デジサートのTLSルート戦略 — 2026年11月13日より G5 ルート階層へ移行します
ページ更新日：2026/10/15
デジサートは既定の発行元を G5 に切り替える日を、2026年10月15日から 2026年11月13日（日本時間 3:00〜5:00。UTC では 11月12日 18:00〜20:00） に延期しました。本ページの日付はすべて延期後のものです。
デジサートの告知（ナレッジベース）
デジサート（DigiCert）は、業界標準への準拠のためTLSルート証明書の再編を進めています。
その中心が、2026年11月13日から既定の発行元となる新しいルート階層 — G5 ルートです。
G5 への移行に加え、クライアント認証EKUの廃止、中間CA証明書の年次ローテーション、
旧 G1 ルートの削除など、複数の変更が同時並行で進みます。
通常のHTTPS用途で、OS・ブラウザ標準のトラストストアを利用しているWebサイトであれば、
「証明書チェーン（中間CA証明書）をきちんと全部入れる」「ピン留め・ハードコードをしない」
という運用ができている限り、お客様側の追加対応は基本的に不要です。
一方、次のいずれかに当てはまる環境は別途の対応が必要です。
- 独自のトラストストアを持つ環境（アプライアンス、組込機器、Javaの cacerts、コンテナイメージ内のCAバンドル、 自前のCAバンドルを参照するアプリなど）— G5 ルート・中間CA証明書の追加が必要です
- mTLS（相互TLS）にパブリックTLS証明書を使っている — クライアント認証EKU廃止（2027年3月1日）への移行が必要です
- G1 階層の証明書がまだ稼働している — 既に Google Chrome・Mozilla Firefox で信頼されません。再発行・更新が必要です
- G2／G3 階層であることを前提に固定している（ピン留め・チェーン検証の決め打ち等）— G5 移行前に解消が必要です
変更スケジュール（一覧）
| 時期 | 変更内容 | 影響 |
| 2026年4月15日 （実施済み） |
Mozilla・Google Chrome が G1 ルートCAをルートストアから削除 | G1 階層の証明書は Google Chrome・Mozilla Firefox で信頼されない。G2／G3 階層で再発行・更新が必要 |
| 2026年5月15日 （実施済み） |
一部の G2／G3 中間CA証明書の失効 | その中間CAから発行されたサーバー証明書は、チェーンを検証できず接続先から信頼されない可能性がある。期限前の再発行・更新が必要 |
| 2026年5月15日 （実施済み） |
G5 クロスルート証明書の失効 | サーバー証明書は有効なまま。サーバーに設定しているクロスルート証明書の差し替え（チェーンの入れ替え）で対応 |
| 2026年11月13日 （10月15日から延期） |
既定の発行元が G5 TLSルート階層へ移行 | 以降に発行（新規・更新・再発行）される証明書のチェーンが変わる。完全なチェーンの設定が必須 |
| 2027年2月28日 | G2／G3 階層から発行する証明書の有効期限の切り詰め開始（2027年9月14日 23:59:59 UTC＝日本時間 9月15日 8:59:59 まで） | G2／G3 を明示選択して発行し続けている場合のみ。G5 で発行した証明書は影響なし |
| 2027年3月1日 | パブリックTLS証明書からクライアント認証（clientAuth）EKUを完全廃止 | 通常のHTTPSは影響なし。mTLS（相互TLS）利用者は代替手段への移行が必要 |
| 2027年6月8日 | G2／G3 中間CAの選択が、例外承認のないアカウントで不可に | G2／G3 を明示選択して発行し続けている場合のみ |
| 2027年9月14日 | CertCentral から G2／G3 階層の発行オプションを削除 | G2／G3 を明示選択して発行し続けている場合のみ。以後はブラウザ信頼を要しない用途に限り個別承認 |
| 2027年9月15日 | Google Chrome が対象の G2／G3 階層から発行された証明書を信頼しなくなる | G2／G3 階層の証明書が稼働していれば、それまでに G5 で再発行・更新が必要 |
