デジサートのTLSルート戦略 — 2026年10月15日より G5 ルート階層へ移行します
ページ更新日：2026/07/22
デジサート（DigiCert）は、業界標準への準拠のためTLSルート証明書の再編を進めています。
その中心が、2026年10月15日から既定の発行元となる新しいルート階層 — G5 ルートです。
G5 への移行に加え、クライアント認証EKUの廃止、中間CA証明書の年次ローテーション、
旧 G1 ルートの削除など、複数の変更が同時並行で進みます。
通常のHTTPS用途で、OS・ブラウザ標準のトラストストアを利用しているWebサイトであれば、
「証明書チェーン（中間CA証明書）をきちんと全部入れる」「ピン留め・ハードコードをしない」
という運用ができている限り、お客様側の追加対応は基本的に不要です。
一方、次のいずれかに当てはまる環境は別途の対応が必要です。
- 独自のトラストストアを持つ環境（アプライアンス、組込機器、Javaの cacerts、コンテナイメージ内のCAバンドル、 自前のCAバンドルを参照するアプリなど）— G5 ルート・中間CA証明書の追加が必要です
- mTLS（相互TLS）にパブリックTLS証明書を使っている — クライアント認証EKU廃止（2027年3月1日）への移行が必要です
- G1 階層の証明書がまだ稼働している — 既に Google Chrome・Mozilla Firefox で信頼されません。再発行・更新が必要です
- G2／G3 階層であることを前提に固定している（ピン留め・チェーン検証の決め打ち等）— G5 移行前に解消が必要です
変更スケジュール（一覧）
| 時期 | 変更内容 | 影響 |
| 2026年4月15日 （実施済み） |
Mozilla・Google Chrome が G1 ルートCAをルートストアから削除 | G1 階層の証明書は Google Chrome・Mozilla Firefox で信頼されない。G2／G3 階層で再発行・更新が必要 |
| 2026年5月15日 （実施済み） |
一部の G2／G3 中間CA証明書の失効 | その中間CAから発行されたサーバー証明書は、チェーンを検証できず接続先から信頼されない可能性がある。期限前の再発行・更新が必要 |
| 2026年5月15日 （実施済み） |
G5 クロスルート証明書の失効 | サーバー証明書は有効なまま。サーバーに設定しているクロスルート証明書の差し替え（チェーンの入れ替え）で対応 |
| 2026年10月15日 | 既定の発行元が G5 TLSルート階層へ移行 | 以降に発行される証明書のチェーンが変わる。完全なチェーンの設定が必須 |
| 2027年3月1日 | パブリックTLS証明書からクライアント認証（clientAuth）EKUを完全廃止 | 通常のHTTPSは影響なし。mTLS（相互TLS）利用者は代替手段への移行が必要 |
| 2027年10月15日 | G5 TLS中間CA証明書の年次ローテーション開始（約365日ごと） | 再発行・更新のたびに中間CA証明書が変わる可能性。常に発行時のチェーンを設定 |
① G5 TLSルート階層への移行（2026年10月15日〜）
2026年10月15日以降、デジサートは既定で次の G5 ルートから証明書を発行します。
- DigiCert TLS RSA4096 Root G5（RSA）
- DigiCert TLS ECC P384 Root G5（ECC）
対象は DV・OV・EV のすべてのパブリックTLS証明書で、
DigiCert / GeoTrust / Thawte / RapidSSL / Encryption Everywhere の各ブランドを含みます。
弊社取り扱いの RapidSSL、Secure Site、
トゥルービジネスID なども対象です。
移行の理由：Google Chrome が 2027年9月15日より、CAごとに有効なTLSルートを
最大2つまでに制限する方針を示しているためです。デジサートはこれに合わせ、
RSA・ECC 各1つの G5 ルートに集約します。
DigiCert TLS RSA4096 Root G5 （ルート証明書）
┗ G5 中間CA証明書 （例：DigiCert G5 TLS RSA4096 SHA384 2021 CA1 / GeoTrust G5 TLS RSA4096 SHA384 2022 CA1）
┗ お客様のコモンネーム （サーバー証明書）
ECC の場合は DigiCert G5 TLS ECC SHA384 2021 CA1 / GeoTrust G5 TLS ECC P-384 SHA384 2022 CA1 などが中間CAとなります。
古い環境との互換性のため、DigiCert Global G2 cross signed DigiCert TLS RSA 4096 Root G5／
DigiCert Global G3 cross signed DigiCert TLS ECC P384 Root G5 といったクロスルート証明書が使われる場合もあります。
② クライアント認証EKUの廃止（2027年3月1日）
