最新のブラウザ、Windows、macOS、iOS 12+、Android 8+ など、ほとんどのクライアント環境には、DigiCert や GlobalSign などの主要な認証局 (CA) が発行するルート証明書がプリインストール済みで、自動的に更新されます。ただし、モバイルアプリ、Java クライアント、レガシーオペレーティングシステム、IoT デバイスなどで HTTPS 接続に失敗したり、insecure 警告が表示される場合は、ルート証明書が不足している可能性があります。本ガイドでは、CA ブランド別のダウンロードリンクおよびオペレーティングシステム、ブラウザ、Java 向けのステップバイステップのインストール手順を提供します。
ルート証明書を手動でインストールする必要がある場合
以下のクライアント環境では、手動でのインストールが必要です。
モバイルアプリケーション：システムまたはブラウザのルート証明書リストと同期しないカスタムのトラストストアを使用するアプリ。
Java クライアント：オペレーティングシステムのトラストストアに依存せず、独立した Java KeyStore (cacerts) を使用するアプリケーション。
レガシーオペレーティングシステムまたはブラウザ：Windows XP や Android 4.x など、新しい CA のルート証明書がプリインストールされていない古いシステム。
IoT デバイスおよび組み込みシステム：制限されたリソースしか持たず、少数のルート証明書のみを出荷時に搭載しているデバイス。
企業イントラネット環境：公開トラストストアに含まれていないプライベート CA のルート証明書を使用するシステム。
コンプライアンスまたはセキュリティポリシー：信頼できる CA のリストを明示的に管理する必要がある環境。
Chrome、Firefox、Safari、Edge などの最新ブラウザおよび Windows 10/11、macOS、Android 8 以降、iOS 12 以降などの最新オペレーティングシステムでは、DigiCert や GlobalSign などの主要国際 CA のルート証明書がプリインストール済みで自動的に更新されるため、手動での操作は不要です。一方、Android 4.4.2 などのレガシーシステムでは、完全な信頼チェーンを維持するために対応するクロスルート証明書を手動でインストールしてください。
ルート証明書のダウンロード
社内エンタープライズ CA のルート証明書をインストールする場合は、このセクションをスキップして、「ルート証明書のインストール」に進んでください。
ご利用のサーバーにデプロイされている SSL 証明書のブランド (例：DigiCert または GeoTrust) および証明書タイプ (DV/OV/EV) に一致するルート証明書をダウンロードします。たとえば、サーバーで DigiCert OV SSL 証明書を使用している場合は、DigiCert OV ルート証明書をダウンロードしてください。
CA ブランド別のルート証明書ダウンロードリンク
証明書ブランド | ルート証明書のダウンロード |
DigiCert | 説明 。2024 年 12 月 1 日以降、DigiCert ブランドの SSL 証明書は、新しいルートおよび中間証明書チェーンから発行されます。詳細については、「DigiCert ルート証明書置き換えに関するお知らせ」をご参照ください。 DigiCert DV/OV ルート証明書 DigiCert EV ルート証明書 |
GeoTrust Rapid GlobalSign | |
Alibaba Cloud | 説明 2025 年 9 月 18 日以降、Alibaba Cloud ブランドの新しい SSL 証明書は、新しいルートおよび中間証明書チェーンから発行されます。詳細については、「[お知らせ] Alibaba ブランド証明書のルート更新に関するご案内」をご参照ください。 |
DigiCert ルート証明書の互換性
次の表を使用して、ご利用のオペレーティングシステムまたはブラウザのバージョンに基づき、インストールする DigiCert ルート証明書を特定してください。
オペレーティングシステムまたはブラウザ | DigiCert Global Root CA (旧) | DigiCert Global Root G2 (旧 – トランジション) | DigiCert Global Root G2 (新規 – クロスルート) |
Fingerprint |
|
|
|
Windows (インターネット) | Windows XP SP3+ | ||
Windows (内部ネットワーク) | Windows 7+ | Windows 8+ | Windows 7+ |
macOS | Mac OS X 10.6+ | Mac OS X 10.10+ | Mac OS X 10.6+ |
iOS | iOS 4.0+ | iOS 7.0+ | iOS 4.0+ |
Firefox | Firefox 2+ | Firefox 32+ | Firefox 2+ |
NSS | NSS 3.11.8 | NSS 3.16.3 | NSS 3.11.8 |
Android | Android 1.1+ | Android 5.0+ | Android 1.1+ |
Chrome | Chrome 108 以降では、Chrome は独自のトラストストアを使用します。それ以前のバージョンは、オペレーティングシステムのトラストストアに依存します。 | ||
Java | JRE 1.4.2_17+ | JRE 1.8.0_131+ | JRE 1.4.2_17+ |
