SSL 証明書のサブスクリプションの有効期間、または単一証明書の有効期間が間もなく満了する場合、期限内に対応しないと、お客様の Web サイトでは HTTPS 経由でトラフィックを処理できなくなります。V2.0 と V1.0 の証明書では、更新ルールが異なります。サブスクリプションの有効期限が切れた場合は、更新してサブスクリプションの有効期間を延長します。単一証明書の有効期限が切れた場合は、代わりに新しい証明書を申請する必要があります。本トピックでは、まず証明書のバージョンを特定して更新条件を確認する方法、次に商用証明書とアップロードされた証明書を更新する方法、証明書の有効期限が切れた後の対処法について説明し、よくある質問にお答えします。
更新の前提条件
ステップ1：証明書のバージョンと種類の確認
SSL Certificate Management は V2.0 と V1.0 に分かれており、両バージョンでは管理エントリが異なります。両方のバージョンの証明書をお持ちの場合は、以下の各ページを開いて、対象の証明書がどこにあるかを確認してください。
エントリ | 説明 |
新しい管理ページです。新しく購入したすべての証明書はここで管理します。これには、[公式証明書][]、および[アップロードされた証明書の管理]が含まれます。 | |
旧バージョンの管理ページです。既存の[公式証明書][] のみを管理します。新規購入は提供終了しています。アカウントに V1.0 の証明書がない場合、リンクをクリックするとコンソールのホームページが開きます。 |
ステップ2：サブスクリプションと証明書のどちらの有効期限が切れるかの判断
このステップは、V1.0 および V2.0 の[公式証明書]にのみ適用されます。他の種類の証明書の場合は、スキップしてください。
サブスクリプションの有効期限が切れることをすでに確認している場合は、このステップをスキップしてください。
本トピックにおいて、更新とは SSL 証明書のサブスクリプションの有効期間、つまり購入したサービス期間を延長することを意味します。証明書業界のグローバルポリシーにより、1 回の発行で有効となる最長期間が定められています。サブスクリプション期間がその上限を超える場合、サブスクリプションは連続して発行される複数の証明書で構成されます。現在の証明書の有効期限が近づいていても、サブスクリプションの有効期限がまだ切れていない場合は、更新するのではなく、新しい証明書を申請してください。
サブスクリプションの有効期間と証明書の有効期間の関係は次のとおりです。
サブスクリプション期間は、最初の証明書の発行日から起算されます。たとえば、1 年間のサブスクリプションを購入し、最初の証明書が T 日に発行された場合、サブスクリプションは T 日から 1 年後に期限切れとなります。更新後、新しい有効期限は元のサブスクリプションの有効期限から起算されます。たとえば、2 年間更新し、元のサブスクリプションが N 日に期限切れとなる場合、更新後のサブスクリプションは N 日から 2 年後に期限切れとなります。
以下の方法で、サブスクリプションと現在の証明書のどちらの有効期限が切れるかを判断します。
サブスクリプションの有効期限 | 証明書の有効期限 | |
V2.0 | [公式証明書]タブで、対象の証明書インスタンスの[サブスクリプション有効期間]を確認します。サブスクリプションの有効期限が切れていない場合は、新しい証明書を申請してください。 | [公式証明書]タブで、対象の証明書インスタンスの[この証明書のステータス]列に日付が表示されます。 |
V1.0 | [公式証明書]タブで、対象の証明書を確認します。証明書が黄色の線
| [公式証明書]タブで、対象の証明書の[有効期間]を確認します。 |
で下にリンクされている場合、サブスクリプションの有効期限は切れていません。下の証明書のステータスが次の場合：証明書の申請方法については、「CAへの申請提出」をご参照ください。新しい証明書が発行された後、再度お使いのシステムにデプロイする必要があります。
ステップ3：更新条件を満たしているかの確認
V2.0 | V1.0 | |
[公式証明書] |
|
|
