Knowledge Base

デジタルセキュリティの証明書業界では、パブリックな信頼されるルート証明書と中間CA証明書の運用・管理方法が変化しています。
これに伴い、オペレーティングシステムやブラウザのルートプログラム（Google Chrome、Apple、Mozilla、Microsoftなど）は、セキュリティとデジタル信頼性を
向上させるため、DigiCertなどの認証局（CA）に対し、多目的で利用されるルート階層から、用途ごとに分離された専用の単一目的ルート階層への移行を認証局に求めています。

デジタルトラストの向上を目的として、DigiCertは、パブリック証明書の発行に関する業界標準の進化に合わせて、DigiCertのルート証明書戦略を、進化する業界標準に
合わせて改訂します。

これらの業界の変化は、特にパブリックWebPKIを対象としており、以下のものには影響を与えません。:

• X9 PKI for TLS:
  これらの証明書は、標準的なWebPKI（ブラウザ）とは独立して運用されます。ルート証明書の更新については、コミュニティ主導の独自のスケジュールに従って
  おこなわれます。
  
• プライベート、政府機関およびその他の非ブラウザ向けルートストア:
  これらはDigiCertの公開ルートプログラムではなくユーザーによって管理されているため、特定のブラウザが義務付ける要件の影響を受けません。
   

ご対応いただきたいこと：

1. パブリック証明書（ルート証明書を含む）をピン留めしていないことを確認してください。
2. エンドエンティティ証明書のみではなく、常に完全な証明書チェーン（検証パス）をインストールしてください。

 

---

 

このぺージでカバーされる項目

• DigiCertのTLS証明書発行をG5 TLSルート階層へ移行
  • G5 TLSルート階層への移行による影響はありますか？
• サーバー認証EKUのみを含むパブリックTLS証明書への移行
  • 単一EKU証明書への移行による影響はありますか？
• DigiCert、G5 TLS 中間CA証明書の更新および年次中間CA証明書のローテーションの開始について
  • 中間CA 証明書の更新および新しいローテーションポリシーによる影響はありますか？
• 非ブラウザデバイス：ブラウザ信頼型 TLS 証明書に代わる選択肢の検討
• 中間CA証明書（ICA）およびクロスルート証明書の失効
  • 中間CA証明書およびクロスルート証明書の失効に影響よる影響はありますか？
• Mozilla と Google Chrome G1 Root CA の削除
  • G1 ルート CA 削除にによる影響はありますか？

 

---

 

DigiCertのTLS証明書発行をG5 TLSルート階層へ移行

開始日：2026年10月15日

2026年10月15日より、DigiCertは既定で DigiCert TLS RSA4096 Root G5 および DigiCert TLS ECC P384 Root G5 のルート階層からパブリックTLS証明書を
発行します。

この日以降に発行されるTLS証明書（新規、更新、再発行、複製を含む）は、既定でDigiCertの新しいG5パブリックTLSルート階層へチェーンされます。

この変更は、DigiCert®、GeoTrust®、Thawte®、RapidSSL®、Encryption Everywhere® を含むすべてのDigiCertブランドにわたる、DV、OV、EVを含むすべての
パブリックTLS証明書に適用されます。

なぜこの変更が行われるのですか？

Google Chrome Rootプログラムは、2027年9月15日より、Chromeルートストアにおける認証局のアクティブなTLSルートを最大2つに制限します。

この2ルート制限を適用するため、Chromeルートストアは2027年9月15日より、DigiCertの DigiCert TLS RSA4096 Root G5 および DigiCert TLS ECC P384 Root G5 階層のみをサポートします。

