OV・EV コード署名証明書を日本から取得する — 法人・個人事業主・個人の資格と 2026 年の価格比較

以前の記事「Windows デスクトップアプリを日本法人が安全に配布する」では、配布チャネルの選び方から SignTool での署名、SmartScreen 評判の育て方までを通しで整理しました。そこで踏み込まなかったのが「で、自分はどれを取得できて、いくらかかるのか」という調達側の話です。本記事はその続編として、OV・EV コード署名証明書を日本法人・日本在住の個人が取得するという観点から、2026 年 6 月時点の取得資格と価格を整理します。

最初に強調しておきたいのは、コード署名証明書は「安いものを選んで終わり」ではなく、その前に「そもそも自分が取得できるか」という関門があるという点です。取得可否を決めるのは主に二つの軸です。一つは申請主体（法人か、個人事業主か、屋号のない個人か）、もう一つは地理的な利用可否（その CA・サービスが日本を対象にしているか）です。この二軸を先に固めてから、取得できる選択肢の中で価格を比べるのが正しい順序になります。

値札の読み方を変えた 2 つの制度変更

価格と取得資格の前提として、近年の 2 つのルール変更を押さえます。これはどの CA でも共通する背景です。

ハードウェア鍵保管の義務化（2023 年 6 月）

CA/Browser Forum の Code Signing Baseline Requirements 改定により、2023 年 6 月以降は OV・EV を問わず、秘密鍵を FIPS 140-2 Level 2 または Common Criteria EAL 4+ 相当以上のハードウェアで生成・保管することが必須になりました。秘密鍵をエクスポート可能な状態で持つこと、つまり従来の .pfx（PKCS#12）ファイルでの発行は廃止されました。

この変更で「OV は安くてソフトウェア鍵で手軽」という以前のメリットが消えました。OV も EV も、物理 USB トークン・クラウド HSM・自前 HSM のいずれかが前提になります。結果として、証明書の年会費に加えてトークン代（紛失時は再購入）や、後述する配送・通関のリードタイムが総額と取得難易度の両方に効くようになりました。

有効期間の短縮（2026 年 3 月 1 日）

CA/Browser Forum の Ballot CSC-31 により、コード署名証明書の最大有効期間が従来の 39 か月から 460 日（約 15 か月）へ短縮され、2026 年 3 月 1 日から発効しました。これに合わせて DigiCert は 2 年・3 年プランを終了し、GlobalSign は 1 年商品のみへ、SSL.com も上限日数を引き下げました。複数年契約は今も買えますが、毎年の証明書再発行と準拠デバイスの再受領が前提です。

実務上の意味はシンプルで、複数年契約による「年あたり単価の値引き」が効きにくくなり、更新オペレーションの頻度が上がりました。

EV の SmartScreen 即時バイパスは消えた

選定の前提としてもう一つ。かつて EV 証明書には「署名した瞬間から Microsoft SmartScreen が肯定的に評価する」という特典がありましたが、Microsoft は数年前にこの挙動を廃止しています。現在は OV・EV ともにダウンロード実績（レピュテーション）の蓄積でしか初回警告は解消されません。

つまり、SmartScreen の警告を避ける目的だけで EV の割増料金を払う合理性は、2026 年時点ではありません。EV が依然として必須なのは Windows カーネルモードドライバ署名（Windows Hardware Dev Center ポータルへの登録）と、厳格な本人確認・調達監査要件があるケースに限られます。詳しい挙動は前回記事に譲ります。

誰が取得できるか、申請主体の壁

ここが本記事の主軸です。コード署名証明書はサーバー証明書と違い、発行元（組織・人）の実在性を審査します。そのため申請主体によって取得可否が大きく分かれます。

順に補足します。

• 日本法人: 最も素直に取得できます。OV・EV とも、法人登記情報・第三者データベース（帝国データバンク・東京商工リサーチなど）への照会・代表電話番号へのコールバックで審査されます。どの CA でも発行されるため、取得可否ではなく価格や運用で選べます。
• 個人事業主: 税務署へ提出した開業届などで実在を示せれば、Sectigo など一部 CA で取得できます。組織情報を伴う申請として扱われるためです。
• 屋号のない個人: 多くの主要 CA は、組織情報を伴わない一般個人への発行を「非対応」としています。後述するように、SSL.com の IV（Individual Validation）なら取得の余地がありますが、現実的な回避策は個人事業主になること、または証明書が不要な Microsoft Store（MSIX）配布へ寄せることです。

