NET::ERR_CERT_AUTHORITY_INVALID（信頼されていない証明書）

このエラーの意味と見分け方

• ChromeなどのChromiumベースのブラウザで、HTTPSページが通常どおり読み込まれず、NET::ERR_CERT_AUTHORITY_INVALID が表示される。
• ブラウザが接続または証明書を信頼できないものとして識別し、詳細設定を促す警告画面を表示することがある。
• 証明書の詳細に、不明な発行者、自己署名証明書、または壊れた・不完全な証明書パスが表示される。
• 他のHTTPSサイトは動作するのに1つのWebサイトだけで発生するか、ローカルのセキュリティ製品やネットワークプロキシが関係すると多数のサイトで発生する。
• 証明書が信頼されていなくても、Webサイト名は正しく表示されることがあるため、ホスト名不一致の警告とは区別できます。

可能性の高い順の主な原因

1. 自己署名証明書またはプライベートに発行された証明書： Webサイトの証明書が、ブラウザまたはオペレーティングシステムから信頼されている認証局によって発行されていない。内部の開発サイトでは意図的な場合もありますが、ほとんどの公開Webサイトでは想定されません。
2. 中間証明書の欠落： サーバーが、リーフ証明書を信頼されたルートに接続するために必要な中間証明書を送信していない。一部のクライアントは欠落した証明書をキャッシュから補えますが、他のクライアントはチェーンを拒否します。
3. 企業、学校、ホテルなどによるHTTPS検査： プロキシやセキュリティアプライアンスが、Webサイトの証明書をローカル組織の認証局によって発行された証明書に置き換えることがある。その認証局が見つからない、破損している、想定外である、または正しく導入されていない場合に警告が表示されます。
4. ウイルス対策ソフトまたはエンドポイントによるHTTPSスキャン： セキュリティソフトが暗号化された通信を検査し、ローカル証明書を発行することがある。インストールの破損や、ローカル証明書が信頼されていないことが警告の原因になる場合があります。
5. 日付、時刻、またはタイムゾーンの誤り： デバイスの時計が正しくないと、証明書の有効期間が誤っているように見え、検証に支障が出ることがあります。
6. 古い、または破損した信頼ストア： オペレーティングシステムまたはブラウザに必要な信頼済みルート証明書がないか、証明書データベースが古い、または破損している可能性があります。
7. キャプティブポータルまたはネットワーク干渉： 公衆ネットワークが通信をサインインページへリダイレクトするなど、想定されたHTTPS接続を妨げることがあります。

修正方法

1. まず警告を無視して続行しない

このエラーが表示されたページでは、パスワード、決済情報、その他の機密情報を入力しないでください。サイトに心当たりがない場合や、機密性の高いサービスで警告が表示された場合は、続行を避けてください。警告を無視すると、通信の傍受や証明書の誤設定を見逃す可能性があります。

2. 問題が特定の環境に限られるか確認する

• よく知られた他のHTTPSサイトを複数開きます。
• 影響を受けたサイトをプライベートウィンドウまたは別のブラウザでテストします。
• 1つのサイトだけで失敗する場合は、そのサイトの証明書またはサーバーが配信するチェーンが原因である可能性が高くなります。
• 1つのネットワークだけで多数のサイトに失敗する場合は、プロキシ、HTTPS検査、ウイルス対策フィルタリング、またはキャプティブポータルを調査します。
• 異なるデバイスやネットワークでも同じサイトで失敗する場合は、ローカルのセキュリティ設定を繰り返し変更するのではなく、Webサイトの所有者に問題を報告してください。

3. 証明書の詳細を確認する

警告ページで、ブラウザの証明書または接続の詳細パネルを開きます。次の項目を確認してください。

• 証明書のサブジェクトとホスト名の適用範囲
• 発行者
• 有効期間の開始日と有効期限
• 証明書パスが壊れているか、不完全であるか
• 発行者が企業、学校、ウイルス対策製品、またはローカルプロキシに属しているように見えるか

ホスト名が一致していても、証明書が信頼されているとは限りません。発行者が不明、プライベート発行、または想定外の場合は、警告を消すためだけにインストールしないでください。

4. デバイスの時計を確認する

デバイスの日付、時刻、タイムゾーンを確認します。適切な場合は自動時刻設定を有効にし、ブラウザをいったん終了して再度開いてから、もう一度テストしてください。証明書を有効に見せるために、意図的に時計を変更しないでください。

5. キャプティブポータルを確認する

公衆ネットワークでは、機密情報を扱わないWebサイトを開き、ネットワークの通常のサインインまたは利用規約ページが表示された場合は手続きを完了します。その後、HTTPSサイトに再接続してください。ネットワークへのログインを完了するためだけに、証明書警告ページで認証情報を送信しないでください。ネットワークの通常のポータルを使用するか、運営者に支援を求めてください。

6. プロキシとセキュリティソフトを調査する

証明書の発行者に企業プロキシ、学校ネットワーク、ウイルス対策製品、またはエンドポイントセキュリティツールの名前が表示される場合は、次を確認します。

• そのネットワークでHTTPS検査が想定されているか確認する。
• 組織のルート証明書を、承認されたデバイス管理プロセスでインストールすべきか管理者に確認する。
• 自分で導入したセキュリティ製品であれば、更新または修復する。
• 組織のポリシーで許可されている場合に限り、信頼できるネットワークからテストする。

未確認のWebサイトからルート証明書をダウンロードしないでください。ルート証明書をインストールすると、その証明書の保有者に、証明書を信頼されているように見せる広範な権限が与えられます。

7. Webサイトを管理している場合は、証明書チェーンを修正する

証明書について、次の点を確認します。

• 要求されたホスト名に対応している。
• 有効期間内である。
• 想定されるクライアントから信頼されている認証局によって発行されている。
• 必要な中間証明書が、サーバーから1つ以上送信されている。

各クライアントが欠落した中間証明書を探すことに依存せず、完全なチェーンを送信するようサーバーを設定します。導入後は、複数のブラウザ、デバイス、ネットワークから再テストしてください。公開Webサイトでは、想定されるすべてのクライアントが発行元の認証局を信頼するよう意図的に設定されている場合を除き、自己署名証明書やプライベート証明書を使用しないでください。

8. 証拠がデバイスを示す場合に限り、ローカルソフトウェアを更新する

保留中のオペレーティングシステムとブラウザの更新を、通常の更新機能からインストールします。1つのブラウザだけに影響する場合は、そのブラウザのプロキシと証明書設定を確認し、クリーンなプロファイルでテストします。1台のデバイスだけに影響する場合は、管理者にローカルの信頼ストアとセキュリティソフトを調査してもらってください。どのアプリケーションまたは組織がインストールした証明書か分からないまま、証明書を削除したり、証明書検証を無効にしたりしないでください。

予防と修正確認

• オペレーティングシステム、ブラウザ、エンドポイントセキュリティソフトを最新の状態に保ちます。
• 適切な場合は、日付、時刻、タイムゾーンの自動設定を使用します。
• 組織が管理するルート証明書は、承認された管理者またはデバイス管理プロセスを通じてのみインストールします。
• 公衆ネットワークで予期しない証明書警告が表示された場合は、通常の「無視して続行」を促すものではなく、セキュリティ上のシグナルとして扱います。
• Webサイト管理者は、正しいホスト名用の証明書を導入し、必要な中間証明書チェーン全体を送信する必要があります。
• 非公式の手順に基づいて証明書ファイルをダウンロードしたり、HTTPSチェックを無効にしたりしないでください。

よくある質問