認証局 (CA) エンドポイントの許可リスト
クライアントが SSL/TLS 証明書を受信すると、特定のエンドポイントを通じて発行元の CA に接続し、証明書を検証します。使用されるエンドポイントには、次の 3 種類があります。
Authority Information Access (AIA)：完全な証明書チェーンを構築するために中間 CA 証明書をダウンロードします。
Online Certificate Status Protocol (OCSP)：証明書が失効していないかをリアルタイムで確認します。
Certificate Revocation List (CRL)：CA が公開する失効証明書リストをダウンロードします。
ファイアウォールやプロキシによりアウトバウンド HTTP トラフィック (ポート 80) が制限されている場合、以下の CA エンドポイントドメインをファイアウォールの許可リストに追加してください。これを行わないと、証明書検証が失敗し、TLS ハンドシェイクエラーや HTTPS 接続エラーが発生する可能性があります。
DigiCert エンドポイント
DigiCert およびそのサブブランド (RapidSSL および GeoTrust) は、以下のエンドポイントを使用します。
プロトコル | エンドポイント |
AIA |
|
OCSP |
|
CRL |
|
エンドポイントの完全なリストについては、「DigiCert Root Certificates」をご参照ください。
GlobalSign エンドポイント
GlobalSign は、以下のエンドポイントを使用します。
プロトコル | エンドポイント |
AIA |
|
OCSP |
|
CRL |
|
エンドポイントの完全なリストについては、「GlobalSign Root Certificates」をご参照ください。
事前準備
ルート証明書をインストールする前に、以下の前提条件を満たしていることを確認してください。
証明書ブランドおよびタイプに合った正しいルート証明書ファイルをダウンロード済みであること。ダウンロードリンクについては、前のセクションの表をご参照ください。
対象システムで管理者または root 権限を保有していること。
対象のオペレーティングシステムまたはブラウザが、互換性表に記載された最小バージョン要件を満たしていること。
ルート証明書のインストール
オペレーティングシステムへのインストール
Windows
以下の手順は、Windows 10 を例としています。
Microsoft Management Console (MMC) を開きます。[実行] ダイアログボックスを開くには、
Win+Rキーを押します。mmcと入力し、[OK] をクリックします。証明書スナップインを追加します。
メニューバーで、[ファイル] > [スナップインの追加と削除] を選択します。
[スナップインの追加と削除] ダイアログボックスで、[利用可能なスナップイン] リストから [証明書] を選択し、[追加] をクリックします。
[証明書スナップイン] ダイアログボックスで、[コンピューター アカウント] を選択し、[次へ] をクリックします。
[コンピューターの選択] ダイアログボックスで、[ローカル コンピューター (このコンソールを実行しているコンピューター)] を選択し、[完了] をクリックします。
ルート証明書をインポートします。
左側のナビゲーションウィンドウで、[証明書 (ローカル コンピューター)] を展開します。
送信先フォルダ ([エンタープライズの信頼] など) を選択します。フォルダを右クリックし、[すべてのタスク] > [インポート] を選択します。
説明[個人]：現在のユーザーまたはコンピューター向けの証明書を格納します。
[信頼されたルート証明機関]: オペレーティングシステムによってデフォルトで信頼されている CA のルート証明書。
[中間証明機関]：サーバー証明書を信頼されたルートにリンクする中間証明書を格納します。
[エンタープライズの信頼]：組織のネットワーク内でのみ信頼される社内エンタープライズ CA の証明書を格納します。
画面の指示に従い、インポートを完了します。
macOS
以下の手順は、macOS 12.5.1 を例としています。
[Launchpad] を開きます。
Launchpad の検索ボックスに Keychain Access と入力し、[Keychain Access] をクリックします。
[Keychain Access] ページで、[証明書] タブをクリックします。
ダウンロードしたルート証明書を [証明書] タブの空の領域にドラッグします。macOS が自動的に証明書を検証します。
新たに追加された証明書を右クリックし、[情報を見る] をクリックします。
証明書情報ページで、[常に信頼] を選択し、
アイコンをクリックします。
Linux
インストールパスおよびコマンドは、Linux ディストリビューションによって異なります。以下では、CentOS/Red Hat および Ubuntu/Debian について説明します。
CentOS/Red Hat
システム CA 証明書パッケージをインストールします。
sudo yum install ca-certificatesルート証明書ファイルをシステム証明書ディレクトリにコピーします。
/etc/pki/ca-trust/source/anchors/証明書トラストストアを更新します。
sudo update-ca-trust extractシステムは、
/etc/pki/tls/certs/ca-bundle.crtにトラストバンドルを再生成します。OpenSSL を使用してインストールを検証します。