DUNS 番号が海外 CA 審査の鍵になる

海外 CA が日本の事業者の実在性を審査する際は、DUNS 番号の登録状況が決め手になります。東京商工リサーチが国内窓口で、DUNS 番号を登録済みなら自動音声によるコールバックだけで組織審査をパスでき、審査期間を大幅に短縮できます。新規登録は無償の標準コース（約 1.5 か月）と特急の有償コース（1 週間程度）から選べます。日本法人でも個人事業主でも、海外 CA から取得するなら事前登録しておくと取得がスムーズになります。

flowchart TD
    A["申請主体は?"] --> B["日本法人"]
    A --> C["個人事業主"]
    A --> D["屋号のない個人"]
    B --> B1["主要 CA で取得可・価格で選ぶ"]
    C --> C1["Sectigo など一部 CA で取得可"]
    C --> C2["DUNS 登録で審査を短縮"]
    D --> D1["SSL.com の IV なら取得余地あり"]
    D --> D2["個人事業主化や Microsoft Store で回避"]

地理的に使えるか、除外と配送の制限

主体の壁を越えても、地理的な制限で使えない・届かないケースがあります。

Azure Trusted Signing は日本を除外している

Microsoft 自身のクラウド署名サービス Azure Trusted Signing（現 Artifact Signing）は月 9.99 USD と破格で、技術的には最有力です。しかし Public Trust 証明書の対象は「米国・カナダ・EU・英国の組織、および米国・カナダの個人開発者」で、日本は法人も個人も含まれていません。つまり 2026 年 6 月時点で、日本法人も日本在住の個人も Azure Trusted Signing を利用できません。最も安い近道が地理的に塞がれているのが、日本からの取得を難しくしている最大の要因です。Microsoft は対象地域の拡大を表明しているので、日本が追加されたら最優先候補に格上げできます。FAQ の対象国リストは定期的に確認してください。

トークンが日本に届かないことがある

物理トークン型では、注文時に選んだ地域の外へトークンを発送しない CA があります。GlobalSign は「注文時に選んだ地域の外へはトークンを発送しない」と明記しており、会社所在地に合う地域での注文が前提です。海外 CA 直販・海外リセラー経由では、トークンが日本に届かず取得が頓挫する場合があります。国内代理店経由なら国内配送、もしくはトークン不要のクラウド HSM 署名を選ぶと、この地理リスクを避けられます。

なお海外 CA から直接取得する場合、本人確認のコールバックが英語・時差ありになる（英国の朝 9 時が日本の夜 6 時、米フロリダの朝 9 時が日本の夜 11 時）点も、初回取得のハードルになります。

取得できる選択肢の価格比較

ここまでの取得資格を満たす前提で、価格を比べます。まず円建てで取得しやすい選択肢、次に USD で直接取得する選択肢の順です。価格はすべて 2026 年 6 月時点の公開値で、税抜・税込・トークン費用を分けて示します。

円建てで取得できる選択肢

円建てで取得できる主要 SKU を並べると、最安帯（Sectigo Japan）と高価格帯（DigiCert 直販・RMS）で 2 〜 3 倍の差があります。日本法人ならどれも取得でき、個人事業主まで含めて間口が広いのは Sectigo Japan です。

xychart-beta
    title "Annual price comparison (JPY, tax-excluded)"
    x-axis ["Sectigo OV", "Sectigo EV", "GMO OV", "GMO EV", "DigiCert OV", "DigiCert EV"]
    y-axis "JPY" 0 --> 180000
    bar [55000, 65000, 60000, 78000, 115200, 171300]

なお、SSL/TLS 証明書販売で知られる JPRS はコード署名証明書を扱っておらず、サイバートラストも一部ブランドの取り扱いを終了しています。Windows 向け Authenticode コード署名の取得先は、実質的に上の 3 系統（Sectigo・GMO グローバルサイン・DigiCert）に収束します。

USD で直接取得する選択肢

円建ての公表価格がない CA から、USD で直接取得する選択肢です。為替（1 ドル = 約 150 〜 160 円）を当てると、見かけの安さは縮みます。

USD 建てでは SSL.com が安く見えますが、本体価格に加えて YubiKey 代（+379 USD）・eSigner 課金・Cloud HSM 認証費（500 〜 1,500 USD）が別建てで、トークン配送案内も米国基準です。本体価格の安さと総取得コストは分けて考えてください。一方で、SSL.com は屋号のない個人でも IV（Individual Validation）コード署名を取得できる数少ない選択肢で、フルクラウドの eSigner で署名できるため物理トークンの配送問題も避けられます。USD 決済・英語手続きを許容できる個人開発者には、現実的な取得経路になります。

クラウド署名サービスの価格と利用資格

CI/CD でビルドのたびに自動署名したい場合、物理トークンの抜き差しは現実的でないため、クラウド HSM 署名サービスが選択肢になります。価格体系が証明書とは別建てなので分けて整理します。日本の組織が利用できるかも併記します。

繰り返しになりますが、最安の Azure Trusted Signing は日本を除外しています。日本から自動署名をクラウドで完結させたいなら、現状の現実解は SSL.com eSigner か DigiCert KeyLocker です。どちらもトークンの物理挿入が不要なので、配送・通関の地理リスクも同時に解消できます。

物理トークンとクラウド HSM、どちらが安いか

証明書本体の費用は両方式でほぼ同じなので、差が出るのは運用コストです。物理トークンは署名のたびに人手（トークン捜索・挿入・PIN 入力・SafeNet ソフト更新など）がかかります。クラウド HSM は月額基本料と初期構築費がかかる代わりに、署名ごとの人手がほぼゼロになります。