[アップロードされた証明書の管理] | [ステータス]が[まもなく期限切れ]であること。これは、証明書の有効期間が 15 日未満 (残り 14 日以下) であることを意味します。更新は、Alibaba Cloud で新しい証明書を購入することと同じです。 | 該当なし。V2.0 に移行してください。 |
V2.0 は早期更新をサポートしています。[この証明書のステータス]が[発行済み]または[まもなく期限切れ]で、上記の他の条件が満たされていれば、サブスクリプションの有効期間内であればいつでも更新できます。証明書の有効期限が近づくまで待つ必要はありません。
V1.0 の更新エントリは、証明書のステータスが[まもなく期限切れ]になった後にのみ自動的に表示されます。これは想定内の動作です。実際には、残り 15 日の時点では更新ボタンがまだ表示されず、通常は翌日、つまり残り 14 日以下になると表示されます。
更新エントリが表示される前に V1.0 証明書を処理するには、V2.0 で同じ仕様とブランドの新しい証明書を購入することができます。ただし、新しいインスタンスのサブスクリプションの有効期間は元のインスタンスとは別に計算されるため、2 つのインスタンスの重複期間は無駄になります。詳細については、「更新と直接購入の違いは何ですか。」をご参照ください。
有効期限リマインダーのメールやテキストメッセージにある「証明書の更新とアップデートは、少なくとも 5 営業日前までに行ってください」というフレーズは、有効期限が切れる前に更新、申請、検証、デプロイを完了するために、少なくとも 5 営業日の余裕を持たせるべきであることを意味します。リマインダーを受け取ってから 5 日以内に更新しなければならないという意味ではありません。リマインダーを受け取った時点で、更新期間がまだ開始されていないのは正常です。
[公式証明書]の更新
V2.0
SSL Certificate Management V2.0 ページに移動します。
[公式証明書]タブで、対象の証明書サブスクリプションインスタンスを見つけます。
対象の証明書サブスクリプションインスタンスの操作 列で、
アイコンをクリックし、ダイアログボックスで更新 をクリックします。更新条件が満たされていない場合、コンソールに更新 ボタンは表示されません。更新条件については、「ステップ3：更新条件を満たしているかの確認」をご参照ください。
表示されるページで、更新期間を選択し、必要に応じて自動更新を選択して、支払いを完了してください。
自動更新は、支払いを自動的に完了し、サブスクリプションの有効期間を延長するだけです。証明書の申請やデプロイは自動的には行われません。
更新後、現在の証明書インスタンスの操作 列にある証明書の申請 をクリックして、証明書を再度申請し、デプロイしてください。詳細な手順については、「CAへの申請提出」および「証明書のデプロイ方法の選択」をご参照ください。証明書インスタンスでマネージドサービスが有効になっている場合、特定の条件が満たされると、申請とデプロイのプロセスが自動的に開始されます。詳細については、「証明書ホスティングとは」をご参照ください。
V1.0
SSL Certificate Management (V1.0 提供終了) ページに移動します。
[公式証明書]タブで、対象の証明書を見つけます。操作 列で更新購入 をクリックします。
更新条件が満たされていない場合、更新購入 ボタンは表示されません。更新条件については、「ステップ3：更新条件を満たしているかの確認」をご参照ください。
証明書更新料金 パネルで、次のパラメーターを設定してください。
[Csr生成方法]：システム生成 を選択することを推奨します。これは、キーローテーションのセキュリティプラクティスに従うためです。手動で入力する またはオリジナルキーの更新 を選択することもできます。詳細については、「CSRファイルの作成方法」をご参照ください。
[ドメイン名検証方法]：デフォルトでは、古い証明書で使用されたものと同じ方法が使用されます。必要に応じて変更できます。
[連絡先]：情報が正確かつ有効であることを確認してください。
[更新期間]：残りの証明書クォータがある場合、更新期間は 1 年に固定となり、未使用の証明書クォータが 1 つ消費されるため、追加の支払いは必要ありません。残りの証明書クォータが 0 の場合は、別途支払う必要があり、利用可能な更新期間は証明書のブランドによって異なります。
