みまして，PKI と呼ばれる仕組みをブラウザに組み込むことになります．PKI というのは Public Key Infrastructure，日本語だと公開鍵基盤ですね．
これ，言葉が難しいんですけど，やろうとしていることは意外とシンプルでして．インターネットって，自分と相手のあいだに知らない機械がたくさん挟まってるじゃないですか．そこを通るデータを，途中の誰かに読まれないようにしたい．でも，そもそも相手が本物かどうかも分からない．この2つを同時に解決するための仕組みが PKI です．
で，本物かどうかを保証する役割を，信頼できる第三者に任せることにした．それが認証局と呼ばれる存在で，その認証局が「このサイトは本物ですよ」と発行する紙が，証明書です．鍵マークを押すと出てくる，あれですね．
そして1995年，Netscape は SSL 2.0 という通信を暗号化する仕組みを，Netscape Navigator 1.1 というブラウザに載せて出します．このときに，暗号化された通信をしていることをユーザーに知らせるマークとして，鍵マークが登場しました．これが誕生の瞬間です．
ここで面白いのが，当時の鍵マークの意味合いなんですよ．
今でこそ，ほとんどのサイトが HTTPS，つまり暗号化された通信に対応してますよね．というか，対応してないサイトを探すほうが難しい．でも1990年代は全然そうじゃなくて，HTTPS に対応しているサイトのほうが珍しかったんです．証明書はお金がかかるし，設定も面倒でした．
なので当時の鍵マークって，どちらかというとご褒美だったんですよ．ちゃんとセキュリティにお金と手間をかけている偉いサイトです，という表彰状みたいなものだった．だから目立つところに，わざわざ出した．
この「珍しいから表彰する」という発想，あとでちゃんと効いてきます．覚えておいてください．
さて，ここから本題です．
2007年に，Comodo という認証局が，EV証明書というものを導入します．Comodo は今は Sectigo という社名になっていますね．EV というのは Extended Validation，拡張検証という意味です．
これ何かというと，普通の証明書よりずっと厳しい審査を通った証明書です．普通の証明書は，極端に言うと「このドメインを本当にあなたが持ってますね」というところだけ確認できれば出ます．でも EV 証明書は，会社が実在するかどうか，登記はされているか，その住所に本当にあるのか，電話をかけて確認するところまでやる．手間もお金もかかります．
で，その厳しい審査を通ったサイトには，ご褒美が用意されました．アドレスバーが緑色になるんです．しかも，鍵マークの横に会社の名前まで表示される．
これ，当時はかなりインパクトがありました．銀行とかショッピングサイトを開くと，アドレスバーが緑に光って，会社名が出てる．見るからに安全そうですよね．企業側も「うちは緑です」というのを売りにしていました．
僕，この発想自体は好きなんですよ．ちゃんとコストをかけた人が報われる，というのは真っ当だと思います．
ところが，です．
2018年，Chrome の69というバージョンで，この緑色が廃止されます．翌年の Chrome 77では，会社名の表示も消えました．たった十数年で，あの緑は無くなったわけです．
理由がですね，僕はこれを知ったときに結構うなりました．
ユーザーが，色の意味を正しく理解していなかったからなんです．
緑になっていれば安全だ，と思っている人が多かった．でも実際には，緑は「この会社が実在することを厳しく審査しました」という意味であって，「このサイトは良いサイトです」という意味じゃない．審査をちゃんと通った悪い会社，というのは普通に存在しうるわけです．
つまり，作った側が伝えたかった意味と，受け取る側が読み取った意味が，ズレていた．しかも安全side に楽観的にズレていた．これは表示として失敗だ，という判断です．
ここ，僕はすごく大事なところだと思っていて．技術的には何も間違ってないんですよ．EV証明書の審査はちゃんと厳しいし，緑になる条件も正しく実装されてる．全部正しい．正しいんだけど，伝わっていなかった．だから消した．
作ったものが伝わらなかったとき，作った側が引く，という判断ですよね．これ，なかなかできることじゃないと思います．
そして話は，冒頭の2023年9月に戻ってきます．
Chrome は，ついに鍵マークそのものを廃止しました．
緑を消し，会社名を消し，最後に鍵まで消した．順番に剥がしていって，最後に本体を落とした形です．
なんでそこまでしたのか．ここで決定打になったのが，Google が2021年に行ったという調査の数字でして．
鍵マークの正確な意味を理解していたユーザーは，11パーセントだったそうです．
