Knowledge Base

変更内容

• 2026年10月19日〜11月30日: DigiCertはドメインごとのリモートMPICエージェント数を、最大6つの固有エージェント（現在は4つ）に引き上げます。
• 2026年12月1日:  DigiCertはCA/Browser ForumのMPIC要件の次なる段階を適用し、少なくとも2つの地域インターネットレジストリ（RIR）地域にまたがる6つのリモートネットワーク拠点を採用します。この適用は、2026年12月15日の期限に先立って実施されます。CA/Browser Forumによる裏付け確認（Corroboration）詳細は以下の「CA/Browser Forum による裏付け要件」を参照してください。

影響

MPIC は、複数のリモートネットワークロケーションからドメイン利用権（DCV）を確認し、認証局承認（CAA）チェックを実行します。次の条件にあてはまる場合、ドメイン認証または証明書の発行が失敗することがあります。

• ドメイン認証に使用される DNS 応答が、権威ネームサーバー間で一致していない場合。
• HTTP 検証の結果がネットワークロケーション間で異なる場合。
• 許可リスト、地域制限、DNS クエリ制限などのネットワーク制御により、MPIC エージェントがお客様のウェブサイトまたは DNS インフラストラクチャにアクセスできない場合。
• DNS CAA レコードの応答がネットワークロケーション間で一致していない場合。

目次

• 必要な対応
  • 許可リストの更新
  • DNS レコード応答の確認
  • MPIC 検証問題のトラブルシューティング
• 裏付け（Corroboration）とは
• MPIC の仕組み
• CA/Browser Forum による裏付け要件

必要な対応

お客様の環境で、MPIC通信を制限または遮断する可能性のある設定がないか確認してください。DNSクエリやウェブサイトへの通信を制限するネットワーク制御を使用していない場合、対応は不要です。
 

許可リストの更新

IP アドレス、地域、クエリ数、またはレートによって DNS クエリやウェブサイトトラフィックを制限している場合は、設定を見直し、MPIC トラフィックがブロックされないことを確認してください。

これらのネットワーク制御は以下に影響を与える可能性があります：

• CAA チェック: デジサートが証明書を発行できるように CAA チェックを完了するには、MPIC エージェントが証明書に含まれるすべてのドメインについて、お客様の DNS ネームサーバーから一貫した CAA レコード応答を受信する必要があります。
• DNS ベースの DCV 方式: ドメイン検証を完了するには、MPIC エージェントが DNS ネームサーバーから一貫した DCV 方式の応答を受信する必要があります。
• HTTP 実践デモンストレーションの DCV 方式: ドメイン検証を完了するには、MPIC エージェントがドメイン検証ファイルが配置されているお客様のウェブサイトにアクセスでき、一貫した応答を返す必要があります。
   

HTTP実践デモンストレーション/ファイル認証

HTTP実践デモンストレーション/ファイル認証 を利用しており、トラフィックを制限している場合は、次のいずれかの対応を行ってください。

• デジサートの User-Agent 文字列（推奨）: DigiCert DCV/1.1 と DigiCert DCV Bot/1.1 の両方を許可リストに追加します。
  （注: User-Agent は、HTTP実践デモンストレーション/ファイル認証 のDCV方式を実行するDigiCertのソフトウェアを識別するリクエストヘッダーです。）
• MPIC エージェントの IP アドレス: すべての MPIC エージェントの IP アドレスを許可リストに追加します。
   

DNS ベースの検証および CAA チェック

DNS インフラストラクチャが IP アドレスによってクエリを制限している場合は、すべての MPIC エージェントの IP アドレス を許可してください。次の表は、MPIC エージェントの IP アドレスと各 IP アドレスが有効になる日付を示しています。
 

MPIC エージェントの IP アドレス

DNSレコードアクセスの確認

DNS レコードにアクセス可能であり、複数のネットワークロケーションから一貫した応答が返されることを確認します。

以下を確認してください：

• DNS CAA レコード
• DNS TXT レコード
• DNS CNAME レコード
• Email to DNS TXT contact に使用される DNS レコード
• Email to CAA contact に使用される DNS CAA レコード

