最新のブラウザ、Windows、macOS、iOS 12 以降、Android 8 以降など、ほとんどのクライアント環境には、主要な認証局 (CA) (DigiCert や GlobalSign など) のルート証明書があらかじめインストールされており、自動的に更新されます。ただし、一部の環境では手動インストールが必要です。モバイルアプリ、Java クライアント、レガシーオペレーティングシステム、IoT デバイスで HTTPS 接続の失敗や insecure 警告が表示される場合、ルート証明書の欠落が原因である可能性があります。本ガイドでは、CA ブランド別のダウンロードリンクと、オペレーティングシステム、ブラウザ、Java へのインストール手順を手順を追って説明します。
ルート証明書を手動でインストールする必要がある場合
以下のクライアント環境では、手動インストールが必要です。
モバイルアプリケーション：システムやブラウザのルート証明書ストアと同期しない、独自のトラストストアを持つアプリ。
Java クライアント：独立した Java KeyStore (cacerts) を使用し、オペレーティングシステムのトラストストアに依存しないアプリケーション。
レガシーオペレーティングシステムまたはブラウザ：Windows XP や Android 4.x など、新しい CA のルート証明書がプリインストールされていない古いシステム。
IoT デバイスと組み込みシステム：限られたルート証明書セットを搭載したリソース制約のあるデバイス。
企業イントラネット環境：公開トラストストアに含まれていないプライベート CA を使用するシステム。
コンプライアンスまたはセキュリティポリシー：信頼される CA のリストを明示的に制御する必要がある環境。
最新のブラウザ (Chrome、Firefox、Safari、Edge) およびオペレーティングシステム (Windows 10/11、macOS、Android 8 以降、iOS 12 以降) では、DigiCert や GlobalSign などの主要な国際 CA のルート証明書がプリインストールされており、自動的に更新されます。手動での操作は不要です。Android 4.4.2 などのレガシーシステムでは、完全な信頼チェーンを維持するために、対応するクロスルート証明書を手動でインストールしてください。
ルート証明書のダウンロード
社内 CA からルート証明書をインストールする場合は、このセクションをスキップして、ルート証明書のインストール に直接進んでください。
サーバーにデプロイされている SSL 証明書のブランド (DigiCert や GeoTrust など) および証明書タイプ (DV/OV/EV) に一致するルート証明書をダウンロードしてください。たとえば、サーバーで DigiCert OV SSL 証明書を使用している場合は、DigiCert OV ルート証明書をダウンロードします。
ブランド別ルート証明書ダウンロードリンク
証明書ブランド | ルート証明書のダウンロード |
DigiCert/GeoTrust/ Rapid | |
GlobalSign | |
Alibaba Cloud | 説明 2025 年 9 月 18 日 以降、Alibaba Cloud ブランドの新しい SSL 証明書は、新しいルートおよび中間証明書チェーンから発行されます。詳細については、「[お知らせ] Alibaba ブランド証明書ルート更新のお知らせ」をご参照ください。 |
DigiCert ルート証明書の互換性
この表を使用して、オペレーティングシステムまたはブラウザのバージョンに基づいて、インストールする DigiCert ルート証明書を特定してください。
オペレーティングシステムまたはブラウザ | DigiCert Global Root CA（旧） | DigiCert Global Root G2（旧 – 移行期） | DigiCert Global Root G2（新 – クロスルート） |
フィンガープリント |
|
|
|
Windows（インターネット） | Windows XP SP3 以降 | ||
Windows（内部ネットワーク） | Windows 7 以降 | Windows 8 以降 | Windows 7 以降 |
macOS | Mac OS X 10.6 以降 | Mac OS X 10.10 以降 | Mac OS X 10.6 以降 |
iOS | iOS 4.0 以降 | iOS 7.0 以降 | iOS 4.0 以降 |
Firefox | Firefox 2 以降 | Firefox 32 以降 | Firefox 2 以降 |
NSS | NSS 3.11.8 | NSS 3.16.3 | NSS 3.11.8 |
Android | Android 1.1 以降 | Android 5.0 以降 | Android 1.1 以降 |
Chrome | Chrome 108 以降、Chrome は独自のトラストストアを使用します。それ以前のバージョンは、オペレーティングシステムのトラストストアに依存します。 | ||
Java | JRE 1.4.2_17 以降 | JRE 1.8.0_131 以降 | JRE 1.4.2_17 以降 |
認証局 (CA) エンドポイントの許可リスト
クライアントが SSL/TLS 証明書を受信すると、特定のエンドポイントを介して発行元 CA に接続し、証明書を検証します。次の 3 種類のエンドポイントが使用されます。
