一部の環境だけ証明書の警告が出る：中間証明書

レン

自分のパソコンでは普通に見えるのに、スマホや他の人の環境だと警告が出るって言われた…

プロクラ

それは中間証明書が足りていない状態かもしれないね。厄介なのは、環境によって出たり出なかったりすること。だから「自分では確認できない」んだ。

証明書は連鎖している

プロクラ

サイトの証明書は、それ単体で信用されるわけではないんだ。「これを発行したのは誰か」を辿っていって、ブラウザが最初から信用している元締めに行き着いて初めて信用される。

• サイトの証明書 → 中間の証明書 → 元締めの証明書
• この鎖が最後まで繋がって、初めて信用される
• サーバーは、途中の分も一緒に送る必要がある
• 送り忘れると、鎖が途切れる

なぜ環境で差が出るのか

プロクラ

途中が足りなくても、その証明書を既に手元に持っている環境なら繋げてしまうんだ。だから、以前に別のサイトで取得済みの環境では警告が出ない。真っさらな環境では出る。

• 自分の環境は、既に持っているので気づけない
• 新しい端末や、別のブラウザでは出ることがある
• アプリからの通信や、コマンドでの接続でも失敗しやすい
• 「一部の人だけ見られない」という報告の原因になる

プロクラ

3つめは実害が大きいよ。ブラウザは寛容でも、プログラムからの接続は厳格に判定する。APIを提供している場合、相手側で接続が失敗することになる。

確認する

• 外部の証明書チェックサービスで、連鎖が完全かを確認できる
• コマンドで接続し、送られてくる証明書の一覧を見る方法もある
• 自分のブラウザでの表示は、判断材料にならない
• 設定を変えたら、必ず外部から確認する

直す

プロクラ

設定で指定するファイルを、正しいものにするだけだよ。自動で取得する仕組みを使っていれば、中間証明書も含んだファイルが用意されているはず。そちらを指定しよう。

• サイトの証明書だけのファイルと、連鎖を含むファイルが別に用意されている
• 設定では、連鎖を含むほうを指定する
• 指定を変えたら、Webサーバーを再読み込みする
• 手動で取得した証明書の場合、発行元から中間証明書を入手して結合する

レン

自分の環境で見えるかは当てにならないんだ。外から確認する。

余計なものまで送っていないか

プロクラ

逆の失敗もあってね。必要のない元締めの証明書まで送っている場合、動作はするけれど毎回余計なデータを送ることになる。細かい話だけど、正しくは中間までだよ。

• 送るのは、サイトの証明書と中間の証明書まで
• 元締めの証明書は、相手が既に持っている
• 送っても害は無いが、無駄ではある
• 確認サービスで、余分がある場合も指摘されることがある

更新のたびに崩れていないか

• 自動更新で、指定するファイルが変わることは通常無い
• 手動で入れ替えたときに、間違ったファイルを指定しがち
• 更新後、外部から一度確認する習慣をつける
• 特に、発行元を変えたときは要注意