CA/Bフォーラムの決定に基づきAWS Certificate ManagerでのEメール検証によるパブリック証明書の発行・更新が廃止の方針となるようです
初めに
昨日のアップデートでAWS Certificate Manager(ACM)で既存のメールアドレスの検証をDNS検証に移行するアップデートを見かけました。
今まではこの切り替えを行うためには証明書の再発行差し替えを行うので手間だったので割と助かるアップデートとなります。
...というアップデートタイトルで書く予定でしたが、中身を読んでみるともっと根本的に大きな変更が主題のようで、メールアドレスによるドメイン所有権の確認自体が廃止されDNS検証に一本化されていくようです。
※ ACMは現状メール・DNS検証のみのサポートのためDNS一本化となるものの、ACMがサポートしてないだけでファイル認証(HTTPファイルチャレンジ)は規格として残されてるのでサポートする機関であればそれは引き続き利用可能です。厳密には一定条件下であればACMでもHTTP検証による証明書発行が可能ですが非常に限定的です。
このアップデートはACM独自のものではなくSSL/TLS証明書の標準化団体であるCA/Bフォーラムの方での決定のようで今後各証明書の発行団体が全般的にこちらに準ずる形で対応を進めていく形になるのではないかと思います。
What's new上には具体的な言及はありませんでしたが、以下がそれに関するページのようでメール認証だけではなく電話による認証(こっちはACMでは元々ない)も廃止となるようです。
なぜ廃止されるか(メールアドレス検証によるリスク等)についての記載もありますのでその辺りが気になる方はこちらをご参照ください。
スケジュール
メール検証の廃止は以下のスケジュールで段階的に実施されます。
| 日付 | 内容 |
|---|---|
| 2027年1月1日 | ACMは新しいAWSリージョンにおいて、メール検証の提供を終了します。 |
| 2027年3月31日 | ACMは、すべてのリージョンにおいて新規の証明書リクエストに対するメール検証の提供を終了します。 |
| 2027年9月30日 | ACMは、すべてのリージョンにおいて、メール検証を使用している既存証明書の更新を行わなくなります。 |
| 2028年3月15日 | CA/Bフォーラムの規定により、パブリック認証機関（CA）は、パブリックに信頼された証明書の発行・更新にメールベースのドメイン検証を使用できなくなります。この日付以前に発行された証明書は、有効期限まで有効です。 |
CA/Bフォーラムの規定としては2028/3/15までに廃止となっていますが、ACM側としては2027/09末には既存の証明書の更新含め廃止となるようです。あくまで新規の発行・更新の停止のみで有効期限が切れるまでは利用可能です。
ただこの件とは別にSSL/TLS証明書の有効期限自体が段階的に短縮されている状態であり、2027/3/14までに発行された証明書期限が200日、2028/3/14までに発行された証明書の期限が100日となってます。2027/9/30ギリギリに更新された証明書でも100日後である2028/01上旬には期限が切れる形になります。
なお今回の検証のためにEメール検証の証明書を発行したのですがすでに非推奨の旨が表示されるようになっていました。
既存証明書の検証方式の移行について
現在メールアドレスによるドメイン所有権の検証を実施している証明書はDNS検証に変更する必要があります。
ここで当初のアップデート記事の本題になりまして、これまでACM証明書では既存の証明書の認証方式を変更することはできず、必要な場合は新規に発行する必要がありました。証明書としても別物になるため各リソースにアタッチしている証明書の差し替えの必要もあり、ワイルドカード証明書を利用し複数のリソースに紐づけている場合は作業量も多くなってきます。
今回のアップデートでは既存証明書の検証方式自体の差し替えが可能となり、これにより既存の証明書を維持したまま検証方式の更新のみが可能となります。
マネジメントコンソールから更新を行う場合は証明書の詳細画面にいき、「検証方法の更新」という表示から可能です。
これにより切り替えると証明書更新用のレコードが確認できるようになります。これを該当ドメインで利用中のネームサーバに登録して検証完了まで待機すれば更新完了となります。
なおこのレコードは例に漏れず同じアカウント内かつ同じドメインであれば同一ですので、すでに登録しているような場合はそのまま少し待っていれば切り替えが完了となります。
切り替えが終わると以下のように検証方法がEメールからDNSに切り替わり、(マスクしてるのでアレですが)検証のために送信されたアドレスが表示されてた部分が検証に利用したレコードの表示に切り替わります。
更新されても発行日は特に変わらなかったので証明書自体が更新されるわけではなさそうです。
(今回の場合は発行してすぐに更新したのでその影響ももしかしたらあるかも？)
切り替え前。「証明書ステータス」の右下の「更新ステータス」でDNSの検証状況が確認できます。
切り替え後
終わりに
2025年にもCA/Bフォーラムの決定でWHOISに登録されているアドレス宛を利用したEメール検証が廃止という話がありましたが、ついにメールアドレス検証自体が廃止となりました。
本記事頭の方に記載したCA/Bフォーラムのページにあるようにメールアドレスによる検証はDNS検証に比べて脆弱と言われるものの、業務的にはDNSレコードを管理しているベンダーが別にて依頼をするのに時間がかかるので...という場合に所定のメールアドレスさえあれば内々で解決するので便利ではあったので残念ではあります。
SSL証明書に関して今回の件だけではなく、許容される有効期限の短期化もあり、最近そこそこ変化が激しい領域ではありますので話についていけるように情報はしっかり拾っていかないといけないですね。
