2026年9月13日

EV SSLの更新が失敗したときの原因と対処：組織審査・電話確認・ドメイン認証の切り分け

ドメイン管理

EV SSL の更新が止まる原因は、多くの場合「組織の審査」「電話などによる在籍・意思確認」「ドメイン認証（DCV）」のどれかで手続きが保留になっていることです。EV の更新は既存証明書の延長ではなく、審査をやり直す新規発行に近い手続きなので、どの段階で止まっているかを認証局（CA）や販売代理店の管理画面で特定するのが最初の一歩です。この記事では、更新が失敗・保留になったときの切り分け順と、段階ごとの確認方法、発行後の差し替えでつまずく点を説明します。

まず「どこで止まっているか」を特定する

EV 証明書の発行（更新を含む）は、おおむね次の段階に分かれます。CA や代理店の管理画面では、注文ごとに「審査中」「書類待ち」「ドメイン認証待ち」のような状態が表示されるので、表記は事業者ごとに違っても、どの段階かは読み取れるはずです。

申請内容の受付（CSR、申請者・責任者情報）
組織の実在確認（法人の登記情報、所在地、第三者データベースとの照合）
電話などによる確認（組織の代表番号への確認、申請責任者の意思確認）
契約・承認の手続き（利用規約への同意、承認者による承認）
ドメイン認証（DCV）
発行

「失敗した」と感じる場面の多くは、実際には 2〜5 のいずれかで止まったまま期限が近づいている状態です。CA からの連絡メールが迷惑メールフォルダに入っていたり、前任者のアドレス宛てに届いていたりすることもよくあるため、管理画面の状態表示と、登録している連絡先メールアドレスをあわせて確認してください。

原因1：組織情報が前回審査時から変わっている

EV で最も止まりやすいのが組織情報の不一致です。次のような変化があると、前回の審査結果を引き継げず、追加の書類や再審査を求められます。

社名・商号の変更: 登記上の名称と申請内容が一致しないと先に進みません。英語表記をどう扱うかも CA の判断になるため、事前に問い合わせておくと安心です。
本店所在地の移転: 登記の住所、CA が照合する第三者データベースの住所、申請書の住所の3つがそろっている必要があります。登記を変更したばかりで外部データベースに反映されていない時期は特に止まりやすくなります。
代表電話番号の変更: EV では、第三者が確認できる番号に CA から連絡する手順が含まれます。データベース上の番号が古いままだと、確認の電話がつながりません。

対処としては、管理画面や CA からの連絡で「どの情報が一致しないのか」を確認し、登記事項証明書など指示された書類を提出します。第三者データベースの情報が古い場合は、そのデータベースの運営元で情報を更新する手続きが必要になることもあります。反映までに日数がかかるため、更新期限の1〜2か月前には申請を始めるのが現実的です。

組織情報をいつまで再利用できるかは CA/Browser フォーラムの基準と CA の運用で決まり、期間を過ぎると情報に変化がなくても再審査になります。前回は書類なしで更新できたのに今回は求められた、というのはこのためです。

原因2：電話確認・承認者の手続きが終わっていない

組織情報に問題がなくても、確認の電話に対応できなかったり、承認者がメールのリンクから承認を済ませていなかったりすると、手続きは止まったままです。

確認の電話が代表番号にかかり、担当者につながらない: 受付や総務に、CA から SSL 証明書の確認電話がかかってくることを事前に共有しておきます。
申請責任者・承認者が異動や退職でいない: 前回の申請時の担当者が残っていると、承認依頼が届かない人に送られます。管理画面で連絡先を現在の担当者に変更してから再依頼してもらいます。
契約書類への同意が未完了: 利用規約やサブスクライバー契約への同意が、署名権限のある人による手続きを求められる場合があります。

ここは技術的な設定ではなく社内の連絡の問題なので、更新作業を始める前に「CA から電話・メールが来ること」と「誰が対応するか」を関係者と共有しておくと、大半を防げます。

原因3：ドメイン認証（DCV）が通らない

組織審査が済んでも、証明書に含めるドメインの管理権限を確認する DCV が完了しなければ発行されません。EV でも DV と同じく、メール認証・DNS 認証・HTTP（ファイル）認証から選ぶのが一般的です。

