Document

概要

エックスサーバーの「独自ドメイン永久無料特典」で取得したドメインから作成したFQDNに対して発行するSSL証明書の更新時の手順です。
更新ではなく新規発行時もほとんど手順は変わらないので参考になるかもしれません。

前提

VPSではNginxをリバースプロキシとして設置しており、このNginxで使用する証明書のみを更新します。
ドメインはエックスレンタルサーバー契約で利用可能な「独自ドメイン永久無料特典」で取得したものを使用します。
そのため、DNSレコードの管理はレンタルサーバーの管理画面から行います。
VPSはエックスサーバーのVPS 4GBプランにDebianをインストールして使用しています。
「DNS認証」で証明書を発行するFQDNが自分の管理下であることを証明します。

新しい証明書を発行する

発行に必要な情報を入力する

エックスサーバーにログインし、「サービス管理」から「SSL証明書」更新を押します。
更新対象のFQDNの行にある「更新申請」を押します。
CSR情報を記入し、「ドメインの所有者確認画面へ進む」を押します。
「DNS認証」のラジオボタンを選択すると、DNSレコードに新しく設定する情報が「DNSレコード設定情報」に表示されます。こちらの画面を表示したままにして、次の手順に進んでください。

DNSレコードを更新し、新しい証明書を発行するための認証情報を更新する

エックスサーバーの「独自ドメイン永久無料特典」で取得したドメインは、レンタルサーバーのサーバー管理画面からDNSレコード編集に入ります。
右上の「サービス管理」から「XServerレンタルサーバー」を押してください。
「サーバー管理（サーバーパネル）」を押して開き、証明書を発行するFQDNが属するドメインを設定したサーバーを選択してください。
サーバーを選択したら、「DNSレコード設定」を押してください。
DNSレコード編集画面に入るする際は注意文が毎回表示されますが、閉じてください。
既存を更新する場合はそのままで次の手順に進んでも問題ありません。
新規レコードを追加する場合は、重複を避けるため「DNSレコード設定情報」の「ホスト名」でページ内を検索し、完全一致するものがある場合は削除してください。
既存のDNSレコードを更新する場合：
「DNSレコード設定情報」の「ホスト名」で検索し、鉛筆アイコンを押してください。
その後、「認証文字列」を更新し、「設定する」を押してください。 新規でDNSレコードを追加する場合：
新規で追加する場合は「DNSレコードを設定」を押して追加画面を表示させます。
ここに「DNSレコード設定情報」の「ホスト名」、「種別」、「認証文字列」を反映してください。
「対象ドメイン」は証明書を発行する対象のFQDNが所属するドメインを選択してください。
「ホスト名」は「DNSレコード設定情報」のものから.+対象ドメインを取り除いたものを入力してください。
「種別」はもそのままTXTを入力してください。
「内容」は「認証文字列」を入力してください。
TTLおよび優先度はそのままで問題ありません。
全て埋めたら、「設定する」を押してください。
最後に「DNSレコード設定情報」の「ホスト名」でページ内を検索して、重複が無いか確認してください。
複数ある場合は「DNS認証」に失敗します。一度失敗すると、しばらく更新できませんので気をつけてください。

認証を行い、新しい証明書の発行を完了する。

「DNSレコード設定情報」が表示されているページに戻り、「確認画面へ進む」を押してください。
更新申請完了画面が表示されれば、証明書の発行が完了しています。
この画面にも表示されていますが、右上のメニューから「契約情報」を押せば、証明書のダウンロード画面に移動します。

発行した新しい証明書から秘密鍵と公開鍵を作成する

更新申請が無事完了すると、「SSL証明書」と「中間証明書」、および「秘密鍵」がダウンロードできるようになります。

それらをダウンロードしてください。
ダウンロードした「SSL証明書」の内容に「中間証明書」を結合して公開鍵（fullchain.pem）を作成します。
ファイル名の末尾が「[数字].crt」のファイルがSSL証明書、「[数字]Int.crt」のファイルが中間証明書です。
Macなど、ターミナルでcatコマンドが使用できる場合は以下で結合できます。

cat SSL証明書のファイルパス 中間証明書のファイルパス > fullchain.pem

ファイル名の末尾が「[数字].key」のファイルが「秘密鍵」です。 private.keyなどにリネームしておくと分かりやすいかと思います。 Macなど、ターミナルでmvコマンドが使用できる場合は以下でリネームできます。

mv 秘密鍵のファイルパス private.key

秘密鍵・公開鍵ファイルを配置する

FTPなどを利用して作成したprivate.keyとfullchain.pemを対象のディレクトリにアップロードします。
Nginxの設定で/etc/nginx/sites-sites-available/[対象のFQDN]をincludeする方法で管理している場合は、アップロード先は以下の方法で確認できると思います。

grep "ssl_certificate" /etc/nginx/sites-available/対象のFQDN

正常に動くか不安な場合はバックアップをとっておくといいでしょう。
ファイルの配置が終わったらNginxに設定ファイルを再読み込みさせます。
Nginxは通常、systemdで管理されているかと思います。その場合は以下のコマンドで再読込を行います。

systemctl reload nginx

正常に更新された場合、証明書の期限が更新されます。
証明書はブラウザでも確認できますが、opensslコマンドが使えるのであれば、以下のコマンドでも更新を確認できます。
ただし、日時はGMT表示なので、日本時間で考える場合は9時間プラスする必要があります。

echo | openssl s_client -connect 確認したいFQDN:443 2>/dev/null | openssl x509 -noout -dates

表示例は以下のようになります。

notBefore=Jan 26 00:20:07 2026 GMT
notAfter=Apr 26 00:20:06 2026 GMT

この場合は日本時間で2026/4/26 09:20:06まで有効なことが確認できます。