Authority Information Access (AIA)：中間 CA 証明書をダウンロードして、完全な証明書チェーンを構築します。
Online Certificate Status Protocol (OCSP)：証明書が失効しているかどうかをリアルタイムで確認します。
Certificate Revocation List (CRL)：CA が公開する証明書失効リストをダウンロードします。
サーバーまたはクライアントが、アウトバウンド HTTP トラフィック (ポート 80) を制限するファイアウォールまたはプロキシの背後にある場合は、次の CA エンドポイントドメインをファイアウォールの許可リストに追加してください。そうしないと、証明書の検証が失敗し、TLS ハンドシェイクエラーまたは HTTPS 接続の失敗が発生する可能性があります。
DigiCert エンドポイント
DigiCert とそのサブブランド (RapidSSL および GeoTrust) は、次のエンドポイントを使用します。
プロトコル | エンドポイント |
AIA |
|
OCSP |
|
CRL |
|
エンドポイントの完全なリストについては、「DigiCert ルート証明書」をご参照ください。
GlobalSign エンドポイント
GlobalSign は次のエンドポイントを使用します。
プロトコル | エンドポイント |
AIA |
|
OCSP |
|
CRL |
|
エンドポイントの完全なリストについては、「GlobalSign ルート証明書」をご参照ください。
事前準備
ルート証明書をインストールする前に、次の前提条件が満たされていることを確認してください。
証明書ブランドおよびタイプに適したルート証明書ファイルをダウンロード済みであること。ダウンロードリンクについては、前のセクションの表をご参照ください。
対象システムの管理者権限または root 権限を持っていること。
対象のオペレーティングシステムまたはブラウザが、互換性表に記載されている最小バージョン要件を満たしていること。
ルート証明書のインストール
オペレーティングシステムへのインストール
Windows
以下の手順は、Windows 10 を例として説明します。
Microsoft 管理コンソール (MMC) を開きます。
Win+Rキーを押して [ファイル名を指定して実行] ダイアログボックスを開きます。mmcと入力し、[OK] をクリックします。証明書スナップインを追加します。
メニューバーで、[ファイル] > [スナップインの追加と削除] を選択します。
[スナップインの追加と削除] ダイアログボックスで、[利用できるスナップイン] リストから [証明書] を選択し、[追加] をクリックします。
[証明書スナップイン] ダイアログボックスで、[コンピューター アカウント] を選択し、[次へ] をクリックします。
[コンピューターの選択] ダイアログボックスで、[ローカル コンピューター (このコンソールを実行しているコンピューター)] を選択し、[完了] をクリックします。
ルート証明書をインポートします。
ナビゲーションペインで、**[証明書 (ローカル コンピューター)]** を展開します。
保存先フォルダー (たとえば、[エンタープライズ信頼]) を選択します。フォルダーを右クリックし、[すべてのタスク] > [インポート] を選択します。
説明[個人]：現在のユーザーまたはコンピューターの証明書を格納します。
[信頼されたルート証明機関]：オペレーティングシステムがデフォルトで信頼する CA のルート証明書。
[中間証明機関]：サーバー証明書と信頼されたルートをリンクする中間証明書。
[エンタープライズ信頼]：社内 CA の証明書。組織のネットワーク内でのみ信頼されます。
画面の指示に従ってインポートを完了します。
macOS
以下の手順は、macOS 12.5.1 を例として説明します。
[Launchpad] を開きます。
Launchpad 検索ボックスに [キーチェーンアクセス] と入力し、[キーチェーンアクセス] をクリックします。
[キーチェーンアクセス] ページで、[証明書] タブをクリックします。
ダウンロードしたルート証明書を [証明書] タブの空白領域にドラッグします。macOS は自動的に証明書を検証します。
新しく追加された証明書を右クリックし、[情報を見る] をクリックします。
証明書情報ページで、[常に信頼] を選択し、
アイコンをクリックします。
Linux
インストールパスとコマンドは、Linux ディストリビューションによって異なります。以下のセクションでは、CentOS/Red Hat と Ubuntu/Debian について説明します。
CentOS/Red Hat
システム CA 証明書パッケージをインストールします。
sudo yum install ca-certificatesルート証明書ファイルをシステム証明書ディレクトリにコピーします。
/etc/pki/ca-trust/source/anchors/証明書トラストストアを更新します。
sudo update-ca-trust extractシステムは
/etc/pki/tls/certs/ca-bundle.crtにトラストバンドルを再生成します。OpenSSL を使用してインストールを確認します。
openssl s_client -connect example.com:443 -CAfile /etc/pki/tls/certs/ca-bundle.crt出力には証明書チェーンが含まれます。検証が成功すると、