なぜDigiCertは2026年10月15日にG5ルート階層へ移行するのですか？

DigiCertが移行日として2026年10月15日を選択した理由は以下のとおりです：

• DigiCert TLS RSA4096 Root G5 および DigiCert TLS ECC P384 Root G5 階層から発行されたパブリックTLS証明書は、Google Chromeおよびその他の主要ブラウザによって引き続き信頼されます。
• DigiCertは、2026年10月15日からG5ルート階層への既定の移行を開始することで、今後予定されているブラウザのルートプログラム変更に先立ち、お客様が展開上または互換性上の問題を確認し、必要に応じて対応するための移行期間を確保します。証明書の発行ごとに、発行された証明書に対応するDigiCert提供の証明書チェーン（検証パス）をサーバー環境へ適用し、最新のブラウザを利用している一般的な環境では、現時点で証明書の再発行や設定変更を実施する必要はありません。

G5 TLSルート階層への移行による影響はありますか？

はい。この変更は、DigiCertのパブリックTLS証明書をご利用のすべてのお客様に適用されます。ただし、証明書の発行ごとに、発行された証明書に対応するDigiCert提供の完全な証明書チェーン（検証パス）をサーバー環境へ適用し、最新のブラウザを利用している一般的な環境では、現時点で証明書の再発行や設定変更を実施する必要はありません。

2026年10月15日以降に証明書を新規発行、更新、再発行、または複製した際は、発行された証明書とともにDigiCertから提供されるG5 TLSルート階層の完全な証明書チェーン（検証パス）をサーバー環境へ適用してください。

DigiCert Global Root G2（RSA）および DigiCert Global Root G3（ECC）のルート階層に依存するミッションクリティカルな依存関係がある場合は、アカウントマネージャーにお問い合わせください。

必要な対応について教えてください。

TLS証明書インストールのベストプラクティス（TLS証明書とともに発行元の中間CA証明書をインストールするなど）に従っている場合、ほとんどのケースで対応は不要です。

中間CA証明書は、TLS証明書を信頼されたルートに結びつけ、ブラウザ、オペレーティングシステム、およびアプリケーションが、サイトやアプリケーションを保護する証明書を信頼できるようにします。

2026年10月15日より、パブリックTLS証明書を新規発行、更新、再発行、または複製する際、DigiCertは既定でG5 TLSルート階層から発行します。

G5 TLSルート階層では、証明書の鍵タイプおよびブランドに応じて、ルート証明書、中間CA証明書およびG5クロス証明書が使用されます。G5 TLSルート階層で使用される主なルート証明書、中間CA証明書およびG5クロス証明書は、以下のとおりです。

【RSAの場合】

• ルートCA：DigiCert TLS RSA4096 Root G5
• 中間CA： DigiCert G5 TLS RSA4096 SHA384 2021 CA1 または GeoTrust G5 TLS RSA4096 SHA384 2022 CA1

【ECCの場合】

• ルートCA：DigiCert TLS ECC P384 Root G5
• 中間CA：DigiCert G5 TLS ECC SHA384 2021 CA1 または GeoTrust G5 TLS ECC P-384 SHA384 2022 CA1

【クロスルートを利用する場合】

• RSAの場合
  • G5クロス証明書の発行元ルートCA：DigiCert Global Root G2
  • G5クロス証明書：DigiCert Global G2 cross signed DigiCert TLS RSA 4096 Root G5
• ECCの場合
  • G5クロス証明書の発行元ルートCA：DigiCert Global Root G3
  • G5クロス証明書：DigiCert Global G3 cross signed DigiCert TLS ECC P384 Root G5

※G5クロス証明書は、G5 cross signed root certificatesからダウンロードできます。

 

証明書チェーン（検証パス）の例は、以下のとおりです。

• RSA証明書でG5ルート証明書を直接信頼する場合

サーバー証明書 ＞ G5 RSA中間CA証明書 ＞ DigiCert TLS RSA4096 Root G5

• RSA証明書でG2クロス証明書を利用する場合

サーバー証明書 ＞ G5 RSA中間CA証明書 ＞ DigiCert Global G2 cross signed DigiCert TLS RSA 4096 Root G5 ＞ DigiCert Global Root G2

