2026年10月15日より、デジサートはデフォルトのパブリック TLS 発行階層を、従来の DigiCert Global G2 および G3 ルート階層から、専用の
DigiCert G5 TLS ルート階層に変更します。

本記事は、2026年10月15日以降も、現在デフォルトで使用されているDigiCert Global G2／G3 TLSルート階層を必要とするお客様を対象としています。

2026年10月15日に変更される内容と変更されない内容、Global G2／G3ルートの移行スケジュール、およびCertCentral、CertCentral Services API、ACME、サードパーティー連携で発行元の中間CA証明書（ICA）を指定する方法について説明します。

2026年10月15日の変更点

2026年10月15日、デジサートは、パブリックWeb PKI TLS証明書のデフォルトの証明書チェーン（階層）をG5 TLSルート階層へ変更します。CertCentralでは、中間CA証明書（ICA）が明示的に選択されていない場合、新規発行、更新、再発行および複製の証明書を、デフォルトで該当するG5 TLSルート階層から発行します。

CertCentral Global - デフォルトの G5 ICA

CertCentralのG5クロス署名ルート証明書

DigiCertは2021年から、Microsoftを含む各種トラストストアへのG5 TLSルート証明書の追加を進めてきました。その後もG5ルート証明書を収録するトラストストアは増え続けています。ただし、お客様が使用するすべてのブラウザ、OS、アプリケーションにG5ルート証明書が収録されていることを保証することはできません。

接続元のトラストストアにG5ルート証明書が収録されていない場合でも、DigiCert G5ルート階層から発行されたTLS証明書が信頼されるようにするには、サーバーの証明書チェーンにクロス署名ルート証明書を設定します。これはサーバー側で行う設定であり、Webサイトの利用者による操作は必要ありません。クロス署名ルート証明書は、DigiCert Trusted Root Authority Certificates を参照のうえ取得してください。

通常は、RSA証明書には以下のG2クロス署名ルート、ECC証明書にはG3クロス署名ルートの使用を推奨します。G1クロス署名ルートは、G1ルートへの信頼を必要とする特定の旧環境をサポートする場合にのみ使用してください。このクロスルート証明書の提供終了日は未定です。

RSA TLS証明書用G2クロス署名ルート

G5 RSA ICA＋G2クロス署名ルート：新旧を問わず、ほぼすべてのブラウザおよびOSで利用できます。

ECC TLS証明書用G3クロス署名ルート

G5 ECC ICA＋G3クロス署名ルート：新旧を問わず、ほぼすべてのブラウザおよびOSで利用できます。

RSA TLS証明書用G1クロス署名ルート

G5 RSA ICA＋G1クロス署名ルート：限定的なレガシー環境向け。G1ルートへの信頼を必要とする特定の旧環境で使用します。一般的な後方互換性への対応には通常必要ありません。そのような環境の多くは、G2クロス署名ルートで対応できます。

G5ルート階層へ移行する準備ができていない場合はどうすればよいですか？

G2／G3ルートとの互換性のみが必要な場合は、G5ルート階層から証明書を発行し、G2／G3ルートへ接続するクロスルート証明書を使用できます。この場合、サーバー証明書の発行元はG5中間CAとなります。

G2／G3中間CAからの直接発行が必要な場合は、特定の契約形態で、中間CA証明書（ICA）選択機能が有効なアカウントに限り、2026年10月15日以降もG2／G3中間CAを選択できます。

現時点では、対象アカウントでG2／G3中間CAを選択するための個別の例外承認の申請は必要ありません。本機能は、すべてのアカウントで利用できるものではありません。詳細については、下記「中間CA証明書チェーンの選択」を参照してください。

なお、G5ルート階層が今後の標準となるため、移行期間中にG2／G3ルート階層への依存を確認し、G5への移行を進めてください。

G2 および G3 ルートの移行タイムライン

2026年10月15日以降もGlobal G2／G3ルート階層からの証明書発行を継続する場合、TLS証明書の有効期間は短縮されます。当該階層から発行される証明書の有効期限は、2027年9月14日23時59分（UTC）〔2027年9月15日午前8時59分（日本時間／JST）〕を超えないように設定されます。

主な移行日程は、以下の表を参照してください。

中間CA証明書チェーンの選択

中間CA証明書（ICA）の選択機能は、例外対応とするアカウントに限り利用できます。この機能を利用すると、対応するパブリックDV、OV、EV TLS証明書について、申請時に発行元のICAを選択できるほか、製品ごとにデフォルトのICAを設定したり、Services APIでICAを明示的に指定することが可能となります。

中間CA証明書選択機能が有効になっていない場合

お客様のアカウントでG5ルート階層への移行準備期間中も、G2／G3中間CAからの直接発行を継続する必要がある場合は、アカウントマネージャー（営業窓口）またはDigiCertサポートへお問い合わせください。利用可否は、契約形態およびアカウント設定によって異なります。

• アカウントでICA選択機能が有効になると、パブリックTLS証明書の申請画面に新しいメニューオプション「中間チェーン [中間CA] > [ルートCA]」が追加
  されます。
• ICA選択機能を有効にしても、それだけでは現在デフォルトとなっている発行用中間CA証明書は変更されません。
• CertCentralの管理者は、証明書の「製品設定」ページから、申請画面に表示する中間CA証明書チェーンを設定できます。

