サイバートラストのSSL証明書発行停止 Googleが承認、Apple待ち

サイバートラスト(東証グロース・4498)は2026年10月22日、SSL/TLSサーバー証明書の発行サービスの一時停止について、続報を適時開示しました。新しい中間認証局(中間CA)について、ブラウザを作るGoogleの審査が10月20日に通ったとしています。Appleの審査はまだで、承認されたら最短2営業日で、新しい中間CAでの発行を始める予定です。

自社の中間CAでの発行は9月14日18時から止まっています。それまでの間は、セコムトラストシステムズの「セコムパスポート for Web SSL/TLSサーバー証明書」を代わりに出しています。

何が起きたのか

サイバートラストの「iTrust」の証明書は、セコムトラストシステムズのルート認証局を土台にしています。同社は6月26日、旧ルートの「Security Communication RootCA2」から、新しいルートの「SECOM TLS RSA Root CA 2024」などへ移ると告知し、8月26日から27日にかけて移行しました。

ところが、ルート認証局からサイバートラストへ中間CAの証明書を出す手続きに、Apple Root Programの定めるポリシーに対する不備が見つかりました。同社は9月1日の臨時メンテナンスで元の認証局に戻し、移行後の中間CAの証明書と、その下で出したすべての証明書を失効させる必要があるとしました。

発行した時期ごとの扱いは、次のとおりです(9月2日の告知)。

その後、同社は新しい中間CAを用意し、9月14日までの提供を目指しました。新しい中間CAで出すには、AppleとGoogleの審査が要ります。9月10日の時点で審査が通らず、元の中間CAでの発行は9月14日18時で終わりました。9月15日8時からは、代わりの証明書を出しています。

代わりの証明書で気をつけること

代わりのセコムパスポート for Webは、これまでと同じ申請の画面「SureBoard」から申し込みます。9月15日8時より後の申請は、自動でセコムパスポート for Webの発行に切り替わります。ただし、これまでの証明書とは違う点があります。

• ワイルドカードの証明書は出せない
• マルチドメインの証明書はOV(企業の実在を確かめる種類)だけで、最大50のURLまで
• セコムトラストシステムズの中間CA証明書を、別に入れる必要がある(OV用とEV用で取得のページが分かれている)
• 申し込みが集中していて、発行まで通常より時間がかかり、希望の期日までに出せないことがある(10月21日の追記)

これからの見通し

同社は、Appleの審査が通ったら、最短2営業日で新しい中間CAでの発行を始めるとしています。始まる日は、見通しが立ち次第知らせるとしています。業績への影響の額は精査中で、業績の予想を変える必要がある事実は確認していないとしました。

新しい中間CAから出た証明書を入れるときは、告知で示される中間CA証明書もいっしょに入れます。中間CA証明書が合っていないと、ブラウザやスマホによっては警告が出ることがあります。

証明書の有効期間はこれから短くなる

ブラウザを作る会社と認証局が集まるCA/Browser Forumは、公開のWebサイトで使うSSL/TLS証明書の有効期間の上限を、2026年3月から段階的に短くし、2029年3月には47日にすると決めています。更新の回数が増えるほど、今回のように認証局の発行が止まったときの影響は大きくなります。

更新を手作業に頼っている会社は、更新の自動化と、別の認証局からも出せる準備を考えておくと、こうした停止に強くなります。

影響する人・会社、しない人・会社

• 影響する: サイバートラストのiTrustのSSL/TLSサーバー証明書を使っていて、これから更新や新しい発行が要る会社です。再開までは代わりの証明書になり、発行に時間がかかることがあります。
• 影響する: サイバートラストのワイルドカードの証明書を使っている会社です。代わりの証明書では出せません。
• 影響する: 8月27日から9月1日12時までに証明書を出した会社です。再発行が必要です。
• 影響する: Webサイトの制作会社やホスティングの会社に、証明書の申請を任せている会社です。任せている先が代わりの証明書の手続きをしているかを確かめます。
• 影響しない: 発行済みの証明書を使っていて、有効期限まで余裕がある会社は、すぐの対応は要りません(8月27日〜9月1日12時の発行分を除く)。
• 影響しない: サイバートラスト以外の認証局の証明書だけを使っている会社です。

会社・情シスが今日やること

1. 証明書の一覧で、サイバートラストが出した証明書と有効期限を確かめます。Webサーバーだけでなく、ロードバランサー、CDN、メールサーバー、VPNの機器も見ます。発行者の名前(Cybertrust Japan SureServerなど)で見分けられます。
2. 期限が1〜2か月以内のものは、再開を待つか、代わりのセコムパスポート for Webで出すか、ほかの認証局で出すかを今日決めます。発行に時間がかかっているため、早めに申し込みます。
3. ワイルドカードの証明書を使っているものは、代わりの証明書では出せません。サイトごとの証明書に分けるか、ほかの認証局を検討します。
4. 代わりの証明書を入れるときは、セコムトラストシステムズの中間CA証明書もいっしょに入れます。入れたあと、パソコンとスマホのいくつかのブラウザで、警告が出ないかを確かめます。
5. 8月27日から9月1日12時までに出した証明書があれば、再発行が済んでいるかを、サイバートラストからのメールの案内と合わせて確かめます。
6. 有効期間がこれから短くなることに備え、更新の自動化と、複数の認証局を使える準備を、来年の計画に入れます。