• ECC証明書でG5ルート証明書を直接信頼する場合

サーバー証明書 ＞ G5 ECC中間CA証明書 ＞ DigiCert TLS ECC P384 Root G5

• ECC証明書でG3クロス証明書を利用する場合

サーバー証明書 ＞ G5 ECC中間CA証明書 ＞ DigiCert Global G3 cross signed DigiCert TLS ECC P384 Root G5 ＞ DigiCert Global Root G3

 

以下のユースケースでは、追加の対応が必要になる場合があります：

ユースケース	必要な対応
TLS証明書のみをインストールしている場合	DigiCertが提供する完全な証明書チェーン（検証パス）を常にインストールしてください。サーバー証明書、中間CA証明書、およびクロスルート証明書が含まれる場合があります。
トラストストアを管理している場合	管理しているトラストストアに、必要なG5ルート証明書および中間CA証明書を追加し、信頼を設定してください。
ルートまたは中間CA証明書をハードコード(固定登録)している場合	ルートまたは中間CA証明書ををハードコード(固定登録)しないでください。 CA証明書をハードコード(固定登録)するポリシーを削除してください。WebPKI環境（ブラウザなど）では、中間CAおよびルート証明書の定期的な更新が必要です。証明書の信頼をハードコードすると、暗号方式を柔軟に変更する能力（クリプトアジリティ）が制限され、サービス障害を引き起こす可能性があります。
ルートまたは中間CA証明書をピン留めしている場合	ルートまたは中間CA証明書をピン留めしないでください。 ピン留めを必要とするポリシーを削除してください。WebPKI環境（ブラウザなど）では、中間CAおよびルート証明書の定期的な更新が必要です。 ピン留めは暗号のアジリティを制限し、サービス障害を引き起こす可能性があります。 詳細については、ブログ記事「Stop Certificate Pinning」をご覧ください。

 

---

 

サーバー認証EKUのみを含むパブリックTLS証明書への移行

対応期限：2027年3月1日

2027年3月1日、DigiCertは、DigiCert Global G2ルート、DigiCert Global G3ルート、DigiCert TLS RSA4096 Root G5、および DigiCert TLS ECC P384 Root G5 にチェーンする
証明書から、クライアント認証（clientAuth）EKUを削除します。

業界標準の基準に合わせてパブリックTLS証明書発行時にクライアント認証（clientAuth）EKUの使用を制限するものです。

この変更は、DigiCertのすべてのパブリックTLS証明書: DV、OV、EV、EU Qualified Website Authentication Certificate（QWAC）、EU QWAC PSD2）と、 すべての
DigiCertブランド: DigiCert®, GeoTrust®, Thawte®, RapidSSL®,  Encryption Everywhere® に影響します。.

この変更が実施される理由を教えてください

Google Chrome Rootプログラムは、認証局(CA)に対し、パブリックTLS証明書にクライアント認証（clientAuth）EKUを含めることを停止するよう求めているからです。

単一EKU証明書への移行による影響はありますか？

• 標準的な Web サイトオーナー: ウェブサイト（HTTPS）のセキュリティ保護にTLS証明書のみを使用している場合は、特に対処いただく必要はありません。
  
• mTLS ユーザー: 相互TLS（mTLS）またはサーバー間認証にパブリックTLS証明書を使用している場合は対応が必要です。
  
  DigiCertは、すべてのパブリック証明書において拡張キー（EKU）のクライアント認証（clientAuth）の使用を停止することを推奨します。

DigiCertは、2027年3月1日以降もクライアント認証（clientAuth）EKUを必要とするお客様およびパートナー様向けに、オプションをご用意しています。

