中間証明書が複数ありますがどれを使えばよいですか？

中間 CA 証明書が複数ファイルで提供される場合、それらを1 つのファイルに連結してサーバへ配置します。これは「証明書チェーン」と呼ばれる構造で、各証明書を順番に結合することで、ブラウザがルートまでの信頼関係を辿れるようになります。本ページでは連結方法と注意点を解説します。

🔍 中間証明書とは

SSL/TLS 証明書は「サーバ証明書 → 中間 CA 証明書 → ルート CA 証明書」という階層構造で信頼性を担保しています。認証局によっては中間 CA 証明書が複数階層に分かれており、その場合はすべての中間証明書をサーバに配置する必要があります。

┌─────────────────────────┐
│ ルート CA 証明書          │ ← ブラウザに事前インストール済み
└────────┬────────────────┘
         │ 署名
         ↓
┌─────────────────────────┐
│ 中間 CA 証明書 2(上位)    │ ← 連結ファイルの後ろ
└────────┬────────────────┘
         │ 署名
         ↓
┌─────────────────────────┐
│ 中間 CA 証明書 1(下位)    │ ← 連結ファイルの前
└────────┬────────────────┘
         │ 署名
         ↓
┌─────────────────────────┐
│ サーバ証明書              │ ← サーバに配置
└─────────────────────────┘

📋 連結手順

1. 中間証明書ファイルをテキストエディタで開く

   すべての中間 CA 証明書ファイル(.crt / .pem)をメモ帳・VS Code・vim 等のテキストエディタで開きます。

2. PEM 形式を確認

   各ファイルの中身が -----BEGIN CERTIFICATE----- で始まり、-----END CERTIFICATE----- で終わっていることを確認します。

3. 下位の中間証明書を先に

   新しいファイルを作成し、サーバ証明書に近い(下位の)中間証明書を先頭に貼り付けます。

4. 上位の中間証明書を続けて貼り付け

   下位の中間証明書の -----END CERTIFICATE----- の直後に、上位の中間証明書を続けて貼り付けます。

5. ファイル保存

   任意のファイル名(例:intermediate.crt / chain.pem)で保存します。

📄 連結後のフォーマット例

連結後の中間証明書ファイルは、以下のような形式になります。

-----BEGIN CERTIFICATE-----
・中間 CA 証明書 1(下位・サーバ証明書側)の文字列
・MIIE...(Base64 エンコードされた証明書本体)
・...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
・中間 CA 証明書 2(上位・ルート側)の文字列
・MIIF...(Base64 エンコードされた証明書本体)
・...
-----END CERTIFICATE-----

💻 コマンドラインで連結する方法

テキストエディタで作業する代わりに、コマンドラインで連結することもできます。

Linux / macOS の場合

# cat コマンドで複数の中間証明書を連結
cat intermediate1.crt intermediate2.crt > chain.crt

# または sub.crt が下位、ca.crt が上位の場合
cat sub.crt ca.crt > intermediate.crt

Windows の場合(コマンドプロンプト)

type intermediate1.crt intermediate2.crt > chain.crt

Windows の場合(PowerShell)

Get-Content intermediate1.crt, intermediate2.crt | Set-Content chain.crt

🔧 サーバ設定例

Apache の場合

# Apache 2.4.7 以前(中間証明書を別ファイルで指定)
SSLCertificateFile       /path/to/cert.crt
SSLCertificateKeyFile    /path/to/private.key
SSLCertificateChainFile  /path/to/chain.crt  ← 連結した中間証明書

# Apache 2.4.8 以降(フルチェーンで指定)
SSLCertificateFile       /path/to/fullchain.crt  ← cert.crt + chain.crt
SSLCertificateKeyFile    /path/to/private.key

Nginx の場合

# フルチェーン形式で指定(サーバ証明書 + 連結した中間証明書)
ssl_certificate         /path/to/fullchain.crt;
ssl_certificate_key     /path/to/private.key;

🔍 連結結果の確認方法

方法 1:OpenSSL で確認

# 連結ファイル内の証明書数を確認
grep -c "BEGIN CERTIFICATE" chain.crt

# 連結された証明書の Subject を 1 つずつ確認
openssl crl2pkcs7 -nocrl -certfile chain.crt | openssl pkcs7 -print_certs -noout

方法 2:SSL Labs で確認

サーバへ配置後、SSL Labs SSL Test でチェーンの状態を確認できます。「Chain issues」が「None」になっていれば OK です。

方法 3:当店ツールで確認

当店の 証明書解析ツール から連結ファイルの内容を確認できます。

⚠️ よくあるトラブル

🤖 ACME 自動更新ならファイル管理も自動

ACME プロトコルによる自動更新では、中間証明書の連結も自動で実施されます。手動で連結作業を行う必要がないため、設定ミスのリスクがゼロになります。

ACME 自動更新を見る →

💡 関連するご質問

📚 関連ページ

• 中間証明書のエラー対処
• 「信頼された証明機関から〜」警告
• 証明書解析ツール
• SSL/TLS 証明書の確認方法
• SSL インストール代行サービス
• ACME 自動更新ガイド
• お問い合わせフォーム