組織認証（OV）SSLの更新が止まったときは、まず「申請」「認証」「設置」のどの段階で止まっているかを特定するのが近道です。OV証明書はドメインの管理権限の確認（DCV）に加えて組織の実在確認があるため、ドメイン認証（DV）より止まりやすい箇所が多くあります。この記事では、段階ごとの確認方法と、よくある原因を起こりやすい順に挙げ、それぞれの確かめ方と直し方を説明します。期限に間に合わない場合のつなぎ方も最後に扱います。
まず「どの段階で止まっているか」を確認する
OV証明書の更新は、大きく次の3段階で進みます。
- 申請: CSR（証明書署名要求）を作り、認証局（CA）または販売代理店で更新の注文を出す
- 認証: 組織の確認（実在性・所在地・電話番号など）と、ドメインの確認（DCV）を受ける
- 設置: 発行された証明書をサーバーやCDNに入れ、Webサーバーを再読み込みする
「更新が失敗した」と感じる場面の多くは、2の認証で保留になっているか、3の設置が終わっておらず古い証明書が配信され続けているかのどちらかです。CAや代理店の管理画面で注文の状態を見ると、「組織確認待ち」「ドメイン認証待ち」「発行済み」のような表示で段階が分かります（表記はCAごとに異なります）。CAから届いたメールも、迷惑メールフォルダを含めて確認してください。
あわせて、いまサーバーが配信している証明書の有効期限を確認しておきます。
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
| openssl x509 -noout -subject -issuer -enddate管理画面では「発行済み」なのに、ここに古い期限が出る場合は、原因は認証ではなく設置側です（後述の原因5）。
原因1：ドメイン認証（DCV）が終わっていない
OV証明書でも、組織確認とは別にドメインの管理権限の確認が行われます。更新が止まる理由として最も多いのがここです。
- メール認証: 承認メールの宛先（
admin@やwebmaster@など）がメールボックスとして存在しない、転送設定が切れている、迷惑メールに振り分けられている - DNS認証: 指定されたTXTレコードなどを登録していない、ホスト名の欄にドメイン名を二重に入れている、別のDNSサービスに登録している
- ファイル認証: 指定のパスにファイルを置いたが、リダイレクトやアクセス制限で外部から読めない
確認方法は方式ごとに異なります。DNS認証なら、権威DNSサーバーに直接問い合わせて値が見えるかを確かめます。
# 権威DNSサーバーを調べてから、そこへ直接TXTを問い合わせる
dig NS example.com +short
dig TXT example.com @ns1.example-dns.jp +short以前は一度ドメイン認証を済ませると、その結果を長期間使い回せました。CA/ブラウザフォーラムの決定により、認証結果を再利用できる期間は2026年3月以降段階的に短くなっており、更新のたびにDCVを求められる場面が増えています（2026年10月現在）。「前回は何もしなくても更新できた」という経験は、今後は当てはまらない前提で準備するのが安全です。
原因2：組織情報の確認が通らない
OV特有の原因です。CAは、申請された組織名・所在地・電話番号を、登記情報や第三者の企業データベースなどと照合します。次のような変化があると、前回は通った確認が止まることがあります。
- 本社の移転、商号変更、組織再編で、データベース上の情報と申請内容が一致しない
- 代表電話番号を変更した、またはデータベースに載っている番号が古い
- 組織名の英語表記が前回と違う（「Co., Ltd.」と「Inc.」の違いなど）
- 部署名や所在地の書き方が、公的な記録と表記揺れしている
まず、CAからの連絡で「何が照合できなかったのか」を確認します。多くの場合、追加の書類（登記事項証明書など）の提出や、データベース側の情報更新の案内があります。必要な書類の種類や受け付ける形式はCAごとに決まっているため、自己判断で別の書類を送るより、指示された内容に合わせるほうが早く進みます。
組織確認の結果にも再利用できる期間があり、こちらも短縮されています（2026年10月現在）。前回の更新から時間がたっている場合は、組織確認を一からやり直す前提で日程を見込んでください。
原因3：電話確認・承認者確認がつかまらない
組織確認の過程で、CAが第三者データベースに載っている代表番号へ電話をかけ、申請の事実を確認する運用があります。ここで止まる典型例は次のとおりです。