Verify return code: 0 (ok)という結果で終了します。
Ubuntu/Debian
システム CA 証明書パッケージをインストールします。
sudo apt install ca-certificatesルート証明書ファイルをシステム証明書ディレクトリにコピーします。
/usr/local/share/ca-certificates/証明書トラストストアを更新します。
sudo update-ca-certificatesシステムは新しい証明書を
/etc/ssl/certs/ca-certificates.crtにマージします。インストールを確認します。
証明書ファイルが信頼されていることを確認します。
# your-certificate.crt をルート証明書ファイル名に置き換えてください。 openssl verify /usr/local/share/ca-certificates/your-certificate.crt出力が
/usr/local/share/ca-certificates/your-certificate.crt: OKであれば、検証は成功しています。シンボリックリンクが作成されたことを確認します。
# your-certificate をルート証明書ファイル名に置き換えてください。 ls -la /etc/ssl/certs | grep your-certificate
ブラウザへのインストール
Windows 上の Chrome、Edge、Internet Explorer は、オペレーティングシステムのトラストストアを使用します。これらのブラウザでは、個別のブラウザではなく、オペレーティングシステムにルート証明書をインポートしてください。このセクションの手順は、特定のブラウザ用にルート証明書を構成する必要がある場合にのみ適用されます。
Google Chrome
このセクションでは、Windows 10 および Chrome 126.0.6478.127 (64 ビット) を例として使用します。
ルート証明書をインポートします。
Chrome を開き、右上隅の
アイコンをクリックして、[設定] を選択します。ナビゲーションペインで、[プライバシーとセキュリティ] をクリックします。
[セキュリティ] > [証明書の管理] > [Windows からインポートされた証明書の管理] をクリックします。
証明書マネージャーウィンドウで、[信頼されたルート証明機関] タブをクリックします。
左下の [インポート] をクリックします。プロンプトに従ってルート証明書ファイルを選択し、インポートします。「インポートが正常に完了しました」というメッセージが表示されると、完了です。
インポートを確認します。
選択したパスにルート証明書が表示されることを確認します。
Chrome を再起動します。
対象の Web サイトにアクセスし、「信頼されていない証明書」の警告が表示されないことを確認します。
Microsoft Edge
このセクションでは、Windows 10 および Microsoft Edge 92.0.902.67 (64 ビット) を例として使用します。
ルート証明書をインポートします。
Edge を開き、右上隅の
アイコンをクリックして、[設定] を選択します。[プライバシー、検索、サービス] タブをクリックします。
[セキュリティ] セクションまでスクロールし、[証明書の管理] をクリックします。Windows 証明書マネージャーが開きます。
[信頼されたルート証明機関] タブをクリックします。
左下の [インポート] をクリックします。プロンプトに従ってルート証明書ファイルをインポートします。「インポートが正常に完了しました」というメッセージが表示されると、完了です。
インポートを確認します。
選択したパスにルート証明書が表示されることを確認します。
Edge を再起動します。
対象の Web サイトにアクセスし、「信頼されていない証明書」の警告が表示されないことを確認します。
Mozilla Firefox
このセクションでは、Windows 10 および Firefox 127.0 (64 ビット) を例として使用します。
ルート証明書をインポートします。
Firefox を開き、右上隅の
アイコンをクリックして、[設定] を選択します。[プライバシーとセキュリティ] タブをクリックします。
[証明書] セクションまでスクロールし、[証明書を表示] をクリックします。証明書マネージャーが開きます。
[認証局証明書] タブをクリックし、[インポート] をクリックします。
プロンプトに従ってルート証明書ファイルを選択し、インポートします。
インポートを確認します。
[認証局証明書] タブで、証明書名列を確認し、ルート証明書がリストされていることを確認します。
Firefox を再起動します。
対象の Web サイトにアクセスし、「信頼されていない証明書」の警告が表示されないことを確認します。
Internet Explorer
このセクションでは、Windows 10 および Internet Explorer 11.1.20348.0 を例として使用します。
ルート証明書をインポートします。
Internet Explorer を開き、右上隅の
アイコンをクリックして、[インターネット オプション] を選択します。[インターネット オプション] ウィンドウで、[コンテンツ] タブをクリックします。
[証明書] をクリックして、証明書ウィンドウを開きます。
