SSL 証明書のエラー：意味と直し方

• エラーの多くは、証明書の期限切れ、開いた名前が証明書に含まれていない、中間証明書の不足、ブラウザが信頼しない発行者、の 4 つのどれかが原因です。
• Let's Encrypt などの無料証明書は有効期間が短いため、自動更新は必須です。
• 2026 年 3 月 15 日から、公的に信頼される証明書の有効期間は最長 200 日になりました。2027 年には 100 日、2029 年には 47 日に短縮されます。
• SSL チェックで証明書を確認し、ドメイン監視で期限切れ前に通知を受け取りましょう。

Firefox では同じ問題が SEC_ERROR_EXPIRED_CERTIFICATE と表示されます。Let's Encrypt の証明書は有効期間 90 日で、certbot などの ACME クライアントやホスティングの管理画面が自動で更新します。ただし、80 番ポートを閉じた、DNS を別のサーバーに向けた、新しい証明書の取得後にウェブサーバーを再読み込みしていない、といった理由で更新が気づかないうちに失敗していることがよくあります。

CA/Browser Forum のルールにより、証明書の有効期間は短くなっています。2026 年 3 月 15 日までは最長 398 日、その後は 200 日、2027 年 3 月 15 日からは 100 日、2029 年 3 月 15 日からは 47 日です。手作業での更新はもはや現実的ではないため、ACME で自動化しましょう。

サーバーは自分の証明書と一緒に中間証明書も送る必要があります。パソコンのブラウザはキャッシュから不足分を補えるため「自分の環境では開ける」のに、スマートフォン、アプリ、curl、API クライアントではエラーになります。完全なチェーンをインストールしてください。Let's Encrypt なら fullchain.pem、ホスティングの管理画面なら「CA バンドル（中間証明書）」の欄です。SSL チェックでチェーンがそろっているか確認できます。

証明書が対象とする名前は SAN（Subject Alternative Name）欄に記載されています。Firefox ではこのエラーは SSL_ERROR_BAD_CERT_DOMAIN と表示されます。*.example.jp のようなワイルドカード証明書は 1 階層（shop.example.jp）だけを対象とし、example.jp そのものや a.b.example.jp は含みません。www 付きでも開けるサイトなら、両方の名前を証明書に含める必要があります。

• 混在コンテンツ：HTTPS のページが http:// でスクリプト、画像、スタイルシートを読み込んでいると、鍵マークが消えたり読み込みがブロックされたりします。https:// に書き換えましょう。
• HSTS：一度 HSTS を送ったサイトでは、max-age が切れるまでブラウザは証明書エラーを無視させてくれません。HTTPS を止めるのではなく、証明書を直すのが正解です。
• CAA：ドメインに CAA レコードがある場合、記載された認証局しか証明書を発行できません。使っている認証局が含まれていないと更新に失敗します。
• 端末の時刻がずれていると、証明書が期限切れやまだ有効でないように見えます。
• HTTPS 通信を検査するウイルス対策ソフトや社内プロキシは独自の証明書を提示するため、そのネットワークや端末でだけエラーが出ることがあります。

• SSL チェックでは、有効期間、対象の名前、証明書チェーン、TLS バージョン、HSTS、HTTP から HTTPS へのリダイレクト、CAA レコードを確認できます。
• ドメインをドメイン監視に追加すると、証明書の期限切れ前と証明書が無効になったときにメールまたは Telegram で通知します。