サイトのSSL証明書に問題があると、ブラウザは暗号のようなコードが書かれた警告ページを表示します。読み方さえわかれば、そのコードが何が悪いかを教えてくれます。ここでは、特によく出会うものを、一般的な原因と対処法とともに紹介します。
NET::ERR_CERT_DATE_INVALID:証明書の期限が切れている
意味: 証明書の有効期間に今日が含まれていません。ほとんどの場合、期限が切れています。まれに、まだ有効になっていない場合や、訪問者の端末の時計が大きくずれている場合もあります。
対処法:
- 自分のサイトの場合:証明書を更新し、ウェブサーバーを再読み込みします。SSL証明書の期限切れ:対処法をご覧ください。
- 特定の訪問者にだけ表示される場合:端末の日付と時刻を確認してもらいます。
NET::ERR_CERT_COMMON_NAME_INVALID:名前が一致しない
意味: 訪問者が入力したものとは別のアドレス用に証明書が発行されています。example.com用の証明書は、www.example.comやshop.example.comが証明書に含まれていない限り、自動的にはそれらを対象としません。
対処法: 使用しているすべてのドメイン名(サブジェクト代替名)を含む証明書を発行するか、サブドメイン用のワイルドカード証明書を使います。無料のSSL証明書チェッカーで、証明書が対象とするドメイン名を確認できます。アドレスが正しいサーバーを指しているかも確認してください。他人のサイトの証明書を持つホスティングサーバーを指しているドメインは、このエラーになります。
NET::ERR_CERT_AUTHORITY_INVALID:証明書が信頼されていない
意味: 証明書に署名した発行者を、ブラウザが信頼していません。よくある原因は次のとおりです。
- 自己署名証明書:サーバーが自分自身のために作成したもの。テストには問題ありませんが、公開インターネットには不向きです。
- 不完全なチェーン:証明書は「中間」証明書の連鎖を通じて、信頼されたルート証明書につながることで信頼されます。サーバーが中間証明書を送信しないと、一部のブラウザや端末ではチェーンを完成できず、自分には表示できるのに他の人には失敗するという状況になります。特にスマートフォンや古いシステムで起こりがちです。
- ブラウザが信頼していない認証局の証明書。
- 暗号化された通信を検査する、一部の企業のファイアウォールなど、訪問者のネットワーク上のソフトウェア。
対処法: 信頼できる認証局の証明書をインストールし、サーバーが完全なチェーンを送信するようにします。通常は、証明書そのものだけでなく「fullchain」ファイルをインストールします。上のSSLチェッカーで、チェーンが完全かどうかを確認できます。
NET::ERR_CERT_REVOKED:証明書が取り消された
意味: 証明書を発行した認証局が、証明書を失効させました。たとえば、秘密鍵が漏洩した場合や、証明書が置き換えられた場合です。
対処法: 新しい秘密鍵で、新しい証明書を発行してインストールします。
ERR_SSL_PROTOCOL_ERROR と ERR_SSL_VERSION_OR_CIPHER_MISMATCH
意味: ブラウザとサーバーが、接続の暗号化方法で合意できませんでした。典型的な原因は、古いプロトコルのバージョンにしか対応していないサーバー、そのアドレス用に証明書がまったくインストールされていない状態、プロキシやCDNの設定ミスです。
対処法: そのアドレスでHTTPSが実際に有効になっているか確認し、ウェブサーバーのTLS設定を更新して現行のバージョン(TLS 1.2と1.3)に対応させ、サイトの前段にあるCDNやプロキシの設定を確認します。
鍵アイコンに問題があるページの「保護されていません」:混在コンテンツ
これは証明書のエラーではありません。証明書自体は問題ありませんが、ページが一部の画像、スクリプト、スタイルを暗号化されていないhttp://で読み込んでいます。ブラウザは、そのページを完全には安全でないと表示するか、該当部分をブロックします。リンクをhttps://に変更し、テーマ、プラグイン、データベースに、直接書き込まれたhttp://のアドレスがないか確認してください。
SSLエラーが出たときの最初のステップ
- 警告の詳細(または鍵アイコン)をクリックして、正確なコードを確認する。
- 証明書を外部から確認する。 自分のブラウザは、正常なチェーンをキャッシュしている可能性があるため、そこだけで判断しない。
- 使用しているすべてのアドレスを確認する。
www、wwwなしのドメイン、サブドメインを含めて。 - 日付を確認する。 期限切れが、群を抜いて多い原因です。
最初に気づくために
証明書の問題は、最も防ぎやすい障害のひとつです。期限は何週間も前からわかっているからです。ServerMonitorは、訪問者が実際に受け取る証明書を読み取り、チェーンと名前を確認して、期限のかなり前に警告し、更新されたときにもお知らせします。ほかのチェックとの組み合わせ方は、ウェブサイトで監視すべきことをご覧ください。