11パーセントですよ．10人に1人ちょっと．裏を返すと，9割近くの人があのマークの意味を取り違えていた，ということになります．
で，どう取り違えていたかというと，多くの人が「鍵マーク＝安全なサイト」だと思っていた．でも実際の意味は違って，「このサイトとの通信が暗号化されている」というだけなんです．
この差，言葉にすると小さく見えるかもしれないんですけど，実際はまったく別物でして．
通信が暗号化されているというのは，あなたと相手のあいだの道が安全だ，という話なんですね．途中で誰かに盗み見られない．でも，その道の先にいる相手がまともな人かどうかは，一切保証していないんです．
安全なトンネルを通って，詐欺師のところに着く．こういうことが普通に起こりうる．
そして実際に，起こりました．
ここが今日いちばん皮肉な話なんですけど，フィッシングサイトの大半も，HTTPS 化が進んだんですよ．
フィッシングというのは，銀行とか通販サイトそっくりの偽サイトを作って，IDやパスワードを入力させて盗む，あの詐欺ですね．
さっき，昔は証明書がお金も手間もかかったという話をしました．でも今は，無料で取れて自動で更新もできる時代になりました．これ自体はものすごく良いことで，Web全体の安全性を底上げした，歴史的に見ても大きな前進です．
ただ，無料で誰でも取れるということは，詐欺師も取れるということなんですよね．
結果どうなったか．偽サイトにも，きれいに鍵マークが表示されるようになりました．
つまり，あのマークは，善良なサイトを見分ける役に立たなくなっただけじゃなくて，詐欺師に信用を貸してしまう側に回っていたわけです．「鍵マークが出てるから大丈夫だと思った」という人を，むしろ増やしていた．
この状況は，アメリカのFBIも公式に注意喚起を出していまして．鍵マークはサイトの安全性を示すものではありません，と．国の捜査機関がわざわざ言わなきゃいけないところまで来ていた，ということですね．
こうやって並べてみると，Chrome が鍵マークを消した判断，僕はかなり納得できます．
最初は，珍しいものへのご褒美でした．HTTPS対応が偉かった時代の，表彰状だった．でも全部のサイトが対応するようになった瞬間に，表彰状としての意味は消えるんですよ．全員が受賞している賞に，価値は無いので．
にもかかわらず，マークだけが残り続けた．そして，本来の意味を離れて「安全の印」として読まれるようになり，最後は詐欺に使われた．
役目を終えたものが，そこに在り続けることのリスク，という話だと思います．これ，UIの話に見えて，わりといろんなところに通じる気がします．
さて，まとめに入ります．
じゃあ，鍵マークをクリックして証明書を覗く，という習慣はもう無意味なのか．そう言われると，僕はそこまでではないと思っています．
たしかに，一般の方にとってはもう，あのマークを見て安全かどうかを判断する時代ではありません．そこは Chrome の判断が正しい．
ただ，エンジニアとしては，中身を見る癖は今でも地味に役立ちます．
たとえば，自分が関わっているサイトの証明書が，いつ切れるのか．誰が発行したものなのか．社内の別チームが更新したはずだけど，本当に新しいものに入れ替わっているのか．こういうのは，鍵マーク，今だと調整アイコンですね，そこを押せば数秒で分かります．障害対応のときに，最初に押すと切り分けが早いこともあります．
あと単純に，普段何気なく見ている画面の裏側に，これだけの歴史と判断が積み重なっているんだ，と知ってから見ると，ちょっと見え方が変わりませんか．僕はこれを調べてから，あのアイコンを押すのが少し楽しくなりました．
この番組でいつも言っていることなんですけど，Webの裏側には，必ず誰かがいます．鍵マークを作ると決めた人がいて，緑にすると決めた人がいて，そして緑をやめて，最後に鍵そのものを消すと決めた人がいる．
誰かが28年前に置いたものを，別の誰かが調べて，数字を見て，役目は終わったと判断して，静かに片付けた．その結果がいま，みなさんのアドレスバーに出ているあの小さいアイコンです．
今日，このあとブラウザを開いたら，一回押してみてください．中に，ちゃんと誰かの仕事が入っています．
📎 https://www.helpnetsecurity.com/2023/05/03/google-chrome-https/ 📎 https://www.thesslstore.com/blog/which-browsers-still-use-the-security-padlock-icon/ 📎 https://www.namecheap.com/blog/ssl-green-bar-disappearance/ 📎 https://www.howtogeek.com/890033/google-chrome-is-ditching-the-lock-icon-for-websites/
エンディング
