SSLとセキュリティのエラー

このエラーカテゴリーについて

# SSLとセキュリティのエラー

SSLおよびセキュリティのエラーは、ブラウザーが信頼されたHTTPS接続を確立または検証できない場合に発生します。障害はTLSハンドシェイク中、サーバーが証明書を提示するとき、または証明書がアクセス先のホスト名と一致しないときに発生する可能性があります。

同じWebサイトでも、ルートドメイン、サブドメイン、www版によって結果が異なる場合があります。公開CDNやリバースプロキシが、オリジンサーバーとは異なる証明書を提示することもあります。すべてのSSL警告を同じ問題として扱うのではなく、まず正確なホスト名とブラウザーのエラーを記録してください。

よくある症状

次のような症状が表示されることがあります。

• 接続がプライベートまたは安全ではないという警告
• 証明書名またはホスト名の不一致
• ページが読み込まれる前に接続が失敗する
• ERR_SSL_PROTOCOL_ERRORなどのTLSプロトコルメッセージ
• ルートドメイン、サブドメイン、wwwホスト名で結果が異なる
• CDNまたはプロキシ経由では動作するが、オリジンに直接接続すると失敗する

レイヤー別に障害を診断する

1. 正確なホスト名とエラーを記録する

サブドメインを含む完全なホスト名をアドレスバーで確認します。www版と非www版の両方を使用している場合は、影響を受けるホスト名と比較してください。また、ブラウザーに表示された完全なエラーも記録します。証明書の不一致とTLSネゴシエーションの失敗では、必要な確認が異なるためです。

ホスト名の不一致については、[NET::ERR_CERT_COMMON_NAME_INVALID](/errors/err-cert-common-name-invalid)を参照してください。通常、このエラーは、サーバーがアドレスバーのホスト名をカバーしていない証明書を提示したことを意味します。

2. ブラウザーに提示された証明書を確認する

ブラウザーの証明書の詳細を開き、次の項目を確認します。

• 証明書がカバーするホスト名を示すSubject Alternative Names
• 有効期間
• 発行者と信頼ステータス
• 証明書チェーン
• サーバーがホスティングプロバイダーのデフォルト証明書ではなく、想定した証明書を提示しているか

ルートドメイン用の証明書が、すべてのサブドメインで自動的に有効になるわけではありません。影響を受けるホスト名は、証明書の名前、または適用可能なワイルドカード名でカバーされている必要があります。

ある環境では証明書が正しいのに別の環境では正しくない場合は、DNS、SNI、リバースプロキシのルーティング、CDNの設定を調査します。同じサイトに見えても、異なるTLSエンドポイントが異なる証明書を提供することがあります。

3. 証明書の検証とTLSハンドシェイクの失敗を区別する

ホスト名または信頼性に関する警告は、通常、ブラウザーが証明書を確認できる段階まで到達したことを意味します。一方、プロトコルエラーは、TLSネゴシエーションがそれより前の段階で失敗した可能性を示します。次の点を確認してください。

• ポート443がプレーンHTTPではなくHTTPSとTLSを提供しているか
• 要求されたホスト名に対して、想定したHTTPSのバーチャルホストが選択されているか
• サーバーのTLS設定が有効で、内部的にも正しいか
• 証明書と秘密鍵が対応しているか
• 完全な証明書チェーンが、サーバーの想定する場所にインストールされているか
• プロキシ、ロードバランサー、ファイアウォール、またはCDNがハンドシェイクを中断していないか

プロトコル固有のケースについては、[ERR_SSL_PROTOCOL_ERROR](/errors/err-ssl-protocol-error)を参照してください。

4. 公開接続とオリジンへの接続経路を比較する

エラーが公開ホスト名でのみ発生するのか、オリジンのホスト名でのみ発生するのか、それとも両方で発生するのかを確認します。CDNまたはリバースプロキシは、公開エッジでHTTPSを終端し、オリジンとは別のTLS接続を使用する場合があります。その証明書とTLS設定は、オリジンサーバーの設定と必ずしも一致しません。

また、DNSがホスト名を意図したサービスへ向けていることも確認します。古いアドレス、ステージングサーバー、共有ホスティングのエンドポイントによって、アクセスしようとしたサイトとは無関係の証明書が返されることがあります。

5. 失敗したホスト名を正確に再テストする

証明書の割り当て、ホスト名のマッピング、またはTLSレイヤーを修正した後は、同じホスト名をもう一度テストします。複数のホスト名が影響を受けている場合は、それぞれ個別にテストしてください。これにより、問題が1つのエンドポイントに限定されているのか、DNS、プロキシ、サーバー設定全体に及ぶ問題なのかを確認できます。

トラブルシューティングの方法として、ブラウザーの警告を無視して先に進むことは避けてください。それではサーバー設定は修正されず、接続が危険にさらされる可能性があります。まず、問題がホスト名の不一致、信頼されていない証明書または不完全な証明書チェーン、TLSネゴシエーションの失敗のいずれなのかを特定してください。

関連ガイドを使用する場面

• ブラウザーがSSLまたはTLSプロトコルを完了できないと報告した場合は、[ERR_SSL_PROTOCOL_ERROR](/errors/err-ssl-protocol-error)を使用してください。
• 提示された証明書がアドレスバーのホスト名と一致しない場合は、[NET::ERR_CERT_COMMON_NAME_INVALID](/errors/err-cert-common-name-invalid)を使用してください。

一般的な「SSLエラー」というラベルよりも、正確なブラウザーのメッセージ、ホスト名、証明書の詳細、DNSの宛先、接続経路のほうが有用です。証明書を交換したりサーバー設定を変更したりする前に、これらの詳細を記録してください。

さらに確認する領域

実装固有の詳細については、影響を受けたブラウザー、Webサーバー、認証局、CDNまたはリバースプロキシ、ホスティングプラットフォームのドキュメントを確認してください。関連するセクションは通常、証明書のインストール、証明書チェーン、SNIまたはバーチャルホスト、TLS設定、オリジンHTTPS設定などの名前になっています。