クォータが残っていないために別途支払って更新する場合、新しい証明書は V2.0 の[公式証明書]に作成され、その後の操作は V2.0 の[公式証明書]タブで実行する必要があります。
即時更新 をクリックし、支払いを完了してください。
更新後、システムは[保留中の申請]状態の新しい証明書を生成するため、再度証明書の申請とデプロイを行う必要があります。詳細な手順については、「CAへの申請提出」および「証明書のデプロイ方法の選択」をご参照ください。証明書インスタンスでマネージドサービスが有効になっている場合、特定の条件が満たされると、申請とデプロイのプロセスが自動的に開始されます。詳細については、「証明書ホスティングとは」をご参照ください。
[アップロードされた証明書の管理]の更新
SSL Certificate Management V2.0 ページに移動します。
[アップロードされた証明書の管理]タブで対象の証明書を見つけ、操作 列の証明書の更新 をクリックしてください。
購入ページで、設定を選択して購入を完了してください。購入パラメーターについては、「証明書の購入」をご参照ください。
よくある質問
証明書の有効期限が切れてしまいました。どうすればよいですか。
期限切れの証明書は更新できません。新しい証明書を購入する必要があります。
[公式証明書]の有効期限が切れた場合は、「商用証明書の購入」をご参照いただき、新しい証明書を購入してください。
[アップロードされた証明書の管理]の有効期限が切れた場合は、元のプロバイダーから新しい証明書を購入するか、Alibaba Cloud で[公式証明書]を購入してください。
期限切れの証明書によってすでにサービスが中断している場合は、まず緊急復旧のためにドメイン認証 (DV) シングルドメイン証明書を購入することを推奨します。DNS 検証を使用すると、このような証明書は通常、数分から約 15 分で発行されます。アクセスが復旧した後、必要な仕様の証明書に置き換えてください。組織認証 (OV) および拡張認証 (EV) 証明書は手動レビューが必要で、発行に時間がかかるため、緊急復旧には適していません。
2 年間の証明書を購入したのに、証明書の有効期間が 6 か月しかないのはなぜですか。
これは想定内の動作です。サブスクリプションの有効期間と証明書の有効期間という 2 つの概念を区別する必要があります。
サブスクリプションの有効期間：購入したサービス期間 (1 年、2 年、3 年など) です。最初の証明書が発行された日から起算されます。
証明書の有効期間：単一の証明書が実際に使用できる期間です。注文日ではなく、CA が発行した日から起算されます。CA/Browser Forum の業界ポリシーによる制約のため、1 回の発行で有効となる最長期間は短縮され続けており、現在は約 6 か月です。
その結果、サービス期間全体をカバーするために、サブスクリプション期間内に数回証明書を申請する必要があります。たとえば、1 年間のサブスクリプションでは通常 2 回、2 年間のサブスクリプションでは通常 4 回の申請が必要です。単一証明書の有効期間は、コンソールに表示されているとおりです。
購入した期間が短くなることはなく、サブスクリプション期間内に証明書を申請しても追加料金はかかりません。ただし、各証明書の有効期限が切れる前に、次の証明書を申請し、再度デプロイする必要があります。マネージドサービスが有効になっていない場合、サブスクリプション期間中に約 6 か月ごとに申請とデプロイを実行する必要があるため、事前に運用計画を立ててください。
更新ボタンが見つからないのはなぜですか。
まず、「ステップ1：証明書のバージョンと種類の確認」で証明書がどのバージョンに属するかを確認し、以下の該当するセクションでトラブルシューティングを行ってください。
両方のバージョンに適用される一般的な確認事項：
証明書の有効期限は切れていませんか。期限切れの証明書は更新できず、更新エントリは利用できなくなるため、新しい証明書を購入する必要があります。
別のコンソールを参照していませんか。SSL 証明書の更新エントリは、デジタル証明書を管理する Certificate Management Service コンソールの証明書リストにあります。費用とコストコンソールの[更新] または[マイサブスクリプション] ページにはありません。