| 2027年10月15日 | G5 TLS中間CA証明書の年次ローテーション開始（約365日ごと） | 再発行・更新のたびに中間CA証明書が変わる可能性。常に発行時のチェーンを設定 |
※2027年の日程はデジサートの告知どおり UTC 基準です（日本時間は翌朝 9:00 まで前日扱い）。2026年11月13日の移行日のみ日本時間で表記しています。
① G5 TLSルート階層への移行（2026年11月13日〜）
2026年11月13日以降、デジサートは既定で次の G5 ルートから証明書を発行します。
- DigiCert TLS RSA4096 Root G5（RSA）
- DigiCert TLS ECC P384 Root G5（ECC）
対象は DV・OV・EV のすべてのパブリックTLS証明書で、
DigiCert / GeoTrust / Thawte / RapidSSL / Encryption Everywhere の各ブランドを含みます。
弊社取り扱いの RapidSSL、スタンダード・サーバID、Secure Site、
トゥルービジネスID なども対象です。
移行の理由：Google Chrome が 2027年9月15日より、CAごとに有効なTLSルートを
最大2つまでに制限する方針を示しているためです。デジサートはこれに合わせ、
RSA・ECC 各1つの G5 ルートに集約します。
DigiCert TLS RSA4096 Root G5 （ルート証明書）
┗ G5 中間CA証明書 （例：DigiCert G5 TLS RSA4096 SHA384 2021 CA1 / GeoTrust G5 TLS RSA4096 SHA384 2022 CA1）
┗ お客様のコモンネーム （サーバー証明書）
ECC の場合は DigiCert G5 TLS ECC SHA384 2021 CA1 / GeoTrust G5 TLS ECC P-384 SHA384 2022 CA1 などが中間CAとなります。
古い環境との互換性のため、DigiCert Global G2 cross signed DigiCert TLS RSA 4096 Root G5／
DigiCert Global G3 cross signed DigiCert TLS ECC P384 Root G5 といったクロスルート証明書が使われる場合もあります。
G2／G3 階層の終了スケジュール（明示選択で使い続ける場合）
2026年11月13日以降も、中間CA（ICA）の選択が有効な契約のアカウントに限り、G2／G3 中間CAを明示的に選んで発行できます。
ただし 2027年2月28日以降に G2／G3 から発行する証明書は有効期限が 2027年9月14日 23:59:59 UTC（日本時間 9月15日 8:59:59）までに切り詰められ、
2027年9月15日（UTC）からは Google Chrome がその階層の証明書を信頼しなくなります（上表参照）。
弊社経由のご注文は 11月13日以降 G5 で発行します。G2／G3 固定が必要な環境は、それまでに解消してください。
② クライアント認証EKUの廃止（2027年3月1日）
パブリックTLS証明書から、拡張キー使用法（EKU）のクライアント認証（clientAuth）が削除され、
サーバー認証（serverAuth）のみになります。
通常のWebサイトのHTTPS用途では影響はありません。
パブリックTLS証明書をクライアント側の認証（mTLS）に流用している場合のみ、代替手段への移行が必要です。
- X9 PKI for TLS
- プライベート（非公開）トラストのPKI
- DigiCert Assured ID Root G2 / G3 ※非ブラウザ環境向け
詳細は デジサート パブリックTLS証明書のクライアント認証EKUが廃止へ および 廃止スケジュールの延期について をご参照ください。
③ 中間CA証明書の年次ローテーション（2027年10月15日〜）
デジサートは G5 TLS中間CA証明書を約365日ごとにローテーションします。
つまり、証明書を更新・再発行するタイミングによって、組み合わせる中間CA証明書が変わります。
