Knowledge Base

Chrome Root Program Policy Version 1.8では、認証局が Chrome Root Programで利用できるTLSルートを2つに削減することが 求められています。DigiCertは、ブラウザから信頼される パブリックTLSの発行を、次の2つのG5ルートへ集約します。

• DigiCert TLS RSA4096 Root G5
• DigiCert TLS ECC P384 Root G5

この対応として、2026年10月15日にパブリックTLSの 既定発行階層をG2／G3からG5へ変更します。

はい。既に発行済みの証明書は、失効されない限り、 証明書に設定された有効期限まで使用できます。 既定発行階層の変更によって直ちに失効することはありません。

ただし、クライアントが信頼するルート、固定された証明書チェーン、 ピンニングおよび独自トラストストアの設定によっては、 ChromeによるG2／G3サポート終了前にG5対応が必要です。

2027年9月15日までの削除期限を公表しているのはChromeです。 Appleは同等の期限を公表していません。 Mozillaについては、従来のRoot CA Lifecycle情報として DigiCert Global Root G2のTLS信頼停止日が2029年4月15日とされていますが、 Chromeと同じ2027年9月の期限ではありません。

他のルートプログラムも今後方針を変更する可能性があるため、 Chrome以外の利用環境についても継続的に確認してください。

ICAを明示指定しない場合は、原則としてG5配下から再発行され、 中間CA証明書もG5配下のものへ変更されます。

G2／G3配下からの直接発行終了後にG2／G3ルートとの互換性が必要な場合は、 G5配下から証明書を発行し、G2／G3へ接続するクロス署名パスを利用します。

ACMEクライアントと導入先プラットフォームの組み合わせに依存します。 CA側でクロス署名証明書を提供していても、代替チェーンの選択や 複数のCA証明書の自動設定に対応していない場合があります。

• 代替チェーンの選択に対応しているか
• fullchainに必要なCA証明書が含まれているか
• 正しい順序でサーバーへ設定されるか
• 自動更新後も同じチェーンが設定されるか
• 接続元がチェーンの接続先となるルートを信頼しているか

上記を実際の利用環境で確認してください。

いいえ。ルート名の「RSA4096」は、 DigiCert TLS RSA4096 Root G5の公開鍵がRSA 4096ビットであることを示します。 サーバー証明書の鍵長が4096ビットへ強制的に変更されるわけではなく、 CSRをRSA 4096ビットで生成しなければならないという意味でもありません。

サーバー証明書の公開鍵は、申請時に提出するCSRの鍵タイプと鍵長に基づきます。 RSAのCSRを使用した場合はRSAのG5チェーン、 ECCのCSRを使用した場合はECCのG5チェーンから発行されます。 利用する製品の要件を満たす鍵タイプと鍵長でCSRを生成してください。

移行前に証明書チェーンの構築をテストし、 固定している中間CA証明書やピンニングしているルート証明書がある場合は 設定を見直してください。

G5ルートを直接信頼する場合は、 「サーバー証明書 → G5配下の中間CA → G5ルート」 の検証パスを使用します。

従来のG2／G3ルートへ接続する場合は、 「サーバー証明書 → G5配下の中間CA → G2／G3でクロス署名されたG5証明書 → G2／G3ルート」 の検証パスを使用します。

G5自己署名ルートとG2／G3でクロス署名されたG5証明書は、 同じG5公開鍵に対する異なる信頼パスを提供します。 実際のダウンロードバンドルは、証明書発行時に提供されたファイルを確認してください。

いいえ。クロス署名証明書の有効期限は、2036年まで信頼や 提供が保証されることを意味しません。

ブラウザやOSのRoot Store方針、クロス署名証明書の提供状況、 クライアント側のチェーン構築および独自トラストストアの設定も影響します。 Chromeでは2027年9月15日までにG2／G3 TLSルートの サポートを終了する予定です。

G5ルートを信頼している最新のブラウザ、OSおよびアプリケーションでは、 通常は必須ではありません。

G5ルートを信頼していない古いOS、アプリケーション、デバイス、 閉域環境または独自トラストストアとの互換性が必要な場合に利用します。 実際の接続元環境で検証してください。

次のデモサイトで確認できます。

• RSA： https://digicert-tls-rsa4096-root-g5.chain-demos.digicert.com
• ECC： https://digicert-tls-ecc-p384-root-g5.chain-demos.digicert.com

主な対応開始環境の例は、Windows XP SP3 （Automatic Root Update経由）、Firefox 103.0.2／NSS 3.80、 Chrome Root Store 17（Chrome 105以降）、Android 14、 iOS／iPadOS 18、macOS 15、Java SE 17.0.10以降です。 独自トラストストアを利用する環境は個別に確認してください。

APIクライアント、サーバー間通信、組み込み機器などが、G5配下のTLS証明書を使用するサーバーへ接続する場合、クライアントが参照するトラストストアにG5ルートが含まれておらず、G2／G3へのクロス署名パスも検証できないと、TLSセッションの確立に失敗する可能性があります。
OS、Javaのcacerts、アプリケーション固有のCAバンドル、コンテナイメージ、ネットワーク機器など、実際に参照されるトラストストアを確認し、必要に応じて以下のG5ルート証明書を追加してください。

・DigiCert TLS RSA4096 Root G5
・DigiCert TLS ECC P384 Root G5

G5ルートを追加できない環境では、接続元がG2／G3ルートを信頼していることを確認したうえで、G2／G3へのクロス署名証明書を含む証明書チェーンをサーバーへ設定する方法があります。

また、閉域環境、社内システム、API通信、サーバー間通信など、ブラウザによる公開信頼が不要な環境では、プライベート証明書（Private Trust）またはX9 PKI for TLSへの移行もご検討ください。これらは公開WebPKIとは異なる信頼モデルで運用されるため、ブラウザやルートプログラムの要件に伴うルート証明書および中間CA証明書の変更による影響を受けにくく、非ブラウザ環境に適した証明書運用が可能です。プライベート証明書（Private Trust）またはX9 PKI for TLSのご検討、ご相談については、アカウントマネージャー（営業窓口）までご連絡ください。

2026年10月15日のG5移行は、DigiCertが発行するパブリックTLS証明書の既定発行階層に関する変更です。CertCentral APIを利用していることだけを理由に、同日から直ちにAPIへ接続できなくなることを意味するものではありません。

ただし、CertCentralが提示するTLS証明書チェーンをAPIクライアントのトラストストアで検証できない場合は、TLSセッションの確立に失敗します。OS、Java、アプリケーション固有のCAバンドルなどを適切に更新し、CertCentralが提示する証明書チェーンを信頼できる状態にしてください。