ボタンが
アイコンの後ろに隠れていないか確認してください。アイコンをクリックすると表示されます。
V2.0 証明書：
証明書のステータスは[発行済み]または[まもなく期限切れ]である必要があります。
その他の制限については、「ステップ3：更新条件を満たしているかの確認」をご参照ください。
V1.0 証明書：
V1.0 は早期更新をサポートしていません。更新エントリは、有効期限が残り 15 日になってから表示されます。
残り 15 日の時点では更新ボタンがまだ表示されない場合があります。通常は、残り 14 日以下になるまで、つまり翌日まで待つ必要があります。
システムは有効期限が切れる前に次の証明書を自動的に申請しますか。
V1.0 証明書の場合、購入期間内であり、次の証明書が[ない活性化]の状態であれば、次の証明書の申請プロセスが自動的に開始されます。V2.0 証明書の場合、次の申請が自動的に開始されるようにするには、マネージドサービスを有効にする必要があります。そうでない場合は、有効期限が切れる前に自分で申請を提出する必要があります。
マネージドサービスに関する次の点にご注意ください。
マネージドサービスは有料サービスです。マネージドサービスのクォータを別途購入する必要があり、その料金には証明書自体の費用は含まれません。クォータを購入してもすぐに新しい証明書が発行されるわけではなく、システムが自動的に申請を提出したときにのみクォータが差し引かれます。
トリガーのタイミング：システムは、サブスクリプションが 1 年に達したときではなく、現在の証明書の残りの有効期間が 15 日未満になったときにのみ、次の証明書の申請を提出します。
検証不要の権限付与が必要です。ドメイン名が現在のアカウントに属していない、または Alibaba Cloud DNS を使用していないなどの理由で、ドメイン名に検証不要の権限付与がない場合でも、期間内にドメイン所有権の検証を完了する必要があります。そうしないと、発行に失敗します。
自動デプロイは、CDN、WAF、SLB/ALB などの関連する Alibaba Cloud サービスのみをサポートしています。ECS 上の NGINX や Apache などの自己管理 Web サーバー、またはオンプレミスサーバーにデプロイされた証明書については、発行後に新しい証明書を手動でダウンロードしてインストールする必要があります。
証明書のステータスが「ホスト済み、未アクティブ化」とはどういう意味ですか。何か対応は必要ですか。
これは正常な状態です。システムが次の証明書を予約しましたが、まだ発行プロセスをトリガーしていないことを意味します。現在の証明書の残りの有効期間が 15 日未満になると、システムは自動的に申請を提出します。この期間中に受信する有効期限リマインダーのテキストメッセージやメールは定期的な通知であり、自動更新プロセスには影響しません。
次の 2 点に注意する必要があります。
ドメイン名に検証不要の権限付与がない場合は、ドメイン所有権の検証を完了する必要があります。
新しい証明書が発行された後、手動でのデプロイが必要かどうかを確認してください。詳細については、「システムは有効期限が切れる前に次の証明書を自動的に申請しますか。」をご参照ください。
新しい証明書が発行後にクラウドサービスに自動的にデプロイされるかどうかを確認するには、Certificate Management Service コンソールのデプロイメント管理 > クラウドサービスへのデプロイ ページで、クラウドプロダクトのマネージドデプロイ タブの対応するホスト型デプロイタスクのステータスを確認してください。
証明書の有効期限リマインダーを設定または無効にするにはどうすればよいですか。
リマインダーのカスタマイズ：商用証明書では、有効期限リマインダーがデフォルトで有効になっています。調整するには、Certificate Management Service コンソールのメッセージ通知ページで対象の証明書を見つけて編集してください。一括編集もサポートされています。リマインダーの連絡先、通知チャネル、リマインダーを送信するタイミング、リマインダーの頻度を設定できます。