openssl s_client -connect example.com:443 -CAfile /etc/pki/tls/certs/ca-bundle.crt出力に証明書チェーンが含まれている必要があります。検証が成功すると、
Verify return code: 0 (ok)で終了します。
Ubuntu/Debian
システム CA 証明書パッケージをインストールします。
sudo apt install ca-certificatesルート証明書ファイルをシステム証明書ディレクトリにコピーします。
/usr/local/share/ca-certificates/証明書トラストストアを更新します。
sudo update-ca-certificatesシステムは、新しい証明書を
/etc/ssl/certs/ca-certificates.crtにマージします。インストールを検証します。
証明書ファイルが信頼されていることを確認します。
# your-certificate.crt をルート証明書ファイル名に置き換えてください。 openssl verify /usr/local/share/ca-certificates/your-certificate.crt出力が
/usr/local/share/ca-certificates/your-certificate.crt: OKの場合、検証は成功しています。シンボリックリンクが作成されたことを確認します。
# your-certificate をルート証明書ファイル名に置き換えてください。 ls -la /etc/ssl/certs | grep your-certificate
ブラウザへのインストール
Windows 上の Chrome、Edge、Internet Explorer は、オペレーティングシステムのトラストストアを使用します。これらのブラウザでは、個別のブラウザではなくオペレーティングシステムにルート証明書をインポートしてください。このセクションの手順は、特定のブラウザ向けにルート証明書を設定する必要がある場合にのみ適用されます。
Google Chrome
このセクションは、Windows 10 および Chrome 138.0.7204.102 (64 ビット) を例としています。
ルート証明書をインポートします。
Chrome を開き、右上隅の
アイコンをクリックして、[設定] を選択します。左側のナビゲーションウィンドウで、[プライバシーとセキュリティ] をクリックします。
[セキュリティ] > [証明書の管理] > [Windows からインポートされた証明書の管理] をクリックします。
証明書マネージャーウィンドウで、[信頼されたルート証明機関] タブをクリックします。
左下隅の [インポート] をクリックします。プロンプトに従い、ルート証明書ファイルを選択してインポートします。「インポートが成功しました」というメッセージが表示されれば、完了です。
インポートを検証します。
ルート証明書が選択したパスに表示されることを確認します。
Chrome を再起動します。
対象の Web サイトにアクセスし、「信頼されていない証明書」の警告が表示されないことを確認します。
Microsoft Edge
このセクションは、Windows 10 および Microsoft Edge 92.0.902.67 (64 ビット) を例としています。
ルート証明書をインポートします。
Edge を開き、右上隅の
アイコンをクリックして、[設定] を選択します。[プライバシー、検索、サービス] タブをクリックします。
[セキュリティ] セクションまでスクロールし、[証明書の管理] をクリックします。Windows 証明書マネージャーが開きます。
[信頼されたルート証明機関] タブをクリックします。
左下隅の [インポート] をクリックします。プロンプトに従い、ルート証明書ファイルをインポートします。「インポートが成功しました」というメッセージが表示されれば、完了です。
インポートを検証します。
ルート証明書が選択したパスに表示されることを確認します。
Edge を再起動します。
対象の Web サイトにアクセスし、「信頼されていない証明書」の警告が表示されないことを確認します。
Mozilla Firefox
このセクションは、Windows 10 および Firefox 142.0.1 (64 ビット) を例としています。
ルート証明書をインポートします。
Firefox を開き、右上隅の
アイコンをクリックして、[設定] を選択します。[プライバシーとセキュリティ] タブをクリックします。
[証明書] セクションまでスクロールし、[証明書を表示] をクリックします。証明書マネージャーが開きます。
[証明機関] タブをクリックし、[インポート] をクリックします。
プロンプトに従い、ルート証明書ファイルを選択してインポートします。
インポートを検証します。
[証明機関] タブの「証明書名」列で、ルート証明書がリストされていることを確認します。
Firefox を再起動します。
対象の Web サイトにアクセスし、「信頼されていない証明書」の警告が表示されないことを確認します。
Internet Explorer
このセクションは、Windows 10 および Internet Explorer 11.1.20348.0 を例としています。
ルート証明書をインポートします。
Internet Explorer を開き、右上隅の
アイコンをクリックして、[インターネットオプション] を選択します。[インターネットオプション] ウィンドウで、[コンテンツ] タブをクリックします。
