中間証明書とは

詳細な図解

中間証明書を読むときの前提

中間証明書（Intermediate certificate）は、サーバー証明書とルートCAの間で信頼をつなぐ証明書です。ブラウザやAPIクライアントは、提示された証明書から信頼済みルートCAまで署名の鎖をたどれるかを確認します。

実務では、証明書期限だけでなく、中間証明書の提示順序、欠落、古い中間証明書の混在、LBやCDNなどTLS終端点ごとの差分を見ます。

証跡には、接続先FQDN、SNI、提示されたチェーン、issuer、subject、期限、検証した端末やコマンド、確認時刻を残します。

欠落と順序を確認する

サーバー証明書だけを設定し、中間証明書を提示していないと、一部クライアントで信頼チェーンを作れずTLS警告になります。管理者端末では成功し、古い端末や外部監視だけ失敗することもあります。

中間証明書は複数段になる場合があり、提示順序が崩れると検証が不安定になります。更新後は全TLS終端点で同じチェーンを返すか確認します。

• opensslやブラウザで提示チェーンを確認する。
• サーバー証明書からルートCAまで順に並ぶか見る。
• 片系LB、CDN、メールTLS終端点の差分を見る。

更新時の混在を避ける

証明書更新では、サーバー証明書だけ差し替えて中間証明書が旧系統のまま残ることがあります。CAの切替、クロス署名、古いルートCA廃止が絡むと、クライアントごとの見え方が変わります。

更新手順では、証明書、秘密鍵、中間証明書バンドル、配布先、反映確認、戻し手順をまとめて扱います。自動更新でも、配備先に古いバンドルが残らないか確認します。

• CA発行画面の推奨チェーンを確認する。
• 旧中間証明書の残存を棚卸しする。
• 自動更新後の配備先を実接続で確認する。

メールTLSやAPIでも見る

中間証明書の問題はWebだけでなく、SMTP STARTTLS、MTA-STS、API、Webhook、社内プロキシでも起きます。ブラウザで正常でも、メール配送や古いランタイムが失敗することがあります。

切り分けでは、どのクライアントが、どのTLS終端点へ、どのSNIで接続したかを分けます。証明書チェーンとDNS経路を同じ時系列で残します。

• Web、API、メールTLSを同じ扱いにしない。
• クライアントの信頼ストア差分を確認する。
• SNIなし接続時の証明書も確認する。

変更証跡と引き継ぎ

中間証明書対応では、対象FQDN、発行元CA、旧新チェーン、配備先、反映確認、失敗したクライアント、戻し条件を残します。証明書期限だけのメモでは再発時に追えません。

引き継ぎでは、Web基盤担当、メール基盤担当、CDN/LB管理者、関連語として証明書チェーン、証明書、CA、TLSを残すと確認しやすくなります。

• 旧新のチェーン全文を保存する。
• 全TLS終端点の確認結果を残す。
• 次回更新時の注意点をRunbookへ反映する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能