年間署名回数を N、署名 1 回あたりの手作業時間を h、開発チームの時給を w、クラウド HSM の年間基本料を F、初期構築費を I として、両者が等しくなる損益分岐は次のように書けます。

物理トークン年額   = トークン代 + N × h × w
クラウド HSM 年額  = F + I + N × t   (t ≈ 0)
 
損益分岐 N* ≈ (F + I − トークン代) / (h × w)

2026 年の市場値を当てはめます。トークン代 18,700 円、手作業時間 h = 0.25 時間（15 分）、時給 w = 4,000 円、クラウド年間基本料 F = 約 9,000 円（Azure Key Vault の HSM 鍵）、初期構築費 I = 約 40,000 円（CI/CD 設定と署名検証で 10 時間）とすると、

N* ≈ (9,000 + 40,000 − 18,700) / (0.25 × 4,000)
   = 30,300 / 1,000
   ≈ 31 回/年

つまり、年間のビルド・署名が 31 回を超える組織なら、クラウド HSM 署名のほうが総額で有利になります。月 3 回弱より多くリリースするなら、自動化に倒したほうが安いという目安です。逆に署名頻度が低く手元署名で足りるなら、物理トークン型が単純で安く済みます（初年度の初期構築費を回収しきれないため）。

flowchart TD
    A["年間署名回数を見積もる"] --> B{"31 回/年より多いか"}
    B -->|多い| C["クラウド HSM 署名"]
    B -->|少ない| D["物理トークン"]
    C --> C1["SSL.com eSigner / DigiCert KeyLocker"]
    C --> C2["CI/CD で自動署名・送料/通関を回避"]
    D --> D1["国内代理店でトークンを国内配送"]
    D --> D2["手元で SignTool 署名"]

取得主体別の推奨

ここまでを取得主体ごとにまとめます。

判断を変える基準も挙げておきます。Microsoft が日本を Azure Trusted Signing の対象地域に追加したら、法人も個人も月 9.99 USD で利用でき、取得資格の問題が一気に解けるため最優先候補に格上げできます。また EV の SmartScreen 即時信頼が消えた今、ドライバ署名が不要なら OV で十分で、EV の割増を払う合理性は薄いことを忘れないでください。

注意点

取得資格と価格はどちらも変動します。発注前に各社公式ページでの再確認が必須です。

• CA の個人事業主・個人への対応方針は変わりえます。屋号のない個人での取得可否は、申請前に各 CA へ直接確認してください
• 海外リセラー（SignMyCode・SSL2BUY など）の価格は為替・キャンペーンで上下します。本記事の USD 価格は 2025 〜 2026 年の参考値です
• DigiCert・Sectigo・GlobalSign の公式直販 USD 価格には見積制・推定値が混ざります。RMS の円建て価格は参考上代で、実提供価格は別途見積です
• SSL.com 証明書を円建てで再販する国内業者は今回の調査では確認できませんでした。取得する場合は SSL.com 直販（USD 決済）が現実的です
• 円安局面では USD 建ての割安感が縮みます。SSL.com EV 349 USD は約 52,000 〜 56,000 円相当（1 ドル 150 〜 160 円換算）で、円建て最安帯の Sectigo Japan EV 65,000 円と大きくは変わりません
• トークン代・送料は基本的に 1 回限り（更新時は再利用可）ですが、海外発送・通関で数日 〜 数週間のリードタイムが生じえます

まとめ

コード署名証明書は、価格を比べる前に「自分が取得できるか」を確かめる作業から始まります。2026 年時点の要点を三つに絞ります。日本法人ならほぼどの CA でも取得でき、価格と運用で選べる（最安帯は Sectigo Japan）。屋号のない個人は主要 CA で原則発行されないため、SSL.com の IV か個人事業主化、あるいは証明書不要の Microsoft Store 配布で回避する。そして Microsoft 自身の安価な Azure Trusted Signing は日本を地理的に除外しているため、当面は従来型 CA が現実解になる。

配布チャネルの選定や SignTool での署名手順は前回記事にまとめてあります。本記事の取得資格と価格比較を合わせれば、誰がどの証明書をどう取得するかを最短経路で判断できます。

以上、OV・EV コード署名証明書を日本から取得するという観点で、現場からお送りしました。

参考情報

• CA/Browser Forum: Code Signing Working Group
• Microsoft: SmartScreen の評判ベースの保護
• Microsoft: Azure Trusted Signing
• Microsoft: Windows Hardware Dev Center
• GMO グローバルサイン: コードサイニング証明書
• DigiCert: コード署名証明書
• DigiCert: KeyLocker
• Sectigo: Code Signing
• SSL.com: コード署名証明書
• 東京商工リサーチ: DUNS 番号
• 前回記事: Windows デスクトップアプリを日本法人が安全に配布する