TLS ルートと証明書プロファイルの今後の変更

概要：この記事では、グローバルサインの公的に信頼されたTLSルート証明書とTLS証明書プロファイルに影響を与える、業界主導の今後の変更について説明します。これらの変更は、ブラウザのルートプログラム（主にMozilla FirefoxとGoogle Chrome）とCA/ブラウザフォーラムによって導入されます。グローバルサインは、お客様への影響を最小限に抑えながら、完全な準拠を維持するためにインフラストラクチャを更新しています

このページは最新の情報を反映するために定期的に更新されます。このページをブックマークして、最新のガイダンスをご確認ください。SSL/TLSに関するその他のアドバイスについては、こちらのページをご覧ください。

重要な保証

グローバルサインの既存のルート証明書は失効されません。
古いルートは引き続き存在し、以下の目的でその有効期間内で使用される可能性があります。
- TLS以外のユースケース
- ブラウザによる公的な信頼を必要としない環境
これらのルート証明書に基づいて発行された中間証明書 (ICA) も失効されません。

主な変更点の概要

ブラウザベンダーは、エコシステムのセキュリティと一貫性を向上させるため、ルートストアポリシーを定期的に更新しています。Mozilla Firefox、Google Chrome、およびCA/Browser Forumによる最近のポリシー更新では、公的に信頼されているTLS証明書に影響を与える3つの重要な変更が導入されています。

ルート証明書の最大有効期間制限: Mozilla Firefox と Google Chrome は、定められた有効期間を超えた古いルートにチェーンされている TLS 証明書を信頼しなくなります。
TLS 専用ルートの要件:公的に信頼された TLS 証明書は、TLS 専用のルートから発行され、EKUにサーバー認証（ServerAuth）のみを含める必要があります。
TLS 証明書の有効期間の短縮: CA/ブラウザフォーラムは、2026 年 3 月 15 日よりTLS 証明書の最大有効期間を200 日間に短縮することを承認しました。

※ これらの変更は、公的に信頼された TLS 証明書にのみ適用されます。

ルート証明書の有効期間に基づく信頼解除のスケジュール

Mozilla FirefoxとGoogle Chromeはどちらも、15年以上前のルートにチェーンされたTLS証明書の信頼を削除します。信頼の削除は、失効日ではなくキーマテリアルの作成日に基づいて行われます。

ルートキーマテリアル作成日	Mozillaから信頼されなくなる日	対象GlobalSignルート証明書
2006年以前	2025年4月15日	GlobalSign Root R1 （既に発行には使われていません）
2006年 - 2007年	2026年4月15日
2008年 - 2009年	2027年4月15日	GlobalSign Root R3*
2010年 - 2011年	2028年4月15日
2012年 - 2014年4月14日	2029年4月15日	GlobalSign Root R5 (ECC)
2014年4月15日 - 現在	作成から15年	GlobalSign Root R6

* Root R3の場合、ブラウザの完全な信頼性をその有効期間全体にわたって確保するために、GlobalSign は200 日間のTLS 証明書の発行を2026 年 8 月 27 日までに停止する必要があります。

TLS専用ルート証明書と証明書プロファイルへの移行

TLS専用ルート証明書は、公的に信頼されたTLS証明書にのみ使用されます。セキュアメール、コード署名、その他のPKIユースケースとは共有されません。

2019 年に、GlobalSign は 2 つの TLS 専用ルートを作成しました。

R46 - RSA TLS ルート
E46 - ECC TLS ルート

TLS 専用ルートから発行される場合、TLS 証明書は次の条件を満たす必要があります。

拡張キー使用法（EKU）にサーバー認証（ServerAuth）のみを含む
クライアント認証（ClientAuth）およびその他のEKUは許可されない

ChromeのSCTNotAfterの制約

現在のGlobalSignのルート証明書（R3、R5、R6）は多目的ルートです。ブラウザポリシーでは、TLS発行を他のPKIユースケースから分離することが義務付けられています

Google Chrome は、すべての GlobalSign 多目的ルートに SCTNotAfterの制約を適用します。

適用開始日：2026年9月13日（2026年6月15日から90日後）
この日付以前に発行された証明書は、その有効性が完全に保証されます。
この日以降に発行された証明書は、Google Chrome によって信頼されません。

クライアント認証が必要な場合はどうすればよいでしょうか?

ClientAuth EKU 付きの TLS 証明書が必要な場合、またはブラウザの信頼を必要としない場合、GlobalSign では次の機能を提供するイントラネットSSL の使用を推奨します。

イントラネットSSLは以下の機能を提供します。

より長い証明書の有効期間
より長いドメイン認証情報再利用期間
CAAのチェックなし
証明書の透明性（CT）ログなし（プライバシー保護の強化）

お客様への影響

公的な TLS 証明書を使用する場合:
- 以下のタイムラインに基づいて、TLS専用ルートに自動的に移行します。
- 2026年3月から証明書の有効期間が短縮（200日）されます
- ClientAuth EKU を含む証明書は、公的なTLS ルートから利用できなくなります。
ブラウザの信頼を必要としない場合:
- 直ちに必要な行動はございません。
- 既存のルートはTLS以外のユースケースでも有効です
- 長期的にはイントラネットSSLの方が良い選択肢となる可能性があります

GlobalSignの移行計画

Atlasのお客様

2025年7月8日（第3四半期CAローテーション）
- TLS専用ルートの下に新しいCAが作成され、オプションのテストに利用できるようになります。
- お客様は、GlobalSignルート証明書サポートページのテストリンクを使用して、TLS専用ルート証明書の発行をテストできます。
2026年7月27日：すべてのお客様およびパートナー様の製品がTLS専用ルートに移行します。
2026年9月13日： 7月に移行しなかった残りのアカウントがすべて、TLS専用ルートに移行されます。
クロス証明書: GlobalSignは、移行期間中の互換性を最大限確保するため、 R3→R46およびR5→E46のクロス証明書を提供します。

※ブラウザの信頼性を必要としないお客様には、イントラネットSSL を使用することをお勧めします。

GCCのお客様

詳細については、SSLサーバ証明書のルート/中間CA移行に関するお知らせ（GSパネル）をご覧ください

目次