先に結論
期限切れだけでなく、ホスト名不一致、中間証明書欠落、端末時刻、接続先の取り違えを分けます。PCだけ正常でも完了とは判断しません。
最初に確認する6項目
- エラーコード、対象ホスト名、失敗端末、発生時刻を保存する。
- 端末の日時とタイムゾーンが正しいか確認する。
- 証明書のNot Before / Not After、SANに対象ホスト名があるか確認する。
- サーバーがリーフ証明書と必要な中間証明書を提示しているか確認する。
- 新規端末・スマホ・外部検査で、キャッシュに依存せずチェーンを確認する。
- CDN、LB、IPv4/IPv6、複数リージョンで別証明書が出ていないか比較する。
警告：証明書警告を例外登録して管理画面へログインすると、中間者や誤接続先へ認証情報を送る可能性があります。
代表的なエラーの読み方
| 症状 | 確認点 | 対応 |
|---|---|---|
| 期限切れ | 自動更新と配布先 | 更新後、実際のTLS終端へ反映 |
| ホスト名不一致 | SAN、www有無、CNAME先 | 正しいホストを含む証明書を設定 |
| 信頼されない発行者 | 中間CA、私設CA、端末信頼 | サーバー提示チェーンと対象端末を分離 |
| PCのみ成功・スマホ失敗 | 中間証明書の補完・キャッシュ | 完全なチェーンをサーバーから提示 |
| 場所により証明書が違う | CDN/LB/IPv6/リージョン | 全終端の配布状態を確認 |
名前解決先が意図と違う場合はDNS切り分けを先に確認します。
中間証明書チェーン不備を確認する
GMOグローバルサインは2026年8月18日更新のサポート情報で、PCは中間CA証明書を自動補完できても、携帯端末ではエラーになる場合があると説明しています。ブラウザ1台の鍵マークだけで判定しません。
- 実際の公開ホストへSNI付きで接続し、提示された証明書一覧を保存する。
- リーフ証明書のIssuerと、中間証明書のSubjectがつながるか確認する。
- 中間証明書の有効期限、署名、CA用途を確認する。
- WebサーバーやLBに、製品が要求する順序でリーフ＋中間証明書を設定する。
- プロセスの再読み込み後、新規端末・別地域・IPv4/IPv6で再確認する。
判断：端末へ中間証明書を個別配布して症状を隠すのではなく、公開サーバーが必要なチェーンを正しく提示する状態へ直します。
更新時は秘密鍵と終端を取り違えない
- 秘密鍵とリーフ証明書が対応するか、秘密情報を外部へ送らずローカルで検証する。
- CDN、LB、リバースプロキシ、オリジンのどこで公開TLSを終端しているかを特定する。
- 複数ノードは1台ずつ反映し、正常系を残して提示証明書を確認する。
- 新証明書の実提示を確認してから旧証明書を廃止する。
してはいけないこと
- ブラウザ警告を常用の例外として保存する。
- 秘密鍵をメール、チャット、Web検査サイトへ貼り付ける。
- 原因確認なしにHTTPへ戻す、TLS検証を無効化する。
- ルートCAや私設CAを不特定の端末へ安易に追加する。
2026年以降の再発防止
公開TLS証明書の最大有効期間は段階的に短くなります。手動更新を前提にせず、ACME等の自動更新、更新失敗ログ、公開URLからの期限・ホスト名・チェーン監視をセットにします。
停止と証明書を外部監視する
UptimeRobotはSSL期限・エラー、停止、DNS、ドメイン期限の監視を提供しています。まず無料枠と要件を比較し、必要な場合だけ有料機能を選びます。
公式のSSL監視を見る公式情報
よくある質問
PCでは開くのにスマホだけ証明書エラーになるのはなぜですか？
中間CA証明書がサーバーから提示されず、PC側のキャッシュや自動補完だけで成功している可能性があります。新しい端末・別ネットワークで、サーバーが提示するチェーン自体を確認します。
ルート証明書もサーバーに設定しますか？
通常、サーバーはリーフ証明書と必要な中間証明書を提示します。信頼済みルートをむやみに配布・追加せず、利用するCAやサーバー製品の公式手順を優先します。
証明書を更新したのに古い証明書が出るのはなぜですか？
CDN、ロードバランサー、複数オリジン、IPv4/IPv6で終端が分かれている可能性があります。接続先ごとの証明書を比較します。