TLS証明書チェッカー

Certificate Transparency (RFC 6962) は、認証局がすべての発行した TLS 証明書を追記専用の公開台帳 (CT ログ) に記録することを要求する公開監査フレームワークです。ブラウザは少なくとも 2 つの CT ログに証明書が存在することを要求し、存在しない場合は信頼されていない警告を表示します。このツールは公開 CT ログ アグリゲーターである crt.sh をクエリして、ドメインに対して発行された証明書を検索し、有効期限日、発行者、SANs、および証明書がまだ有効かどうかを表示します。CT ログを使用するため、サーバーに直接接続することなく、任意のドメインで機能します。

ベストプラクティス: 残り 30 日で更新してください。Let's Encrypt は 30 日で自動更新されます。手動で管理された証明書の場合、検証の問題に対するバッファ時間を確保するために 45～60 日で更新します。業界は最大 90 日の証明書有効期限に移行しており、これは Let's Encrypt のデフォルトになっています。ACME ベースの自動更新 (Let's Encrypt、ZeroSSL) が推奨される解決策です。手動更新はエラーが発生しやすく、障害の原因となります。重要なサービスについては、30 日および 7 日でモニタリング アラートを設定してください。

SANs は、単一の TLS 証明書が覆うドメイン名のリストです。最新の証明書は SANs を使用する必要があります (Common Name フィールドはドメイン マッチングでは廃止されています)。*.example.com のようなワイルドカード SAN はすべてのサブドメイン (api.example.com、www.example.com) をカバーしていますが、ルート (example.com) はカバーしていません。そのため、ワイルドカード証明書は通常、*.example.com と example.com の両方を含みます。マルチドメイン (SAN) 証明書は最大 250 の異なるドメインをカバーでき、マイクロサービス アーキテクチャで証明書を統合する場合に便利です。

複数のアクティブな証明書は一般的であり、通常は問題ありません。これは以下の場合に発生します: (1) 有効期限前に更新した (オーバーラップ期間)。(2) 新しい CA に移行した。(3) 異なる証明書を持つ複数のサーバー/CDN エッジ ノードがある。(4) Let's Encrypt は各更新で新しい証明書を発行します (古い証明書を失効させません)。このツールは複数のアクティブな証明書を情報として表示します。意図したより広い SANs を持つ古い証明書がある場合、または信頼できなくなった CA の証明書がある場合は問題になります。

インフラストラクチャ別のオプション: Cloudflare: Universal SSL または Advanced Certificate Manager を有効にします。完全に自動です。Let's Encrypt + Certbot: cron/systemd タイマー経由で "certbot renew" を実行します。AWS: ACM (AWS Certificate Manager) を使用します。無料で自動更新されます。Linux の Nginx/Apache: Certbot が自動的にインストールと更新を処理します。Docker: Traefik または Caddy を使用します。両方とも ACME 経由で証明書プロビジョニングを自動的に処理します。Kubernetes: cert-manager オペレーター (Let's Encrypt 付き)。Vercel/Netlify/Railway: 自動、設定は不要です。