また、以下も確認してください：

• すべての権威ネームサーバーが一貫した応答を返すこと。
• DNS の伝播（プロパゲーション）が完了していること。
• TTL 値がタイムリーな更新を可能にしていること。
• DNS クエリ制限や地域制限によって、MPIC がお客様の DNS インフラストラクチャに到達できない状態になっていないこと。

MPICに関する問題のトラブルシューティング

ドメイン検証または証明書の発行に失敗した場合：

1. 許可リストや地域制限によって MPIC リクエストがブロックされていないことを確認します。
2. DNS クエリ制限によって MPIC ルックアップが妨げられていないことを確認します。
3. 権威ネームサーバーが一貫した DNS 応答を返していることを確認します。
4. HTTP 検証ファイルに複数のネットワークロケーションからアクセス可能であることを確認します。
5. CAA レコードが複数のネットワークロケーションから一貫した応答を返していることを確認します。

必要に応じて、DNS プロバイダーに連絡し、DNS インフラストラクチャに複数のネットワークロケーションからアクセス可能であることを確認してください。

裏付け確認(Corroboration)とは

裏付け確認（Corroboration）とは、DigiCertがドメインの認証や証明書の発行を行う前に、複数の独立したネットワーク拠点から情報を確認し、その正当性を検証する仕組みです。

• ドメイン利用権確認（DCV）: 複数のネットワーク拠点から取得した認証データを比較します。
• 認証局承認（CAA）: 複数のネットワーク拠点から取得した CAA 情報を比較します。

この冗長性により、単一のネットワーク拠点からデジサートが誤ったドメイン認証情報や CAA 情報を受信する原因となるセキュリティ脅威から保護します。複数のネットワーク拠点からの結果を比較することで、デジサートはドメインの認証や証明書の発行を行う前に不一致を検出できます。

MPIC の仕組み

ドメイン利用権確認（DCV）

デジサートはプライマリネットワークから標準のドメイン認証チェックを実行します。その後、複数のリモートネットワークパースペクティブからチェックを繰り返します。

MPIC ドメイン認証プロセスは、ドメイン名または IP アドレスを含む以下の証明書タイプに影響します：

• TLS
• セキュアメール (S/MIME)
• Verified Mark / Common Mark
• 適格ウェブサイト認証証明書 (QWAC) / QWAC PSD2
• PKIO Private Services Server
• X9 PKI for TLS

裏付け確認の要件は、以下の各DCV方式に適応されます：

• Persistent DNS TXT Record
• DNS TXT レコード
• DNS CNAME レコード
• Email to DNS TXT contact
• Email to CAA contact
• HTTP実践デモンストレーション（IPアドレス認証を行う唯一の方式）
• ユニークなファイル名を使用したHTTP実践デモンストレーション/ファイル認証
• ACME HTTP-01
• ACME DNS-01
   

DNS 認証局承認（CAA）

MPIC は DNS CAA レコードにも適用されます。証明書を発行する前に、デジサートはプライマリネットワークから標準の CAA レコードチェックを実行し、複数のリモートネットワーク拠点からチェックを繰り返します。

MPIC CAA チェックは、以下のタイプのパブリック証明書に影響します：

• TLS
• QWAC(適格 Web 認証証明書) / QWAC PSD2
• セキュアメール (S/MIME)

CA/Browser Forum による裏付け確認の要件

CA/Browser Forum の MPIC 要件では、認証局（CA）が使用しなければならないリモートネットワーク拠点の最小数やその地理的分布を含む、段階的な展開スケジュールが定義されています。

2026年12月より、DigiCertは6つのリモートネットワーク拠点を使用します。CA/Browser Forumの定足数要件では、6つ以上の拠点を使用する場合、最大2拠点で検証結果の一致しない場合でも、要件を満たすことができます。
 

段階的な導入スケジュール

定足数（Quorum）要件