中間CA証明書を一度設定したきり使い回している環境では、チェーン不整合による信頼エラーが起こり得ます。
証明書の発行のたびに、発行メールに含まれる中間CA証明書をセットで設定し直してください。
④ G1ルートCAの削除／中間CA・クロスルート証明書の失効（実施済み）
2026年4月15日に Mozilla と Google Chrome が G1 ルートCAをルートストアから削除し、
同日以降、G1 階層の証明書は Google Chrome・Mozilla Firefox で信頼されなくなりました。
G2／G3 階層での再発行・更新が必要です。
また2026年5月15日には、複数の G2／G3 中間CA証明書と G5 クロスルート証明書が失効しています。
この2つは対応方法が異なります。
- 中間CA証明書（ICA）の失効：その中間CAから発行されたサーバー証明書は、
証明書チェーンを検証できず、接続先（ブラウザ・検証ソフトウェア）から信頼されない可能性があります。
デジサートも「検証ソフトウェアがエンド証明書を信頼しない可能性があるため」再発行・更新を案内しています。
有効期限前であっても、再発行または更新が必要です。 - クロスルート証明書の失効：サーバー証明書そのものは有効です。
サーバーに設定しているクロスルート証明書を差し替える（チェーンを入れ替える）だけで対応できます。
エンド証明書の再発行は不要です。
SSL証明書インストールチェッカー で、 現在稼働中のサーバーの証明書チェーンをご確認ください。
お客様の対応（通常のWebサイトの場合）
以下は OS・ブラウザ標準のトラストストアを利用する、通常のHTTPS用途の場合の対応です。
独自トラストストアを持つ環境・mTLS 環境は、次章もあわせてご確認ください。
■ 1. 完全な証明書チェーンをインストールする
サーバー証明書だけでなく、発行時に案内される中間CA証明書をすべて設定します。
設定方法は 中間証明書のインストールについて をご参照ください。
■ 2. ルート／中間CA証明書をピン留めしない
証明書ピンニング（Certificate Pinning）を行っていると、G5 移行や中間CAのローテーションで
通信が突然失敗します。ピン留めは廃止してください。
■ 3. CA証明書をハードコードしない
アプリケーションやスクリプトに特定のCA証明書を埋め込まず、OS・ライブラリの
トラストストアを参照する実装にしてください。
上記3点が守られており、かつ検証側が OS・ブラウザ標準のトラストストアを使っていれば、
G5 への移行にあたってお客様側で特別な作業は発生しません。
2026年11月13日以降に発行される証明書を、いつもどおり発行メールの内容に従って設置するだけです。
別途の対応が必要になる環境
■ 独自のトラストストアを使っている環境
アプライアンス、組込機器・IoT、Javaの cacerts、コンテナイメージ内のCAバンドル、
自前のCAバンドルを参照するアプリケーションなどは、OSの更新では G5 ルートが入りません。
DigiCert TLS RSA4096 Root G5 / DigiCert TLS ECC P384 Root G5 の各ルートに加え、
該当する G5 中間CA証明書もあわせて事前に追加してください。
■ mTLS（相互TLS）でパブリックTLS証明書を使っている環境
2027年3月1日のクライアント認証EKU完全廃止までに、X9 PKI for TLS やプライベートトラストへ移行してください。
■ G1 階層の証明書が残っている環境
既に Google Chrome・Mozilla Firefox で信頼されていません。至急、再発行・更新をご検討ください。
■ G2／G3 階層を前提に固定している環境
チェーン検証を決め打ちしている実装は、G5 移行前に解消が必要です。
ご不明な点は お問い合わせ よりご相談ください。
デジサート公式情報
DigiCert TLSルート戦略：業界標準への準拠（DigiCert ナレッジベース）
G5 ルートおよび中間CA証明書の更新（移行ガイド・G2／G3 のタイムライン）
G1／G2／G5 ルート証明書の互換性（対応 OS・ブラウザ一覧）
※スケジュールは変更される場合があります。最新情報は公式ページをご確認ください。