有効な証明書があるのに、なぜブラウザーは「信頼できない」と表示するのですか?

最も一般的な原因は、中間証明書の欠落です。サーバーは完全なチェーン(サーバー + 中間証明書)を送信しなければなりません。ルート証明書は送信しません。ブラウザーの信頼ストアに既に存在している必要があります。

更新を自動化するにはどうすればよいですか?

certbot や acme.sh などのクライアントで ACME(Let's Encrypt)を使ってください。有効期限の 30 日前に更新する cron ジョブを設定します。有料証明書の場合は、CA の API を使うか、カレンダーのリマインダーを設定してください。

CA から署名済み証明書を受け取ったら、正しいチェーン順でインストールし、TLS ハンドシェイクでデプロイを検証します。

1

完全な TLS 導入には、サーバー証明書、秘密鍵、中間証明書チェーンが必要です。チェーンは順序どおりでなければなりません。最初にサーバー証明書、次にルートまでの中間証明書です。チェーンの欠落や順序の乱れは、ブラウザーで「信頼できない証明書」エラーを引き起こします。
2

RSA ツール →
公開鍵のモジュラスを比較して、秘密鍵が証明書と一致することを確認します。一致しない場合、その証明書は別の鍵で生成されたものであり、動作しません。
3

ハッシュ計算ツール →
証明書の SHA-256 フィンガープリントを計算して、CA が発行したものと一致することを確認します。これにより、ダウンロード中の破損や改ざんを検出できます。
4

インストール後、TLS クライアント(例: openssl s_client、curl、ブラウザー)でテストします。確認する点:チェーンが完全であること、証明書が期限切れでないこと、ホスト名が SAN と一致すること、OCSP ステープリングが動作すること。有効期限を監視し、更新のリマインダーを設定してください。

有効な証明書があるのに、なぜブラウザーは「信頼できない」と表示するのですか?: 最も一般的な原因は、中間証明書の欠落です。サーバーは完全なチェーン(サーバー + 中間証明書)を送信しなければなりません。ルート証明書は送信しません。ブラウザーの信頼ストアに既に存在している必要があります。
更新を自動化するにはどうすればよいですか?: certbot や acme.sh などのクライアントで ACME(Let's Encrypt)を使ってください。有効期限の 30 日前に更新する cron ジョブを設定します。有料証明書の場合は、CA の API を使うか、カレンダーのリマインダーを設定してください。