概要：SSLのOVおよびEVコード署名証明書は、発行前に組織の身元、住所、電話番号の独立した検証を必要とします。この検証は、認定された第三者データソース（適格独立情報源（QIIS））に貴社の情報が掲載されていることを前提としています。Dun & BradstreetのDUNS番号は、包括的で継続的に更新される企業プロファイルにより、検証担当者が貴社の詳細を迅速に確認できるため、SSLが推奨するQIISであり、発行時間を短縮できる場合が多くあります。
この記事では、DUNS番号の仕組み、注文前に確認すべき事項、注文承認要件がビジネスリスティングにどの程度確実に紐づいているか、そしてEVコード署名証明書に適用される追加の手順について説明します。
申請する際は OVコード署名 or EVコード署名 SSL の証明書では、検証プロセスには購入と数回のクリック以上のものが必要です。ドメイン検証 (DV) SSL とは異なり、TLS ドメイン名の所有権のみを証明する証明書とは異なり、コード署名証明書は、署名キーの背後にいる組織または個人の身元と正当性を検証するためにSSLを必要とします。これが署名付きソフトウェアの価値の源泉です。エンドユーザーとオペレーティングシステムは、コードが実在する責任ある組織から提供されたものであると信頼できるのです。
その認証プロセスの中心となるのは、あなたのビジネスが公認された公開データソースを通じて発見され、確認できるかどうかという点です。このガイドでは、DUNS番号やその他の適格なビジネスリストがそのプロセスにどのように影響するか、そして証明書の注文を提出する前に何をすべきかを説明します。
コード署名にビジネス検証が必要な理由
コード署名証明書は、単に接続を暗号化するだけのものではありません。組織の身元情報に暗号署名を紐付け、エンドユーザーがソフトウェアをインストールまたは実行する際にその署名が表示されます。信頼できる第三者がその身元情報を独自に確認できない場合、証明書は発行されません。
SSLは、公的に信頼される認証局（CA）として、OVまたはEV証明書を受け取る組織の身元、住所、および信頼できる通信手段を検証することが業界標準で義務付けられています。特にコード署名においては、この検証手順は証明書発行前に必ず実施され、例外はありません。OVまたはEVコード署名の検証中は「プレースホルダー」証明書は発行されないため、開始前にビジネス情報をきちんと整理しておくことが重要です。
QIISとは何ですか？
用語 認定独立情報源（QIIS） QIISとは、定期的に更新され、本人確認の目的で信頼できるとみなされている、一般にアクセス可能なデータベースを指します。認証局（CA）はQIISの記録を使用して、証明書申請者が提出した組織名、住所、電話番号などの詳細情報が、信頼できる第三者機関に登録されている情報と一致することを独自に確認します。
ここで重要なのは「独立性」です。SSLはあなたの言葉を鵜呑みにしたり、あなたが提供する文書だけに頼ったりすることはできません。QIISは、SSLが管理できない情報源であり、定期的に記録を更新し、認証局/ブラウザフォーラムが検証目的で信頼できると認めているものでなければなりません。
DUNS番号：SSLの推奨検証方法
SSL が受け入れるすべての適格データソースの中で、 ダン＆ブラッドストリートDUNS番号 OVとEVの検証には、DUNSが推奨されるオプションです。DUNSはData Universal Numbering Systemの略で、Dun & Bradstreet（D&B）が個々の事業所に割り当てる9桁の識別子です。D&Bのデータベースには世界中で5億以上の企業が登録されており、主要な機関、政府機関、認証局はD&Bの記録を信頼できる情報源として一貫して認めています。
SSLの検証チームにとって、DUNS番号は2つの役割を果たします。まず、DUNS番号は、貴社の正式名称、住所、電話番号／メールアドレス、事業状況などを含む、包括的で相互参照された企業プロファイルへの直接的なアクセス手段となります。次に、D&Bのデータベースは継続的に更新され、ビジネス界において高い評価を得ているため、検証担当者が二次的な書類を探し出すために発生するやり取りの手間を軽減できます。
実際には、証明書を注文する際に有効なDUNS番号を提出することで、発行プロセスを大幅に迅速化できます。DUNS番号は、注文手続き中にSSLアカウントポータルの「会社情報」セクションに直接入力できます。
DUNS番号の取得または申請
貴社がまだDUNS番号をお持ちでない場合は、Dun & Bradstreetのウェブサイトから無料で申請できます。 dnb.com通常の処理には数営業日かかります。より早く番号が必要な場合は、有料で特急オプションをご利用いただけます。
貴社が既にDUNS番号を保有しているものの、登録を申請していない場合、特に貴社が直接提出したものではなく、第三者のデータソースから自動的に生成されたレコードの場合、登録されている情報が不完全または古い可能性があります。証明書の検証にDUNS番号を使用する前に、D&Bのセルフサービスポータルにログインし、以下の項目が正確であることを確認してください。
- 正式な商号 （政府の登録記録に記載されているとおりに）
- 物理アドレス （私書箱は不可。確認可能な住所が必要です。）
- 会社の電話番号 （これはSSLがコールバック検証に使用する番号です）