【エンディングBGM】 さて，そろそろ今回もクロージングです． 今回は「HTTPSの鍵マークをクリックすると証明書が見れる」について話しました．
次回も，Webテクノロジーの小噺をお届けします．
この番組が気に入った方は，ぜひチャンネル登録をお願いします． また，あなたからの感想やリクエストもお待ちしております！ 𝕏で #WEB小噺 をつけて投稿していただくか，概要欄のお便りフォームからお送りください．
それでは，また次回の雨宿りでお会いしましょう！「雨宿りとWEBの小噺」お相手は Keeth でした．さようなら！ 【ジングル】
📚 参考情報
- 鍵マークの誕生
- 1994年，Netscape が RSA とパートナーシップを組み，PKI（公開鍵基盤）をブラウザに組み込む
- 1995年，SSL 2.0 を Netscape Navigator 1.1 にバンドル．このとき鍵マークが登場
- 当時は HTTPS 対応サイトが珍しく，「セキュリティに気を使っているサイトへのご褒美」の位置づけ
- EV証明書と緑のアドレスバー
- 2007年，Comodo（現 Sectigo）が EV証明書（Extended Validation）を導入
- 厳格な審査を通過したサイトはアドレスバーが緑色になり，会社名まで表示された
- 2018年の Chrome 69 で緑色表示が廃止，2019年の Chrome 77 で会社名表示も廃止
- 理由は「ユーザーが色の意味を正しく理解していなかった」から
- 鍵マークの廃止
- 2023年9月，Chrome が鍵マーク自体を廃止し「調整（Tune）」アイコンに置き換え
- Google が2021年に行った調査では，鍵マークの正確な意味を理解していたユーザーは11%
- 多くが「鍵マーク＝安全なサイト」と誤解していたが，実際は「通信が暗号化されている」ことを示すだけ
- 皮肉な副作用
- フィッシングサイトの大半も HTTPS 化が進み，同じ鍵マークを表示できるようになった
- FBI も「鍵マークはサイトの安全性を示すものではない」と公式に注意喚起している
🎙️ 収録メモ
焦点：28年続いた鍵マークを，Chrome が消すまで これは，Netscape が置いた表彰状と，11パーセントという数字と，役目を終えたものが残り続けるリスクの話です．
トーン
前半は懐かしさ寄りに軽く．「緑のアドレスバー」で一度盛り上げてから，2018年の廃止で落とす． 11パーセントの数字は間を取って，ゆっくり読む．
強調ポイント
- 「安全なトンネルを通って，詐欺師のところに着く」は，この回でいちばん伝わる比喩．一拍置く
- 「全員が受賞している賞に，価値は無い」
- 締めの「中に，ちゃんと誰かの仕事が入っています」はタグラインと重ねている
ファクトチェックに回したい箇所
- 1994年の Netscape と RSA のパートナーシップ，1995年の SSL 2.0 / Navigator 1.1 という年次
- EV証明書の導入が2007年，Comodo（現 Sectigo）という帰属
- 緑廃止が Chrome 69（2018年），会社名廃止が Chrome 77（2019年）というバージョンと年
- 鍵マーク廃止が2023年9月という時期（Chrome のバージョン番号まで押さえられるとなお良い）
- 11パーセントという数字の出典と調査年（2021年）
- FBI の注意喚起の出典．公式な形で出ているか
尺
本編 4,579字 ≒ 14分．目標の28〜30分に届いていない． 水増しせず，下記のいずれかを掘って足す前提（未着手）．
- DigiNotar 事件（2011年）：オランダの認証局が侵害され，偽の Google 証明書が発行された． イランのユーザーが監視され，会社は倒産．「鍵マークを信じるとは何を信じることなのか」という 本編のテーマに直結し，人と組織のドラマもある．最有力（+5〜6分）
- 誰が認証局を信頼すると決めているのか：ルート証明書ストアの話． OS やブラウザのベンダーが「この認証局は信頼する」というリストを配っている，という構造（+3分）
- 他のブラウザはどうしたのか：Safari / Firefox / Edge の対応． Chrome だけの話で終わっているのが片手落ち（+2〜3分）
- SSL を作った人：Netscape 側の人物に焦点を当てる． 番組ルールの「焦点は原則人」を満たすには，ここが手薄（+2〜3分）
申し送り
- Season5 EP.15（忘れがちなこと）の3つ目で SSL証明書の期限の話をしている． 重複はしていないが，続けて配信するなら間隔を空けたほうがよい
- タイトルが本編の着地（鍵マークはもう無い）とズレている．
podcast-metaの工程で「鍵マークが消えた」側に寄せた案も並べること
タグ