証明書発行機関
公的に信頼される証明書について、Cloudflareは異なる証明書発行機関（CA）と提携しています。このページを参照して、各Cloudflareの提供サービスに使用されているCAを確認し、CAの機能、制限、およびブラウザの互換性に関する詳細を確認してください。
| 証明書 | アルゴリズム | Let’s Encrypt | Google Trust Services | Sectigo | DigiCert |
|---|---|---|---|---|---|
| ユニバーサル | ECDSA RSA (有料プランのみ) | ✅ ✅ | ✅ ✅ | N/A N/A | ✅ まもなく廃止予定 ✅ まもなく廃止予定 |
| アドバンスド | ECDSA RSA | ✅ ✅ | ✅ ✅ | N/A N/A | ✅ まもなく廃止予定 ✅ まもなく廃止予定 |
| トータルTLS | ECDSA RSA | ✅ ✅ | ✅ ✅ | N/A N/A | ❌ ❌ |
| SaaS向けSSL | ECDSA RSA | ✅ ✅ | ✅ ✅ | N/A N/A | ✅ まもなく廃止予定 ✅ まもなく廃止予定 |
| バックアップ | ECDSA RSA | ✅ ✅ | ✅ ✅ | ✅ ✅ | ❌ ❌ |
- 証明書のホスト名は最大10レベルのサブドメインを含むことができます。
- 重複証明書の制限は5証明書 ↗までです。
プラットフォームがLet’s Encryptの証明書を検証できるかどうかの主な決定要因は、そのプラットフォームが自己署名の「ISRG Root X1」証明書を信頼しているかどうかです。Let’s Encryptは2024年の信頼チェーンの変更を発表したため、「ISRG Root X1」証明書のクロスサインバージョンのみを信頼するデバイスは影響を受けます。詳細については、Let’s Encryptのチェーン更新を参照してください。
サポートされているクライアントの完全なリストは、Let’s Encryptのドキュメント ↗で確認できます。古いバージョンのAndroidやJavaクライアントは、Let’s Encryptの証明書と互換性がない場合があります。
Let’s EncryptのルートCA ↗: チェーンとクライアント間の互換性を確認するためのものです。証明書ピンニングで説明されているように、このリストをピンニングに使用することは推奨されません。
- Punycodeドメインはまだサポートされていません。
Google Trust Servicesは、20年以上にわたりクライアントデバイスにインストールされているGlobalSignルートCA ↗とクロスサインすることで、幅広いデバイスでの最適なサポートを確保しています。
現在、Microsoft、Mozilla、Safari、Cisco、Oracle Java、Qihooの360ブラウザに信頼されており、これらのルートプログラムに依存するすべてのブラウザまたはオペレーティングシステムがカバーされています。
チェーンとクライアント間の互換性を確認するためにルートCAリスト ↗を使用できますが、証明書ピンニングで説明されているように、このリストをピンニングに使用することは推奨されません。
- バックアップ証明書にのみ使用されます。
- バックアップ証明書は90日間有効です。
Sectigoのドキュメント ↗を参照してください。
アメリカ合衆国によって課された制裁により、DigiCertは特定の国または地域に対して製品やサービスを提供することが法的に禁止または制限されています。詳細については、制裁対象国および地域 ↗を参照してください。
DigiCertのドキュメント ↗を参照してください。
DigiCertのルートCA ↗: チェーンとクライアント間の互換性を確認するためのものです。証明書ピンニングで説明されているように、このリストをピンニングに使用することは推奨されません。
A Certificate Authority Authorization (CAA) DNS record specifies which certificate authorities (CAs) are allowed to issue certificates for a domain. This record reduces the chance of unauthorized certificate issuance and promotes standardization across your organization.
CloudflareをDNSプロバイダーとして使用している場合、CAAレコードはあなたの代わりに追加されます。CAAレコードを追加する必要がある場合は、CAAレコードの追加を参照してください。
以下の表は、各CAのCAAレコードの内容を示しています:
| 証明書発行機関 | CAAレコードの内容 |
|---|---|
| Let’s Encrypt | letsencrypt.org |
| Google Trust Services | pki.goog; cansignhttpexchanges=yes |
| DigiCert | digicert.com; cansignhttpexchanges=yes |
| Sectigo | sectigo.com |