利用可能な値：有効期限リマインダーの時間は、15 日、30 日、60 日、または 90 日前から選択でき、デフォルトは 30 日です。リマインダーの頻度は、1 回のみ、毎日、3 日ごと、5 日ごと、または 7 日ごとから選択でき、デフォルトは毎日です。
通知チャネル：メール、内部メッセージ、Webhook がサポートされています。テキストメッセージはサポートされていません。
リマインダーの無効化：メッセージ通知ページで、対象の証明書のリマインダースイッチをオフに設定してください。リマインダーを無効にした後は、有効期限による業務の中断を避けるため、ご自身で証明書の有効期間を監視してください。
コンソールのメッセージ通知に加えて、証明書を申請する際に指定した連絡先は、独立して有効期限通知を受け取ります。その連絡先は、証明書情報で別途管理する必要があります。
更新の支払い後もコンソールに変化がなく、新しい証明書が見つかりません。なぜですか。
更新は、古い証明書の有効期間を延長するものではありません。本質的には、新しい証明書を発行することです。そのため、支払い後も古い証明書は[まもなく期限切れ]のステータスで表示されますが、これは想定内の動作です。次のように確認し、対応してください。
適切な場所で新しい証明書を探してください：「ステップ1：証明書のバージョンと種類の確認」をご参照ください。
更新が有効になったことを確認してください：証明書インスタンスの[サブスクリプション有効期間]が更新期間分延長されているかを確認してください。
クォータが残っていないために別途支払って V1.0 証明書を更新した場合、新しい証明書は V2.0 の[公式証明書]に作成され、その後の操作は V2.0 の[公式証明書]タブで実行する必要があります。
残りの必要なステップを完了してください：支払いだけでは新しい証明書は有効になりません。[公式証明書]タブで、申請待ち状態の新しい証明書を見つけ、操作 列の証明書の申請 をクリックして申請を提出し、ドメイン所有権の検証を完了させ、CA が証明書を発行するのを待ち、最後に新しい証明書をダウンロードしてデプロイし、古いものと置き換えてください。デプロイが完了するまで、Web サイトでは古い証明書が使用され続けます。
支払い済みにもかかわらず新しい証明書が見つからない場合は、ページを更新し、証明書を購入したアカウントでログインしていることを確認してください。
更新した証明書をデプロイした後も、Webサイトに「安全でない」または「期限切れ」の証明書の警告が表示されるのはなぜですか。
更新はサブスクリプション期間を延長するだけです。サーバー上の証明書を自動的に置き換えるものではないため、再度証明書を申請し、デプロイする必要があります。詳細な手順については、「CAへの申請提出」および「証明書のデプロイ方法の選択」をご参照ください。
再デプロイ後も警告が続く場合は、次の手順でトラブルシューティングを行ってください。
正しい証明書ファイルがデプロイされていることを確認してください：サーバーに古い証明書ファイルではなく、新しく発行された証明書ファイルがデプロイされていることを確認してください。
Web サービスが再起動されたことを確認してください：NGINX、Apache、Tomcat、IIS などの Web サーバーでは、証明書ファイルを置き換えた後、新しい証明書が有効になる前にサービスを再起動またはリロードする必要があります。
ブラウザのキャッシュをクリアしてください：ブラウザが古い証明書の状態をキャッシュしている可能性があります。Ctrl+F5 でページを強制的に再読み込みするか、ブラウザのキャッシュをクリアするか、シークレットモードまたはプライベートモードでサイトにアクセスしてみてください。
CDN や WAF などの中間サービスを確認してください：Web サイトがコンテンツ配信ネットワーク (CDN)、Web アプリケーションファイアウォール (WAF)、Global Accelerator (GA)、または Server Load Balancer (SLB) を使用している場合は、これらのサービスのコンソールでも証明書を新しいものに更新する必要があります。そうしないと、訪問者はこれらの中間サービスから提供される古い証明書を依然として受け取ることになります。