[証明書] をクリックして、証明書ウィンドウを開きます。
[信頼されたルート証明機関] タブをクリックします。
左下隅の [インポート] をクリックします。プロンプトに従い、ルート証明書ファイルをインポートします。
インポートを検証します。
ルート証明書が選択したパスに表示されることを確認します。
Internet Explorer を再起動します。
対象の Web サイトにアクセスし、「信頼されていない証明書」の警告が表示されないことを確認します。
リスクおよびメンテナンス上の考慮事項
セキュリティリスク
信頼できないソース：ルート証明書は、公式または信頼できるチャンネルからのみダウンロードしてください。不明なソースからルート証明書をインストールすると、マルウェアの挿入や中間者攻撃を可能にし、システムのセキュリティを著しく損なう可能性があります。
運用ミス：誤ったストアの場所に証明書をインポートしたり、フォーマットが正しくないファイルを使用したりすると、システムの信頼チェーンが破壊されたり、アプリケーションの接続が失敗したりする可能性があります。
互換性およびメンテナンス
システムまたはアプリケーションのバージョン制限：一部のレガシーオペレーティングシステムまたはアプリケーションは、新しいルート証明書アルゴリズムをサポートしていないため、互換性を確保するにはアップグレードが必要になる場合があります。
ルート証明書の有効期限切れ：ルート証明書には有効期限があります。CA が新しいルート証明書を発行する場合や、既存のルート証明書の有効期限が近づいている場合は、すべての関連クライアント上でルート証明書を更新し、有効な信頼チェーンを維持する必要があります。
一括デプロイメント
多数の異種デバイスにルート証明書を手動でインストールするのは非効率的で、エラーが発生しやすくなります。大規模なデプロイメントでは、自動化スクリプトまたは構成管理・デバイス管理ツールを使用してください。
よくある質問
SSL 証明書の有効期限が切れた後、ルート証明書を再デプロイする必要がありますか？
ご利用のクライアント環境によります。
オペレーティングシステムがルート証明書の更新を自動で処理する主流ブラウザおよびオペレーティングシステムでは、操作は不要です。新しい SSL 証明書が信頼されたルートにチェーンされている限り、信頼チェーンは有効のままです。
一方、組み込みのトラストストアを持つモバイルアプリ、スタンドアロンの Java クライアント、レガシーブラウザ、IoT デバイスなど、ルート証明書がプリインストールされていない環境では、次のいずれかの場合に再デプロイが必要です。証明書の更新時に証明書ブランドまたはタイプ (DV/OV/EV) を変更した場合、または元のルート証明書の有効期限が切れた (または CA が新しいルートへの切り替えを発表した) 場合です。このような場合は、本ガイドに従い、該当するルート証明書をダウンロードして影響を受けるクライアントにインストールしてください。
中間証明書をインストールする方法を教えてください。
手順はルート証明書のインストールと同じです。「ルート証明書のインストール」の手順に従い、[信頼されたルート証明機関] ではなく、[中間証明機関] (Firefox の場合は [証明機関]) を送信先ストアとして選択してください。
Java クライアントが HTTPS にアクセスできません。
これは通常、Java ランタイム環境 (JRE) のトラストストアにルート証明書または中間証明書が不足していることが原因です。トラブルシューティング手順については、「Java クライアントが HTTPS にアクセスできません」をご参照ください。
DigiCert および GeoTrust 証明書に対応しているオペレーティングシステムはどれですか？
証明書ブランド | ルート証明書 | Windows | macOS X | Android | Java |
DigiCert DV 証明書 | 新規ルート (DigiCert Global Root G2) | Windows 8 以降 | OS X 10.7 以降 | Android 4.4.2 以降 | Java 1.8 以降 |
DigiCert DV 証明書 | 旧ルート (DigiCert Global Root CA) | Windows 7 以降 | OS X 10.5 以降 | Android 2.3.3 以降 | Java 1.6.05 以降 |
Rapid DV 証明書 | 新規ルート (DigiCert Global Root G2) | Windows 8 以降 | OS X 10.7 以降 | Android 4.4.2 以降 | Java 1.8 以降 |
GeoTrust OV および EV 証明書 | 旧ルート (DigiCert Global Root CA) | Windows 7 以降 | OS X 10.5 以降 | Android 2.3.3 以降 | Java 1.6.05 以降 |
2023 年 3 月中旬以降、DigiCert および GeoTrust ブランドの SSL 証明書は、新しいルートである DigiCert Global Root G2 から発行されています。詳細については、「お知らせ：DigiCert ルート証明書のアップグレード」をご参照ください。
Android の断片化により、Android 4.4～5.0 を実行している一部のデバイスモデルでは互換性の問題が発生する可能性があります。
一部の Java バージョンでは、ルート証明書がデフォルトで含まれていない場合があります。ご利用の環境を確認してください。