目次
こんにちは、マサシです。
SSL証明書の有効期限は、ブラウザのアドレスバーを見ればすぐ正しく分かる。
そう思っていませんか。
私も少し前まで、同じように思っていました。
ただ、自社のサイトを点検する仕組みを調べていたら、環境によっては画面に出ている証明書が「本物」ではないことがあると分かりました。
会社のネットワークで見ると、証明書が「本物」でないことがある
結論から言うと、会社のパソコンや社内Wi-Fiで証明書を確認すると、サーバーが本当に持っている証明書ではなく、途中の機器が差し替えた証明書を見ていることがあります。
これに気づかずに期限を判断すると、本当の期限を見落としたり、逆に切れていないのに焦って連絡したりします。
社内のセキュリティソフトやプロキシがHTTPS通信を検査する仕組みを使っていると、証明書を一度ばらして社内の証明書で再暗号化することがあると、個人の技術ブログでも解説されています(https://zenn.dev/mato/articles/3a29146d711d6e)。
実際に、会社のネットワークだけで特定のサイトがブロックされ、自宅の回線では問題なく見られたという報告もあります(https://qiita.com/Tatsujin10/items/daf3c0f40060d29518df)。
この見分けに気づけば、期限切れの誤解や、本当に危ない期限切れの見落としを防げます。
会社のパソコンで突然「この接続は保護されていません」という警告が出ると、サイトが本当に危ない状態になったと焦りがちです。
ただ、原因の多くは証明書の期限切れではなく、信頼されていない発行元からの証明書だとブラウザが判断したことにあります(https://kinsta.com/jp/knowledgebase/neterr-cert-authority-invalid/)。
社内のネットワーク機器が独自の証明書を差し込んでいる場合も、ブラウザからは同じ見え方になります。
自分のサイトが当てはまるか確かめる
次のどれかに当たれば、見ている証明書が本物でない可能性があります。
- 会社のパソコン・社内Wi-Fiで自分のサイトを開き、鍵マークから証明書の発行者名を見ると、いつもと違う名前になっている
- 社内のセキュリティソフトやファイアウォールに「HTTPS通信の検査」「SSL/TLS復号」という機能がある
- 自分のサイトとは無関係の、別のサイトを開いても、証明書の発行者名や有効期限が同じ日付になっている
- 自宅やスマホの回線（4G・5Gなど）で同じサイトを開くと、発行者名が元に戻る
このうち、いちばん見落としやすいのが3つ目です。
自分のサイト以外も同じ証明書に見えるなら、サイト側の問題ではなく、見ている側の通信経路の問題だと考えられます。
3ステップでやる手順
手順1. 鍵マークから証明書の発行者名を見る
ブラウザのアドレスバー左にある鍵マークをクリックし、「証明書は有効です」の表示から発行者名と有効期限を確認します。
発行者名が、見覚えのない社内の名前になっていないかをまず見ます。
多くのブラウザでは、鍵マーク→「この接続は安全です」→証明書の表示、という順でたどれます。
手順2. 別の回線で同じサイトを開いて比べる
スマホをWi-Fiから切り離し、モバイル通信（4G・5Gなど）に切り替えて同じサイトを開きます。
発行者名や期限の表示が手順1と違っていれば、会社のネットワーク側で何かが証明書を差し替えていると考えられます。
手順3. 無料のSSLチェッカーで比べる
Qualys SSL LabsのようなSSLチェッカーにドメイン名を入力し、サーバー側の本当の証明書情報を確認します。
ブラウザで見た表示と、チェッカーの結果が違っていれば、ブラウザ側の表示は信用せず、チェッカーの結果を本当の期限として扱います。
チェッカーは会社のネットワークを経由しないので、サーバーが本当に持っている証明書の情報がそのまま返ってきます。
つまずいた所と、やめたこと
この点検の仕組みを作ったときは、証明書の期限の数字をそのまま信じて、期限切れ間近なら警告を出すようにしていました。
ところが、複数のサイトを一度に点検したとき、無関係なはずのサイトが全部同じ日付で「期限切れ間近」と出たことがありました。
調べると、途中の中継がまとめて差し替えた証明書を、サイトごとの本当の証明書だと思い込んでいたのが原因でした。
今は、3件以上で同じ証明書が出たときは「期限を判定できない」として、その場では期限の判定から外すようにやめました。
振り返ると、数字が出ているからといって、その数字の出どころを確かめずに使っていたのが思い込みの元でした。
数字は、どの場所から・どの経路で測ったものかまで分かって、初めて信用できるものになります。
次に同じことが起きたら、まずこのテンプレートで相談する
発行者名の違いに気づいても、原因が自分では分からないことがあります。
そのときは、契約しているサーバー会社や制作会社に、この内容で相談してください。
（サーバー会社・制作会社名）ご担当の方へ
サイトの証明書の件でご相談です。
会社のパソコンで開くと、証明書の発行者名がいつもと違って見えます。
サーバー側の設定か、社内のネットワーク機器が原因か、判断がつきません。
- 送る前に確かめること1: 別の回線（スマホのモバイル通信など）で同じサイトを開き、表示が同じか比べたか
- 送る前に確かめること2: 社内の情報システム担当者に、HTTPS通信を検査する設定が入っていないか確認したか
- 送る前に確かめること3: 無料のSSLチェッカーで、サーバー側の証明書の期限を別途調べたか
なお、証明書そのものの期限切れが原因のこともあります。
証明書の有効期間は2027年3月から最長100日に短縮され、更新の作業が約3か月ごとに必要になる見通しです(https://kyodonewsprwire.jp/release/202610258656)。
更新の頻度が上がる分、期限そのものを見落とす側の対策も、合わせて見直っておくと安心です。
同じテーマの記事として「プラグインの大型更新、実際に2ヶ月見送った判断基準3つ」も置いています。
自分でやるのが不安なときは
どこに頼めばいいか分からない小さな困りごとも、一言からで大丈夫です。
サイトの制作から、小さな修正・保守まで、Mstudioでお受けしています。
どのサービスに当たるか分からない方に向いています。
直したいところやお困りごとを、1行で送ってください。