証明書
証明書・鍵CRTは一般にX.509証明書に使われますが、内部の符号化はPEMまたはDER等の場合があります。発行者、対象名、有効期間、用途を確認し、表示できることと信頼できることを分けます。秘密鍵やサーバー設定の全体がCRT1個に含まれるとは限りません。
- 主な用途
- 公開鍵と発行者等を記録する証明書
- 中身の種類
- 作成元により異なる
目次・よくある質問・根拠資料を見る
内容の最終確認： · 編集：Kai
開き方・操作手順
使っている環境や目的の項目を開いて、手順を確認してください。
操作名・対応状況はアプリ・OS・版によって異なります。変更する前に原本を残してください。
開けないとき：症状から確認
- 読み込めない：PEMかDERか、証明書本体かを確認します。
- 信頼エラー：発行者と中間証明書、対象名、有効期間等を確認します。
- サーバーで鍵不足：公開証明書と対応する秘密鍵は別の役割です。
- 指紋が違う：証明書の更新版と比較に使う方式を確認します。
- 接続先が旧証明書：設定先、プロキシと実際の接続先を確認します。
- 用途で拒否：鍵用途と対象サービスの条件を確認します。
CRTの証明書 → PEM / DER
- 内容を確認し、証明書用のx509等で必要な符号化へ出力します。
- 対象名、発行者、公開鍵と有効期間が同じことを比較します。
- PEM・DER変換後も対象名、有効期間とSHA-256指紋を比較します。
符号化の変更は証明書の更新や信頼性の修正になりません。PFXへまとめるには必要な鍵等が別途必要です。
期限と信頼を分ける
期限内でも対象違い、用途違い、チェーン不足等で使えない場合があります。サービスの検証条件を一つずつ確認します。
確認例：ファイル名にサイト名があっても、実際のSANと接続名を照合します。更新後は接続先が提示する証明書も確認します。
この手順の根拠：OpenSSL Project · openssl-x509 / IETF / RFC Editor · RFC 7468 — Textual Encodings
更新では鍵とチェーンも確認
新証明書へ置き換える前に対応鍵とチェーン、設定先を確認します。元の控えを保持し、対象サービスで検証します。
この手順の根拠：OpenSSL Project · openssl-x509 / IETF / RFC Editor · RFC 7468 — Textual Encodings
関連形式との違い
| 形式・方法 | 役割 | 確認する点 |
|---|---|---|
| CRT | 証明書の一般的な拡張子 | 実符号化 |
| 秘密鍵 | 所有する鍵素材 | 別の保存物 |
| 中間証明書 | チェーンの一部 | 対象との関係 |
取り扱いと安全性
不明な証明書を信頼済みルートへ登録して警告を消しません。正規の発行元と利用目的を確認します。
よくある質問
CRTに秘密鍵も入る？
通常の証明書本体は公開鍵を含み、秘密鍵とは別です。
表示できれば安全？
内容の表示と信頼の検証は別です。
期限を編集して延ばせる？
発行者による正規の更新が必要です。
CRTの名前にドメインがあれば正しい？
内部のSAN等を確認します。ファイル名は証明書の対象を保証しません。
指紋一致だけで利用できる？
同一証明書の確認と、期限・対象・用途・信頼の検証は別です。
形式の基本情報：正式名称・MIME type・管理団体
- 名称
- X.509 certificate (common CRT use)
- 管理・仕様
- Issuing certificate authority / IETF standards
- MIME type
- 作成元・配信元の指定による。拡張子だけでMIME typeは確定できません。
公式・一次情報
- プロジェクト公式openssl-x509
証明書の内容表示、PEM・DERの変換の資料です。
OpenSSL Project · リンク確認： - 標準仕様RFC 7468 — Textual Encodings
証明書・鍵・署名要求等のテキスト表現を定義します。
IETF / RFC Editor · リンク確認：