証明書チェーンが完全であることを確認してください：Alibaba Cloud からダウンロードした証明書ファイルには、通常、完全な証明書チェーンが含まれています。自分で組み立てる場合は、サーバー証明書とすべての中間証明書が含まれていることを確認してください。
V1.0 を更新した後、証明書リストに同じものが2つ含まれるなど、複数のレコードがあるのはなぜですか。
これは想定内の動作です。V1.0 証明書が更新されると、システムは[保留中の申請]状態の新しい証明書を生成し、元の証明書の下にリンクされたレコードを追加します。リンクされたレコードは、古い証明書と新しい証明書の間の関係を示すだけであり、証明書自体は同じものであるため、二重に請求されることはありません。
更新と直接購入の違いは何ですか。
[公式証明書]：サブスクリプションの有効期間の計算方法が異なります。
証明書の更新：新しい有効期限は、サブスクリプションの有効期限から起算されます。たとえば、元のサブスクリプションが 2026 年 6 月 1 日に期限切れとなり、2026 年 5 月 18 日に 1 年間更新した場合、新しいサブスクリプションは 2027 年 6 月 1 日に期限切れとなります。
直接購入：有効期間の計算が、元の証明書サブスクリプションインスタンスから完全に独立しています。サブスクリプションの有効期間は、新しい証明書が最初に発行された日から起算されるため、2 つのインスタンス間の重複期間は無駄になります。
[] [アップロードされた証明書の管理]：更新と直接購入の間に違いはありません。どちらの場合も、サブスクリプションの有効期間は、新しい証明書が最初に発行された日から起算されます。
複数の証明書を所有しています。どれを更新する必要があるかを確認するにはどうすればよいですか。
SSL 証明書はインスタンスごと、つまり証明書ごとに更新されるため、複数の証明書が同じドメイン名をカバーしている場合でも、各証明書を個別に確認する必要があります。次のアプローチを推奨します。
SSL Certificate Management V2.0 と V1.0 の両方の商用証明書タブにある証明書リストを確認し、現在のステータスが有効期限間近または期限切れの証明書インスタンスを探してください。
Certificate Management Service コンソールのメッセージ通知ページで、有効期限リマインダーが設定されている証明書のリストを確認し、リマインダーのない証明書を見落とさないようにしてください。重要な証明書にはリマインダーを有効にすることを推奨します。
商用証明書の更新に関するセクションに従って、更新が必要な各証明書を更新してください。各更新後、すべての新しい証明書は、個別に申請、発行、デプロイする必要があります。
有料の更新注文は、1 つの証明書インスタンスのみを対象としています。複数の証明書をお持ちの場合は、複数の更新タスクがあるため、見落としを避けるためにインスタンスごとに確認してください。
V2.0 の手動更新、自動更新、マネージドサービスの中からどのように選択すればよいですか。
方法 | 範囲 | シナリオ |
手動更新 | サブスクリプション期間を延長するだけです。更新後、新しい証明書を手動で申請、検証、取得、デプロイする必要があります。 | 証明書の数が少なく、更新のタイミングを自分で管理したい場合 |
自動更新 (購入時または更新時に選択) | 支払いを自動的に完了し、サブスクリプションの有効期間を延長するだけです。証明書の申請やデプロイは自動的には行われず、その後の操作は手動更新と同じです。 | 支払いを忘れることを避けたい場合 |
マネージドサービス | 有料サービスです。システムは現在の証明書の有効期限が切れる前に新しい証明書を自動的に申請して取得し、CDN、WAF、SLB などの関連する Alibaba Cloud サービスに新しい証明書を自動的にデプロイできます。 | 更新作業を減らしたい場合。ECS インスタンスやオンプレミスサーバーなどの自己管理サーバーにデプロイされた証明書については、発行後に手動でデプロイする必要があります。 |
現在の証明書を処理するだけでよい場合は、手動更新を選択してください。後々のメンテナンス作業を減らしたい場合は、マネージドサービスを有効にすることを検討してください。詳細については、「システムは有効期限が切れる前に次の証明書を自動的に申請しますか。」をご参照ください。