TLS証明書にクライアント認証（clientAuth）EKUが必要な場合	詳細
X9 PKI for TLS certificate	複数の組織が関わるコミュニケーションを安全に行うには、DigiCertのTLS証明書向けX9 PKIへの移行をご検討ください。TLS証明書向けX9 PKIは、クライアント認証とサーバー認証の両方の拡張キー（EKU）に対応しています。   X9 PKI for TLSに関してはこちらをご参照下さい。
Private Trust	社内業務のみを対象としたプライベートPKIサービスへの移行。   プライベート PKIに関してはこちらをご参照ください。
既存のDigiCertルート	ブラウザ以外の環境でも利用できることが求められる場合は、既存のDigiCertルート階層を使用して、clientAuth拡張キー使用法（EKU）を含む TLS証明書を発行する必要があります。 使用可能なルート階層: DigiCert Assured ID Root G2 (RSA) DigiCert Assured ID Root G3 (ECC) ただし、これらの証明書はGoogle ChromeやMozilla Firefoxでは信頼されません。

 

---

 

DigiCert、G5 TLS 中間CA証明書の更新および年次中間CA証明書のローテーションの
開始について

開始日：2027年10月15日

DigiCert は、TLS 中間CA証明書のローテーションポリシーを更新します。2027年10月15日より、DigiCert は TLS 中間CA証明書を約365日ごとにローテーションします。

2027年10月15日より：

• DigiCert は、既定で新しい TLS G5 RSA および G5 ECC 中間CA証明書からパブリック TLS 証明書を発行します。
• DigiCert は、パブリック TLS 中間CA証明書を約365日ごとに更新します。
• 既定では、この日以降に発行される TLS 証明書（新規、更新、再発行、複製を含む）は、新しい G5 中間CA証明書から発行されます。

この変更は、DigiCert®、GeoTrust®、Thawte®、RapidSSL®、Encryption Everywhere® のすべての DigiCert ブランドにわたる、DV、OV、EV を含むすべてのパブリック TLS 証明書に適用されます。

なぜこの変更が行われるのですか？

この変更は、Google Chrome Rootプログラムが推進する、より頻繁な中間CA ローテーションモデルへの移行に対応するものです。中間CA証明書 のローテーション頻度を高めることで、暗号のアジリティが向上し、特定の中間CA証明書 への長期的な依存を低減できます。

中間CA 証明書の更新および新しいローテーションポリシーによる影響はありますか？

はい。この変更は、2027年10月15日に更新される G5 中間CA証明書から発行されたパブリック DV、OV、EV、QWAC、および QWAC PSD2 証明書を使用するすべての DigiCert のお客様に適用されます。ただし、DigiCertが提供する証明書チェーン（検証パス）を常にインストールしている場合、通常はお客様側での対応は必要ありません。

2027年10月15日より、新規・再発行・複製のパブリック TLS 証明書は、既定で新しい G5 TLS ICA 証明書から発行されます。

必要な対応について教えてください。

TLS 証明書のインストールのベストプラクティス（発行元の中間CA証明書を TLS 証明書とともにインストールするなど）に従っている場合、ほとんどのケースで対応は
不要です。

中間CA証明書は、TLS 証明書を信頼されたルートに結びつけ、ブラウザ、オペレーティングシステム、およびアプリケーションがお客様のサイトやアプリケーションを
保護する証明書を信頼できるようにします。

2027年10月15日より、パブリック TLS 証明書を新規・更新・再発行・複製する際、DigiCert は既定で新しい G5 TLS 中間CA証明書から発行します。

以下のシナリオでは、追加の対応が必要になる場合があります：

ユースケース	必要な対応
TLS 証明書のみをインストールしている場合	DigiCert が提供する完全な証明書チェーン（検証パス）を必ずインストールしてください。これには、サーバー証明書、中間CA証明書、およびクロスルート証明書が 含まれる場合があります。
トラストストアを管理している場合	新しい G5 中間CA証明書を追加し、信頼済みとして設定してください。
中間CA証明書の信頼をハードコードしている場合	中間CA証明書またはルート証明書の信頼をハードコードしないでください。 CA 証明書の信頼をハードコードするポリシーを削除してください。WebPKI 環境（ブラウザなど）では、中間CA証明書およびルート証明書の定期的な 更新が必要です。 証明書の信頼をハードコードすると、暗号のクリプトアジリティが損なわれ、サービス障害が発生する可能性があります。
中間CA証明書をピン留めしている場合	中間CA証明書またはルート証明書をピン留めしないでください。 ピン留めを必要とするポリシーを削除してください。WebPKI 環境（ブラウザなど）では、中間CA証明書およびルート証明書の定期的な更新が 必要です。ピン留めは暗号のアジリティを損ない、サービス障害を引き起こす可能性があります。 ブログ記事「Stop Certificate Pinning（証明書のピン留めをやめる）」もご参照ください。