CertCentralでTLS証明書を申請する際、発行元となるICA証明書を選択します。

1. CertCentralの「証明書の申請（Request a Certificate）」メニューから、セキュア・サーバIDなどのパブリックTLS証明書を選択します。
2. 申請フォームで、「追加証明書オプション（Additional certificate options）」を展開します。
3. 「中間証明書チェーン（Intermediate chains）」メニューで、発行元となる中間CA証明書（G2、G3、またはG5）を選択します。
4. その他の証明書申請情報を入力し、申請を送信します。
5. DigiCertは、選択されたICA証明書を使用してTLS証明書を発行します。

デフォルト 中間CA証明書チェーンを設定する

必要に応じて TLS 証明書のデフォルト中間CA証明書 チェーンを設定しておくことで、証明書をリクエストするたびに選択する必要がなくなります。

1. CertCentralで、[設定] > [製品設定] に移動します。
2. [製品設定] ページで、対象部門やとユーザーロールを使用して、TLS製品設定の適用範囲を指定します。
3. [製品] 列で、セキュア・サーバIDなどのTLS製品を選択します。
4. 許可する[中間チェーン] ([中間CA] > [ルートCA]) メニューで、証明書申請者が使用を許可されるICA証明書チェーンを選択します。
5. [デフォルトの中間チェーン] メニューで、申請フォーム上でデフォルトとして選択されるICA証明書チェーンを選択します。
6. 変更を保存するには、[設定を保存] を選択します。

CertCentral Services API 連携

API 統合では、証明書リクエストに ca_cert_id パラメータを含めることで、証明書の中間CA証明書チェーンを選択できます。ca_cert_id パラメータは、
エンドエンティティ証明書を発行する中間 CA を識別します。

• ca_cert_id が指定され、その ICA 証明書がお客さまのアカウントおよび製品で有効化されている場合、CertCentral はリクエストされた中間CA証明書 チェーンを
  使用して証明書を発行します。
• ca_cert_id が省略された場合、CertCentral は設定されたデフォルト中間CA証明書を使用します。

ca_cert_id を含むリクエストの例:

{
  "certificate": {
    "common_name": "www.example.com",
    "csr": "<CSR>",
    "signature_hash": "sha256",
    "ca_cert_id": "<ICA_CERT_ID>"
  }
}

アカウントで 中間CA証明書チェーン選択が有効になっていることを確認してください。

API リクエストでアカウントまたは製品に対して許可されていない 中間CA証明書チェーンが指定された場合、CertCentral はエラーを返します。

一時的に Global G2 および G3 ルート階層にとどまることを選択する場合は、適切な ca_cert_id を明示的に指定するか、必要な Global G2 または G3 中間CA証明書
チェーンを TLS 製品のデフォルト選択として設定する必要があります。（上記「CertCentral で TLS 証明書のデフォルト 中間CA証明書チェーンを設定する」を参照）。

ca_cert_id の確認方法

 Services API の Product list（製品一覧）エンドポイントのレスポンスには、該当製品の証明書を発行できる各 ICA の名前と外部 ID を含む allowed_ca_certs 配列が返されます。ここで返されるIDを ca_cert_id パラメーターに指定します。 Product list（製品一覧）エンドポイントも、現在のユーザーが選択を許可されている
中間CA証明書と、カスタムデフォルトが設定されている場合は default_intermediate を返します。

※サンプルから 中間CA証明書 ID をコピーするのではなく、必ずご利用の CertCentralアカウントから該当する 中間CA証明書 ID を確認してください。

推奨される統合レビュー

自動化された統合については、その統合が以下のいずれに該当するかを確認してください。

1. DigiCertのICA IDを明示的に送信している。
2. DigiCertのICA IDに対応する、連携サービス固有の設定を使用している。
3. ICAを指定せず、CertCentralのデフォルト設定を使用している。

ICAを指定せず、連携設定も変更しない場合は、2026年10月15日のデフォルト変更後、該当するG5ルート階層から証明書が発行されます。

ACME ディレクトリ URL

CertCentralでは、ACMEディレクトリURLの作成時に、発行元の中間CA証明書チェーンを任意で選択できます。詳細は「ACME認証情報の追加」を参照してください。

中間CA証明書チェーンが選択されている場合、その ACME URL を通じて行われる証明書リクエストは選択されたチェーンを使用します。中間CA証明書チェーンが
選択されていない場合、リクエストは該当する CertCentral のデフォルトを使用します。

すでに ICA が設定されている既存の ACME ディレクトリ URL では、10月15日以降もその ICA を継続して使用されます。10月15日のデフォルト変更によって、
ACME ディレクトリ URL にすでに設定されている 中間CA証明書チェーン選択が上書きされることはありません。

ICAが設定されていないACMEディレクトリURLでは、デフォルトの発行階層が使用されるため、2026年10月15日以降はG5ルート階層へ切り替わります。

既存の ACME ディレクトリ URL の発行 ICA を変更する: CertCentral では、既存の ACME ディレクトリ URL の中間CA証明書チェーンを変更できます。変更はその URL を
通じて行われる次の証明書リクエストから適用され、すでに発行された証明書には影響しません。詳細は「ACMEディレクトリURLのオーダー、ドメイン制限、および発行元ICA証明書の更新」を参照してください。

G5 と Global G2/G3 階層の間で切り替えたり、許可されている別の中間CA証明書チェーンを選択したり、明示的な ICA チェーンの設定を削除して URL をデフォルトの
動作に戻したりすることができます。