メール認証: admin@ や webmaster@ など決まった形式のアドレスに確認メールが届きます。そのアドレスを受信できる設定になっていないと止まります。WHOIS に載っている連絡先へのメール認証は、CA/Browser フォーラムの決定により2025年に廃止されているため、以前の更新で使えた方法が選べないことがあります。
DNS 認証: 指定された TXT レコード（CA によっては CNAME）を追加します。追加先のホスト名の誤りや、DNS を別の事業者に移していて古い管理画面に追加していた、という失敗が多く見られます。
HTTP 認証: /.well-known/pki-validation/ 配下に指定ファイルを置きます。HTTPS へのリダイレクトや WAF、海外からのアクセス制限で CA の確認アクセスが届かないと失敗します。CA は複数の地点から確認する仕組みを導入しているため、国外 IP を遮断している環境では特に注意が必要です。

DNS 認証の値が反映されているかは、手元から次のように確認できます。

# CA から指定されたホスト名・値に置き換えて確認
dig +short TXT _dnsauth.example.com
dig +short TXT _dnsauth.example.com @8.8.8.8

# CAAレコードで別の認証局だけに発行を許可していないか
dig +short CAA example.com

CAA レコードがあり、更新先の CA が含まれていない場合は、DCV が通っても発行できません。CA を乗り換えて更新する場合は特に確認しておきます。

原因4：CSR の内容が申請と合っていない

CSR に記載した組織名や所在地が審査済みの情報と食い違うと、CA によっては確認のために保留にします。EV では証明書の組織情報を CA が審査結果に基づいて記載するのが一般的ですが、トラブルを避けるには CSR 側もそろえておくのが無難です。

# CSR の内容を確認
openssl req -in example.com.csr -noout -text | grep -E "Subject:|Public-Key"

また、EV 証明書ではワイルドカード（*.example.com）を含められません。前回 EV と別にワイルドカード証明書を使っていた構成で、まとめて1枚にしようとして申請が通らない、という例もあります。必要なホスト名を個別に列挙するか、ワイルドカードは別の種類の証明書で用意します。

発行後：差し替えでつまずく点

新しい証明書が届いても、サーバーに正しく入れないと「更新したのにエラーが出る」状態になります。

中間証明書の差し替え漏れ: CA の中間証明書が前回から変わっていることがあります。証明書と一緒に届いた中間証明書を使い、古いものを流用しないでください。
秘密鍵との組み合わせ違い: 新しい CSR を作ったなら、そのときの秘密鍵と組み合わせます。

# 証明書と秘密鍵の組み合わせ確認（2つの出力が一致すればOK）
openssl x509 -in server.crt -noout -pubkey | openssl sha256
openssl pkey -in server.key -pubout | openssl sha256

# 公開中の証明書の発行元・有効期限・組織名を確認
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -enddate

Webサーバーの設定を変える前には、現在の証明書・鍵・設定ファイルのバックアップを取り、nginx -t や apachectl configtest で構文を確かめてから再読み込みします。ロードバランサーや CDN にも証明書を登録している場合は、そちらの差し替えも忘れないようにします。

更新の頻度が上がっている点にも注意

CA/Browser フォーラムの決定により、公開サーバー証明書の最長有効期間は段階的に短くなっています。2026年3月以降に発行される証明書は最長200日程度となり、今後さらに短縮される予定です（2026年10月現在）。複数年契約で購入していても、期間中に何度も再発行（再審査を含む場合あり）が必要になります。

ブラウザのアドレスバーに組織名を表示する扱いはすでに主要ブラウザでなくなっており、EV を選ぶ理由は社内規程や取引先の要件であることが多いはずです。更新のたびに手続きが止まるなら、その要件が今も有効かを見直す機会にしてもよいでしょう。続ける場合は、期限監視を仕組み化し、CA からの連絡を受ける共有アドレスを用意しておくと運用が安定します。

まとめ

EV の更新は再審査に近く、止まる段階は「組織情報」「電話・承認者」「DCV」のどれかであることが大半です。管理画面の状態表示でまず段階を特定します。
社名・住所・電話番号の変更は、登記と第三者データベースの両方がそろうまで審査が進まないことがあります。期限の1〜2か月前に着手します。
DCV は、受信できないメールアドレス、DNS の追加先の誤り、HTTP 認証の遮断、CAA の制限が主な原因です。WHOIS 連絡先へのメール認証は使えなくなっています。
発行後は中間証明書と秘密鍵の組み合わせを確認し、バックアップを取ってから差し替えます。有効期間の短縮で更新回数が増えるため、期限監視を仕組みにしておきます。