 

---

 

非ブラウザデバイス：ブラウザ信頼型 TLS 証明書に代わる選択肢の検討

非ブラウザデバイスの場合、パブリックTLS TLS 証明書は必須ではない場合があります。このような環境では、通信は通常、ブラウザとパブリック Web サイト間
ではなく、デバイスとサーバー間で行われます。

デバイスが相互 TLS（mTLS）、サーバー間認証、API、またはその他の非ブラウザ認証ユースケースに TLS 証明書を使用している場合、DigiCert はこれらのユースケースをパブリック TLS 証明書から移行することを推奨します。これにより、パブリック TLS 業界要件およびブラウザ主導の変更への依存を低減できます。

代わりに以下の選択肢をご検討ください：

TLS 向け X9 PKI

複数の組織間の通信を保護するために、DigiCert の X9 PKI による TLS 証明書への移行をご検討ください。ASC X9 PKI ポリシーおよびオペレーションチームが管理する
X9 PKI は、ブラウザとは無関係の独立した証明書ポリシーですが、共通の信頼のルートを使用することで相互運用性を確保しています。

TLS 向け X9 PKI 証明書は、クライアント認証とサーバー認証の両方の EKU を持つことができ、暗号化、アイデンティティ、クロス認証機能を備えた制御・セキュリティ・柔軟性・スケーラビリティに関する今日の独自のニーズに対応します。X9 PKI の詳細を確認し、コンサルテーションをスケジュールする。

プライベートトラスト

厳密に社内向けのビジネスニーズには、サービスとしてのプライベート PKI への移行をご検討ください。DigiCert は、セキュリティへの運用上の専門知識と投資を
活用して、お客様の組織向けにプライベート PKI を構成・運用できます。詳細はこちら。

非ブラウザ向けパブリックトラスト

非ブラウザのユビキティを必要とするビジネスニーズには、既存の DigiCert ルート階層への移行をご検討ください。以下の DigiCert ルート階層を使用して、clientAuth EKU を含む TLS 証明書を発行できます：

• DigiCert Assured ID Root G2（RSA）
• DigiCert Assured ID Root G3（ECC）

これらの階層から発行された TLS 証明書は、Google Chrome または Mozilla Firefox では信頼されません。このオプションがお客様に適しているかどうかについては、
アカウント担当者にお問い合わせください。

 

---

 

中間CA証明書およびクロスルート証明書の失効

対応期限：2026年5月15日

DigiCertは、2026年5月15日に、複数のG2およびG3中間CA証明書と2つのG5クロスルート証明書を失効させる予定です。

失効が実施される理由を教えてください?

Google Chrome Rootプログラムでは、認証局（CA）がパブリックTLS証明書を発行するために専用のTLSルート階層を使用することが求められています。
DigiCertは、G2およびG3 TLSルート階層を、パブリックRSAおよびECC TLS証明書の発行専用の単一目的ルート階層に移行するために、S/MIMEやコードサイニングなどの
非TLS証明書の発行に使用されていた複数のG2およびG3 ICA証明書を失効させる必要があります。
またコードサイニング証明書のクロス ルート証明書も失効させる必要があります。
 多目的G2およびG3ルートから専用のTLSルート階層への移行についてはこちらをご参照下さい。

