Knowledge Base

Chrome Root Program Policy Version 1.8では、認証局が Chrome Root Programで利用できるTLSルートを2つに削減することが 求められています。DigiCertは、ブラウザから信頼される パブリックTLSの発行を、次の2つのG5ルートへ集約します。

• DigiCert TLS RSA4096 Root G5
• DigiCert TLS ECC P384 Root G5

この対応として、2026年10月15日にパブリックTLSの デフォルトで発行する階層をG2／G3からG5へ変更します。背景については、 DigiCertのルート証明書戦略：新たな業界基準への対応 を参照してください。

はい。2026年10月15日より前に発行された証明書は、失効されない限り、 証明書に設定された有効期限まで使用できます。 デフォルトの発行階層の変更によって直ちに失効することはありません。

ただし、証明書の有効期間と、ブラウザやOSによる信頼期間は 同じ意味ではありません。クライアントが信頼するルート、固定された証明書チェーン、 ピンニングおよび独自トラストストアの設定によっては、 ChromeによるG2／G3サポート終了前にG5対応が必要です。

2027年9月15日までの削除期限を公表しているのはChromeです。 Appleは同等の期限を公表していません。 Mozillaについては、従来のRoot CA Lifecycle情報として DigiCert Global Root G2のTLS信頼停止日が2029年4月15日とされていますが、 Chromeと同じ2027年9月の期限ではありません。

他のルートプログラムも今後方針を変更する可能性があるため、 Chrome以外の利用環境についても継続的に確認してください。

中間CA証明書（ICA）を明示的に選択していない場合は、デフォルトのG5ルート階層から 再発行されます。特定の契約形態でICA選択機能が有効なアカウントでは、許可された G2、G3、またはG5のICAを選択できます。利用条件と設定方法については、 DigiCert G5ルートへの移行および中間CA証明書の選択ガイドの 「中間CA証明書チェーンの選択」 を参照してください。

G5ルートを信頼している最新のブラウザ、OS、およびアプリケーションでは、通常は 必須ではありません。G5ルートを信頼していない古いOS、アプリケーション、デバイス、 閉域環境、または独自トラストストアとの互換性が必要な場合に使用します。

いいえ。クロスルート証明書の有効期限は、2036年3月30日まですべてのブラウザやOSにおける信頼や提供が保証されることを意味しません。現時点で、クロスルート証明書の提供終了日は未定です。具体的な提供終了日は続報をお待ちください。

ルートストアの方針、クロスルート証明書の提供状況、およびクライアント側のチェーン構築によって、利用可否が異なる場合があります。Global G2／G3ルートの 移行日程については、DigiCert G5ルートへの移行および中間CA証明書の選択ガイドを参照してください。

いいえ。ルート名の「RSA4096」は、 DigiCert TLS RSA4096 Root G5の公開鍵がRSA 4096ビットであることを示します。 サーバー証明書の鍵長が4096ビットへ強制的に変更されるわけではなく、 CSRをRSA 4096ビットで生成しなければならないという意味でもありません。

サーバー証明書の公開鍵は、申請時に提出するCSRの鍵タイプと鍵長に基づきます。 RSAのCSRを使用した場合はRSAのG5チェーン、 ECCのCSRを使用した場合はECCのG5チェーンから発行されます。 利用する製品の要件を満たす鍵タイプと鍵長でCSRを生成してください。

移行前に証明書チェーンの構築をテストし、 固定している中間CA証明書やピンニングしているルート証明書がある場合は 設定を見直してください。

ACMEクライアントと導入先プラットフォームの組み合わせによって異なります。 次の点を実際の利用環境で確認してください。

• 代替チェーンの選択に対応しているか
• fullchainに必要なCA証明書が含まれているか
• 正しい順序でサーバーへ設定されるか
• 自動更新後も必要なチェーンが設定されるか
• 接続元がチェーンの接続先となるルートを信頼しているか

ACMEディレクトリURLにおけるICAの選択とデフォルト動作については、 DigiCert G5ルートへの移行および中間CA証明書の選択ガイドの 「ACMEディレクトリURL」 を参照してください。

次のデモサイトで確認できます。

• RSA：https://digicert-tls-rsa4096-root-g5.chain-demos.digicert.com
• ECC：https://digicert-tls-ecc-p384-root-g5.chain-demos.digicert.com

独自トラストストアを使用する環境では、実際の接続元から個別に確認してください。

APIクライアント、サーバー間通信、組み込み機器などから、G5配下のTLS証明書を使用するサーバーへ接続する場合、接続元のトラストストアにG5ルートが含まれておらず、かつG2／G3ルートへのクロス署名パスも検証できないと、TLS接続に失敗する可能性があります。

OS、Javaのcacerts、アプリケーション固有のCAバンドル、コンテナイメージ、ネットワーク機器など、接続元が実際に参照するトラストストアを確認し、必要に応じて次のG5ルート証明書を追加してください。

• DigiCert TLS RSA4096 Root G5
• DigiCert TLS ECC P384 Root G5

G5ルートを追加できない環境では、接続元がG2／G3ルートを信頼していることを確認したうえで、G2／G3ルートへ接続するクロスルート証明書を含む証明書チェーンをサーバーへ設定する方法があります。

また、閉域環境、社内システム、API通信、サーバー間通信など、ブラウザによる公開信頼が不要な環境では、用途や要件に応じて、プライベート証明書（Private Trust）またはX9 PKI for TLSへの移行もご検討ください。

これらは公開WebPKIとは異なる信頼モデルで運用されるため、ブラウザやルートプログラムの要件に伴うルート証明書および中間CA証明書の変更による影響を受けにくく、非ブラウザ環境に適した証明書運用が可能です。プライベート証明書（Private Trust）またはX9 PKI for TLSのご検討、ご相談については、アカウントマネージャー（営業窓口）までご連絡ください。

2026年10月15日のG5移行は、DigiCertが発行するパブリックTLS証明書のデフォルトの発行階層に関する変更です。CertCentral APIを利用していることだけを理由に、2026年10月15日から直ちにAPIへ接続できなくなることを意味するものではありません。

ただし、CertCentralが提示するTLS証明書チェーンをAPIクライアントのトラストストアで検証できない場合は、TLSセッションの確立に失敗します。OS、Java、アプリケーション固有のCAバンドルなどを適切に更新し、CertCentralが提示する証明書チェーンを信頼できる状態にしてください。