[信頼されたルート証明機関] タブをクリックします。
左下の [インポート] をクリックします。プロンプトに従ってルート証明書ファイルをインポートします。
インポートを確認します。
選択したパスにルート証明書が表示されることを確認します。
Internet Explorer を再起動します。
対象の Web サイトにアクセスし、「信頼されていない証明書」の警告が表示されないことを確認します。
リスクとメンテナンスに関する考慮事項
セキュリティリスク
信頼できないソース：ルート証明書は、公式または権威のあるチャネルからのみダウンロードしてください。不明なソースからルート証明書をインストールすると、マルウェアの注入や中間者攻撃が可能になり、システムのセキュリティが深刻に損なわれる可能性があります。
操作エラー：証明書を誤ったストアの場所にインポートしたり、誤った形式のファイルを使用したりすると、システムの信頼チェーンが中断されたり、アプリケーション接続の失敗が発生したりする可能性があります。
互換性とメンテナンス
システムまたはアプリケーションのバージョン制限：一部のレガシーオペレーティングシステムまたはアプリケーションは、新しいルート証明書アルゴリズムをサポートしておらず、互換性を確保するためにアップグレードが必要な場合があります。
ルート証明書の有効期限：ルート証明書には有効期限があります。CA が新しいルート証明書を発行する場合、または既存の証明書の有効期限が近づいている場合は、有効な信頼チェーンを維持するために、関連するすべてのクライアントでルート証明書を更新してください。
一括デプロイ
多数の異種デバイスにルート証明書を手動でインストールすることは、非効率的でエラーが発生しやすくなります。大規模なデプロイの場合は、自動化スクリプトまたは構成管理およびデバイス管理ツールを使用してください。
よくある質問
SSL 証明書の有効期限が切れた後、ルート証明書を再デプロイする必要がありますか?
クライアント環境によって異なります。
OS がルート証明書の更新を自動的に処理する主流のブラウザおよびオペレーティングシステムの場合、操作は不要です。新しい SSL 証明書が信頼されたルートにチェーンされている限り、信頼チェーンは有効なままです。
ルート証明書がプリインストールされていない環境 (組み込みトラストストアを持つモバイルアプリ、スタンドアロン Java クライアント、レガシーブラウザ、IoT デバイスなど) では、次の 2 つの状況で再デプロイが必要になる場合があります。更新時に証明書ブランドまたはタイプ (DV/OV/EV) を変更した場合、または元のルート証明書の有効期限が切れた場合 (または CA が新しいルートへの切り替えを発表した場合)。これらの場合は、一致するルート証明書をダウンロードし、本ガイドの説明に従って影響を受けるクライアントにインストールしてください。
中間証明書をインストールするにはどうすればよいですか?
プロセスはルート証明書のインストールと同じです。ルート証明書のインストール の手順に従いますが、保存先ストアとして [信頼されたルート証明機関] ではなく、[中間証明機関] (Firefox では [認証局証明書]) を選択してください。
Java クライアントが HTTPS にアクセスできない
これは通常、Java 実行環境 (JRE) トラストストアにルート証明書または中間証明書が欠落していることが原因です。トラブルシューティング手順については、「Java クライアントが HTTPS にアクセスできない」をご参照ください。
DigiCert、GeoTrust、Rapid 証明書はどのオペレーティングシステムでサポートされていますか?
証明書ブランド | ルート証明書 | Windows | macOS | Android | Java |
DigiCert DV 証明書 | 新しいルート（DigiCert Global Root G2） | Windows 8 以降 | OS X 10.7 以降 | Android 4.4.2 以降 | Java 1.8 以降 |
DigiCert DV 証明書 | 旧ルート（DigiCert Global Root CA） | Windows 7 以降 | OS X 10.5 以降 | Android 2.3.3 以降 | Java 1.6.05 以降 |
Rapid DV 証明書 | 新しいルート（DigiCert Global Root G2） | Windows 8 以降 | OS X 10.7 以降 | Android 4.4.2 以降 | Java 1.8 以降 |
GeoTrust OV および EV 証明書 | 旧ルート（DigiCert Global Root CA） | Windows 7 以降 | OS X 10.5 以降 | Android 2.3.3 以降 | Java 1.6.05 以降 |
2023 年 3 月中旬 以降、DigiCert および GeoTrust ブランドの SSL 証明書は、新しいルート DigiCert Global Root G2 を通じて発行されます。詳細については、「お知らせ：DigiCert ルート証明書のアップグレード」をご参照ください。
Android の断片化により、Android 4.4 ~ 5.0 を実行している一部のデバイスモデルでは互換性の問題が発生する可能性があります。
一部の Java バージョンには、デフォルトでルート証明書が含まれていない場合があります。特定の環境を確認してください。