認証局

公開信頼の証明書について、Cloudflare は複数の認証局（CA）と提携しています。各 Cloudflare サービスで使う CA と、各 CA の 機能、制限、ブラウザー互換性 を、このページで確認してください。

• 有効期間 は 90 日です。
• DCV トークン の有効期間は 7 日です。

• 証明書のホスト名に含められるサブドメインは、最大 10 階層です。
• 重複証明書の上限は、1 週間あたり 5 件 ↗ です。
• Redsys¹ は Let's Encrypt 証明書と互換性がありません。Redsys を使っていて Let's Encrypt 証明書で問題が起きる場合は、アドバンスト証明書を注文するか、カスタム証明書をアップロードして、別の CA を使ってください。

プラットフォームが Let's Encrypt 証明書を検証できるかどうかは、主に、そのプラットフォームが自己署名の ISRG Root X1 証明書を信頼しているかで決まります。Let's Encrypt は 2024 年に信頼チェーンを変更する ↗ と発表しました。クロスサインされた ISRG Root X1 だけを信頼する古いデバイス（例: Android 7.0 以前）は、互換性がなくなっています。

対応クライアントの一覧は Let's Encrypt のドキュメント ↗ にあります。古いバージョンの Android および Java クライアントは、Let's Encrypt 証明書と互換性がない場合があります。

Let's Encrypt Root CAs ↗: チェーンとクライアントの互換性を確認できます。証明書ピンニング で説明しているとおり、この一覧をピンニング対象に 使わないで ください。

• 有効期間 は 14 日、30 日、90 日です。
• DCV トークン の有効期間は 14 日です。

Google Trust Services は、クライアントデバイスに 20 年以上インストールされている GlobalSign ルート CA ↗ とクロスサインすることで、幅広いデバイスで最適な対応を確保できます。

現在、Microsoft、Mozilla、Safari、Cisco、Oracle Java、Qihoo の 360 ブラウザーから信頼されています。これらのルートプログラムに依存するブラウザーまたは OS はカバーされます。

チェーンとクライアントの互換性確認には ルート CA の一覧 ↗ を使えます。ただし 証明書ピンニング で説明しているとおり、この一覧をピンニング対象に 使わないで ください。

• 有効期間 は 14 日、30 日、90 日です。アドバンスト証明書 を使う Enterprise のお客様は、有効期間を 1 年にもできます。
• DCV トークン の有効期間は 14 日です。

SSL.com の DCV トークンは、RSA 証明書用と ECDSA 証明書用で分かれます。つまり、DCV を手動で行う 場合は、証明書注文ごとに検証トークンを 2 つ置く必要があります。運用負荷を避けるには、フルセットアップ にするか、委任型 DCV を設定してください。

SSL.com は互換性が高く、ブラウザー、タブレット、モバイルデバイスの 99.9% 超で受け入れられます。

SSL.com 証明書は Certum とクロスサイン ↗ されており、中間証明書にクロスサインする CA ↗ は 2004 年のものです。

受け入れ可能なトップレベルドメイン（TLD）と現在の制限 ↗

• バックアップ証明書 にだけ使います。
• バックアップ証明書の有効期間は 90 日です。

Sectigo のドキュメント ↗ を参照してください。

Certificate Authority Authorization（CAA）DNS レコードは、ドメインの証明書を発行できる認証局（CA）を指定します。このレコードにより、不正な証明書発行の可能性が下がり、組織全体での標準化が進みます。

DNS プロバイダーとして Cloudflare を使っている場合、CAA レコードは代わりに追加されます。CAA レコードを自分で追加する必要がある場合は CAA レコードを追加する を参照してください。

次の表は、各 CA の CAA レコード内容です。