追加で失効される証明書

TLS 中間CA 証明書と、EKU を含まない TLSクロスルート証明書も失効させる必要があります。Google Chrome のポリシーでは、CA は 中間CA 証明書と
クロスルート証明書にサーバー認証 (serverAuth) とオプションでクライアント認証 (clientAuth) の EKU のみを含めるように要求しています。

どの中間CA証明書とクロスルート証明書が失効されるかを確認する:

• 失効するG2およびG3 階層の中間CA証明書と、影響を受けるエンド・エンティティ証明書
• 失効するG5 階層のクロスルート証明書と、その影響を受けるエンド・エンティティ証明書

中間CA証明書およびクロスルート証明書の失効に影響よる影響はありますか？

• 中間CA証明書の失効: 失効の影響を受けるのは、失効対象となるG2およびG3 中間CA証明書のいずれかによって発行された有効な証明書を所有している場合
  のみです。
  
• クロスルート証明書の失効: 失効による影響を受けるのは、G5 TLSおよびコードサイニングルート階層から発行された有効な証明書を保有し、なおかつ
  失効対象となるクロスルート証明書のいずれかを証明書トラストチェーンにインストールしている場合のみです。

ご対応いただきたいこと

対象となる証明書	必要な対応
失効された中間CA証明書から発行された証明書をご使用の場合	期限前に新しい中間CA証明書に切り替え、必要に応じて証明書を再発行または更新してください。これにより、失効後に発生する以下の問題を回避できます。: 証明書の秘密鍵の漏洩なのか、それとも別のセキュリティ上の問題が影響しているのか、判断ができなくなる。 証明書ソフトウェアが証明書の検証に失敗し、エンドエンティティ証明書を信頼できないと判断する場合がある。
トラストチェーンにG5クロスルートを含む証明書	期限までに、エンドエンティティ証明書のトラストチェーンにあるクロスルート証明書を更新版に置き換えてください。 これにより、証明書の代替チェーン（検証パス）に必要な信頼性を引き続き確保できます。
証明書失効に備えるため、以下の情報をご参照ください: G2 および G3 階層の中間CA証明書の失効に備えていただきたいこと G5階層の クロスルート証明書の失効に備えて行っていただきたいこと

 

---

 

Mozilla と Google Chrome G1 Root の削除

対応期限：2026年4月15日

2026年4月15日、MozillaおよびGoogle Chromeは、DigiCertのG1ルート認証局を、それぞれのルートストアから削除しました。

背景

G1 Root CAの削除による影響を最小限に抑えるため、DigiCertは2023年3月8日に、既定のパブリックTLS証明書の発行を第2世代（G2）階層に移行しました。
こちらをご参照ください。： 2023年 DigiCert ルートおよび中間CA証明書の更新に関するご案内

一部のお客様は、G2階層への移行前にデバイスのアップデートが必要となる場合があります。DigiCertは、例外的に、お客様が引き続きG1階層からTLS証明書を
発行することを許可する場合があります。しかし、これらの証明書は、2026年4月15日以降、Google ChromeおよびMozilla Firefoxでは信頼されなくなります。
 

G1 ルート CA 削除にによる影響はありますか？

ほとんどのお客様は既にG2階層に移行済みのため、その場合は対応は不要です。影響を受ける可能性があるのは、以下の条件を満たすお客様のみです。:

1. G1ルートCAから発行された有効なTLS証明書をお持ちの場合.
2. 証明書がGoogle ChromeまたはMozilla Firefoxで信頼される必要がある場合。.

 

ご対応いただきたいこと

TLS証明書の有効期限	必要な対応
2026年 4月 15日以降	再発行または更新が必要：ブラウザ上で"Untrusted"という警告が表示されないように、期限前にDigiCert G2またはG3階層を使用してTLS証明書を再発行または 更新してください。
2026年 4月 14日以前	ご対応の必要はありません。：次回の更新時に、自動的にサポートされているG2またはG3階層に移行されます。G1Root CAを使用して証明書を更新することは できません。