パブリックTLS証明書から、拡張キー使用法（EKU）のクライアント認証（clientAuth）が削除され、
サーバー認証（serverAuth）のみになります。
通常のWebサイトのHTTPS用途では影響はありません。
パブリックTLS証明書をクライアント側の認証（mTLS）に流用している場合のみ、代替手段への移行が必要です。
- X9 PKI for TLS
- プライベート（非公開）トラストのPKI
- DigiCert Assured ID Root G2 / G3 ※非ブラウザ環境向け
詳細は デジサート パブリックTLS証明書のクライアント認証EKUが廃止へ および 廃止スケジュールの延期について をご参照ください。
③ 中間CA証明書の年次ローテーション（2027年10月15日〜）
デジサートは G5 TLS中間CA証明書を約365日ごとにローテーションします。
つまり、証明書を更新・再発行するタイミングによって、組み合わせる中間CA証明書が変わります。
中間CA証明書を一度設定したきり使い回している環境では、チェーン不整合による信頼エラーが起こり得ます。
証明書の発行のたびに、発行メールに含まれる中間CA証明書をセットで設定し直してください。
④ G1ルートCAの削除／中間CA・クロスルート証明書の失効（実施済み）
2026年4月15日に Mozilla と Google Chrome が G1 ルートCAをルートストアから削除し、
同日以降、G1 階層の証明書は Google Chrome・Mozilla Firefox で信頼されなくなりました。
G2／G3 階層での再発行・更新が必要です。
また2026年5月15日には、複数の G2／G3 中間CA証明書と G5 クロスルート証明書が失効しています。
この2つは対応方法が異なります。
- 中間CA証明書（ICA）の失効：その中間CAから発行されたサーバー証明書は、
証明書チェーンを検証できず、接続先（ブラウザ・検証ソフトウェア）から信頼されない可能性があります。
デジサートも「検証ソフトウェアがエンド証明書を信頼しない可能性があるため」再発行・更新を案内しています。
有効期限前であっても、再発行または更新が必要です。 - クロスルート証明書の失効：サーバー証明書そのものは有効です。
サーバーに設定しているクロスルート証明書を差し替える（チェーンを入れ替える）だけで対応できます。
エンド証明書の再発行は不要です。
SSL証明書インストールチェッカー で、 現在稼働中のサーバーの証明書チェーンをご確認ください。
お客様の対応（通常のWebサイトの場合）
以下は OS・ブラウザ標準のトラストストアを利用する、通常のHTTPS用途の場合の対応です。
独自トラストストアを持つ環境・mTLS 環境は、次章もあわせてご確認ください。
■ 1. 完全な証明書チェーンをインストールする
サーバー証明書だけでなく、発行時に案内される中間CA証明書をすべて設定します。
設定方法は 中間証明書のインストールについて をご参照ください。
■ 2. ルート／中間CA証明書をピン留めしない
証明書ピンニング（Certificate Pinning）を行っていると、G5 移行や中間CAのローテーションで
通信が突然失敗します。ピン留めは廃止してください。
■ 3. CA証明書をハードコードしない
アプリケーションやスクリプトに特定のCA証明書を埋め込まず、OS・ライブラリの
トラストストアを参照する実装にしてください。
上記3点が守られており、かつ検証側が OS・ブラウザ標準のトラストストアを使っていれば、
G5 への移行にあたってお客様側で特別な作業は発生しません。
2026年10月15日以降に発行される証明書を、いつもどおり発行メールの内容に従って設置するだけです。
別途の対応が必要になる環境
■ 独自のトラストストアを使っている環境
アプライアンス、組込機器・IoT、Javaの cacerts、コンテナイメージ内のCAバンドル、
自前のCAバンドルを参照するアプリケーションなどは、OSの更新では G5 ルートが入りません。
DigiCert TLS RSA4096 Root G5 / DigiCert TLS ECC P384 Root G5 の各ルートに加え、
該当する G5 中間CA証明書もあわせて事前に追加してください。
■ mTLS（相互TLS）でパブリックTLS証明書を使っている環境
2027年3月1日のクライアント認証EKU完全廃止までに、X9 PKI for TLS やプライベートトラストへ移行してください。
■ G1 階層の証明書が残っている環境
既に Google Chrome・Mozilla Firefox で信頼されていません。至急、再発行・更新をご検討ください。
■ G2／G3 階層を前提に固定している環境
チェーン検証を決め打ちしている実装は、G5 移行前に解消が必要です。
ご不明な点は お問い合わせ よりご相談ください。
デジサート公式情報
DigiCert TLSルート戦略：業界標準への準拠（DigiCert ナレッジベース）
※スケジュールは変更される場合があります。最新情報は公式ページをご確認ください。