- 営業状況 （有効かつ良好な状態）
DUNS番号と証明書注文時に提出する情報との不一致は、認証遅延の最も一般的な原因の一つです。注文前に15分かけてD&Bのプロフィールを確認することで、数日間のフォローアップを省くことができます。
注文承認と、電話番号／公開メールアドレスが重要な理由
OVおよびEVコード署名証明書のいずれの場合も、組織との認証を完了するためにSSLが必要です。この認証は、独立した検証可能な情報源に記載されている電話番号またはメールアドレス宛てに送信される必要があります。つまり、SSLがお客様に確実に連絡できるよう、DUNSレコード（またはその他の適格情報源）に記載されている電話番号またはメールアドレスを使用する必要があります。
登録されている電話番号が、切断された回線、一般的な留守番電話、または本人確認ができない応答サービスにつながる場合、あるいはメールアドレスが使用されていないか、応答がない場合、本人確認の要件を満たすことができず、認証プロセスは停止します。
貴社の業務記録に記載されている電話番号および／またはメールアドレスは、貴社を代表して証明書の発行依頼を確認する権限を持つ担当者が連絡可能な番号であることをご確認ください。
OVコード署名：新規組織向け補足事項
OVコード署名証明書の場合、組織の設立から3年未満であれば、SSL証明書の発行には、証明書申請者の政府発行の写真付き身分証明書のスキャン画像も必要となります。これは、事業実績が限られている新しい組織に対する追加の検証手順であり、主要な検証に使用するQIISの種類に関わらず適用されます。
EVコード署名：より高い基準
拡張検証（EV）コード署名証明書は、あらゆるコード署名製品の中で最も厳格な本人確認要件を満たしています。SSLのEV証明書審査プロセスでは、組織の正式名称、住所、電話番号の確認に加え、事業運営状況の確認、該当する場合は商号や仮称の検証、そしてEV証明書申請フォームに署名した個人の権限の確認も行います。
特にEVの場合、申請者はEV加入者契約書の署名済みコピーも提出する必要があります。DUNS番号または代替のQIISレコードは、必須書類2点のうちの1点となります。3点目の書類としては、ZoomInfoやOpenCorporatesなどの他の認定情報源からの企業プロフィール、または弁護士、会計士、もしくは公証人による証明書が選択肢となります。
その他の掲載可能なビジネス情報
組織がDUNS番号を保有していない場合、またはDun & Bradstreetが管轄区域の記録を保持していない場合でも、SSLがOVおよびEV検証に受け入れるQIISソースは他にも多数あります。これらには、国および地域の政府系企業登録簿、法律および貿易データベース、その他の商用ディレクトリが含まれます。一部例としては、Companies House（英国）、カリフォルニア州務長官、フロリダ州法人局、デラウェア州法人局、OpenCorporates、ZoomInfoなどの政府系ビジネスポータルが挙げられます。
米国以外で事業を展開する組織にとって、管轄区域固有のレジストリを利用することが最も確実な方法となる場合が多いです。SSLの検証チームは数十か国のレジストリに精通しており、お客様の地域に最適なレジストリを見つけるお手伝いをいたします。
SSLの事前承認リストに掲載されていない正規のビジネスディレクトリに掲載されている場合は、掲載情報へのリンクを送信して審査を受けることができます。SSLの検証チームが個別に審査を行い、承認の可能性を判断します。
よりスムーズな検証体験のためのヒント
コード署名証明書の申請時に不必要な遅延を避けるために、いくつか簡単な手順を踏むことができます。
ご注文前に、ビジネスリスティングの内容をご確認ください。 D&B、政府機関の登録簿、その他の情報源のいずれを利用する場合でも、氏名、住所、電話番号がすべての情報源で最新かつ一貫していることを確認してください。
正式名称を正確に使用してください。 証明書の発注書に記載する会社名は、QIISレコードに記載されている会社名と一致している必要があります。屋号、商標名、略称などを使用すると、不一致が生じ、解決のために追加の書類提出が必要となる場合があります。
電話番号とメールアドレスが連絡可能な状態であることを確認してください。 公開されている連絡手段による注文承認は必須の手順です。ビジネス情報に記載されている電話番号またはメールアドレスは、証明書の発行依頼を確認できる担当者に繋がるものでなければなりません。
D&Bの記録を更新する場合は、処理時間を考慮して計画を立ててください。 D&Bの記録への変更が反映されるまでには数営業日かかる場合があります。掲載情報を更新する必要がある場合は、証明書の注文後ではなく、注文前に更新してください。
次のステップ
OVまたはEVコード署名証明書の取得をご希望の場合は、SSLアカウントから直接注文手続きを開始できます。どの検証方法がお客様の状況に適用されるかについてご質問がある場合、またはビジネスリスティングの検索でお困りの場合は、SSLサポートチームまでメールでお問い合わせください。 Support@SSL.com または、このページの右下にあるライブチャット機能をご利用ください。
承認されたビジネスリストと QIIS ソースの完全なリストについては、SSL を参照してください。 検証のための許容可能なビジネスリスト.
