1. 概要：
デジサート・ジャパン合同会社より、2026年11月13日以降、TLS/SSL証明書の発行階層を
G5ルート階層へ移行する旨の案内が出ております。今回の移行に伴い、InterSafe WebFilterの
認証局証明書（クライアントへ配布する証明書）の更新・再配布は不要です。
ただし、HTTPSデコード対象サイトでは、接続先サイトの証明書チェーンの構成によって
証明書警告画面が表示される可能性があるため、予防的な対応としてG5ルート証明書の登録を推奨します。

（参考情報）
https://knowledge.digicert.com/jp/general-information/digicert-g5-root-and-intermediate-ca-certificate-update　

2. 対象環境：
InterSafe WebFilterでHTTPSデコードをご利用の環境となります。

InterSafe WebFilterが標準で持つ信頼済み証明書には、DigiCert Global Root G2/G3は
含まれていますが、G5ルート証明書は含まれていません。
HTTPSデコード除外サイトについては、InterSafe WebFilter側での対応は不要です。

3. 影響範囲：
（1）クライアントへ配布する認証局証明書
クライアントへ配布している認証局証明書は、製品が生成した自己署名証明書、
またはお客様が設定した独自の認証局証明書です。
DigiCertが発行するパブリックTLS/SSL証明書ではないため、今回の移行の対象外であり、
更新・再配布は不要です。

（2）HTTPSデコード除外サイト
InterSafe WebFilterは通信を中継するのみで、接続先サーバの証明書を検証しないため、
InterSafe WebFilter側での対応は不要です。
証明書の検証はクライアントのOS・ブラウザが行います。証明書エラーの有無は、
クライアントが持つ信頼済み証明書と、接続先サイトの証明書チェーンの構成によって決まります。

なお、DigiCertの案内では、G5ルート証明書が登録されていない環境向けに、
G2/G3ルートによるクロス証明書を提供するとされています。

（3）HTTPSデコード対象サイト
接続先サーバの証明書は、InterSafe WebFilterが製品の信頼済み証明書を
使用して検証します。この検証では、OS側の信頼済み証明書は参照しません。

以下の条件をすべて満たす場合、証明書の検証に失敗し、証明書警告画面が表示されます。

・2026年11月13日以降に、G2/G3ルート階層を指定せず、G5ルート階層で発行・更新された証明書を使用している。
・接続先サーバが、証明書チェーンにG2/G3ルートによるクロス証明書を含めていない。
・InterSafe WebFilterの信頼済み証明書に、対応するG5ルート証明書が登録されていない。

2026年11月13日より前に発行された証明書は、有効期限が切れるまで今回の移行による
影響を受けません。また、適切なクロス証明書を含むサイトは、G2/G3ルートで検証できるため、
今回の移行による影響はありません。

ただし、各サイトのクロス証明書の設定状況は事前に判断できないため、次項の手順で
G5ルート証明書を登録しておくことを推奨します。
※証明書の検証に失敗した場合は、ログに警告コード 012071 が出力されます。

4. 対処方法（G5ルート証明書の登録）：
（1）ルート証明書のダウンロード
以下のDigiCertのページから、次の2つのルート証明書をダウンロードしてください。
https://knowledge.digicert.com/general-information/digicert-trusted-root-authority-certificates

　・DigiCert TLS RSA4096 Root G5
　・DigiCert TLS ECC P384 Root G5
　※PEM形式・DER形式のどちらでも登録できます。
　※同じページにある「DigiCert Global G2/G3 cross signed ～」ではなく、上記のルート証明書を選択してください。
　※ダウンロードした証明書のSHA-256フィンガープリントが、ページに記載された値と一致することを確認してください。

（2）InterSafe WebFilterへの登録
2-1.管理画面で[サーバ管理] - [信頼済み証明書設定]を開きます。
2-2.[証明書設定] - [認証局証明書］の[参照]ボタンから、ダウンロードした証明書ファイルを選択します。
2-3.[識別名]に任意の名前を入力し、[登録]ボタンをクリックします。
　　例：digicert_tls_rsa4096_root_g5、digicert_tls_ecc_p384_root_g5
　　※caから始まる識別名や、既に登録済みの識別名は使用できません。 
2-4.確認のダイアログ上で[OK]ボタンをクリックします。
2-5.信頼済み証明書一覧に、登録した2件の証明書が表示されることを確認します。

5. 補足事項：
・登録後すぐに反映されるため、サービスの再起動は不要です。
・レプリカサーバがある場合も、自動で同期されます。
・G5ルート配下の中間CA証明書（DigiCert G5 TLS ～ CA、GeoTrust G5 ～ CA1、RapidSSL G5 ～ CA1など）を
　登録する必要はありません。