- 代表番号の受付が申請の件を知らず、取り次がれない
- 申請担当者が異動・退職していて、承認メールや電話に応答する人がいない
- 確認の電話が受付時間外や休業期間にかかる
対策は、社内で「CAから確認の連絡が来る」ことを受付や総務に事前に伝え、担当者名を共有しておくことです。担当者が変わった場合は、CAの管理画面や問い合わせ窓口で連絡先を更新します。
原因4：CAAレコードやCSRの内容で発行できない
DNSにCAAレコードを設定していると、そこに書かれていない認証局は証明書を発行できません。更新のタイミングで認証局を乗り換えた場合や、別部署が新たにCAAを追加した場合に起こります。
dig CAA example.com +short
# 例: 0 issue "letsencrypt.org" だけがあると、他のCAは発行できない利用するCAのドメイン名をCAAに追加すれば解消します。CAに指定すべき値は、各CAが公開しているCAAの案内で確認してください。
CSR側の問題としては、鍵長が短い、CSRのコモンネームが注文したホスト名と違う、過去に漏えいが報告された鍵を使い回している、などがあります。更新時は鍵も作り直すのが基本です。なお、OV証明書の組織名や所在地は、CSRに書いた値ではなく、CAが確認した情報で証明書に記載されることが一般的です。
原因5：発行されたのにサイトに反映されていない
管理画面では発行済みでも、サイトが古い証明書のままなら設置の問題です。
- 証明書ファイルを差し替えたが、Webサーバーを再読み込みしていない
- ロードバランサーやCDN、WAFなど、TLSを終端している別の場所に古い証明書が残っている
- 中間証明書を入れ忘れ、一部のブラウザや端末でだけエラーになる
- 複数台のサーバーのうち一部だけ差し替えた
設定を見直したら、構文チェックをしてから再読み込みします。
sudo nginx -t && sudo systemctl reload nginx
# Apache の場合
sudo apachectl configtest && sudo systemctl reload apache2再読み込み後、冒頭の openssl s_client で期限が新しくなったかを確かめます。WordPressの側は、URLがすでに https:// で設定されていれば通常は変更不要です。キャッシュ系のプラグインやCDNのキャッシュは証明書と無関係なので、証明書の問題をキャッシュ削除で直そうとしないよう注意してください。
期限に間に合いそうにないときのつなぎ方
組織確認は書類のやり取りで日数がかかることがあります。期限切れが迫っている場合は、OVの手続きを続けながら、ドメイン認証（DV）証明書を一時的に設置して期限切れを避ける方法があります。Let's Encrypt やレンタルサーバーの無料SSL機能なら、ドメイン認証だけで短時間に発行できます。
主要ブラウザはアドレスバーでOVとDVを区別して表示しないため、閲覧者から見た違いはほとんどありません。ただし、取引先との契約や社内規程で「OV以上」と決めている場合は、つなぎ期間をどう扱うか関係者に確認してから進めます。切り替え作業の前には、現在の証明書・秘密鍵・Webサーバー設定のバックアップを取っておいてください。
再発を防ぐ運用
- 期限の30日以上前に更新を始める: 組織確認に時間がかかる前提で、余裕を持って注文します。
- 証明書の有効期間短縮に備える: 証明書の最大有効期間は2026年3月から段階的に短縮されており、更新の頻度は今後さらに上がります（2026年10月現在）。ACME による自動更新に対応したOV製品を提供するCAもあるため、更新回数が増える前に自動化を検討する価値があります。
- 期限の監視を仕組みにする: 担当者の記憶やCAのお知らせメールに頼らず、外部の監視サービスやスクリプトで証明書の期限を定期的に確認します。
- 連絡先と承認者を最新に保つ: 担当者の異動時に、CAの管理画面の連絡先と承認メールの受け口を引き継ぎます。
まとめ
- OV証明書の更新失敗は、申請・認証・設置のどこで止まっているかを、CAの管理画面と
openssl s_clientで切り分けます。 - 最も多いのはドメイン認証の未完了で、認証結果の再利用期間が短くなったため、更新のたびにDCVが必要になる前提で準備します。
- OV特有の原因は、移転・商号変更・電話番号変更などによる組織情報の不一致と、電話確認がつかまらないことです。CAの指示に沿って書類やデータベースの情報を整えます。
- 期限が迫ったらDV証明書で一時的につなぎ、OVの手続きは並行して進めます。