はじめに
「ssl_host_mismatchというエラーが表示されたけれど、何が原因なの？」
「SSL証明書を設定したはずなのに、なぜ正常にアクセスできないの？」と困っていませんか。
WebサイトへHTTPSでアクセスしたときやSSL証明書の状態を確認したときに、ssl_host_mismatchと表示されると、証明書とドメインのどこを確認すればよいのか分からず迷うことがあります。
この記事では、ssl_host_mismatchが発生する原因と確認する項目、エラーを解消するための対処方法を紹介します。
「ssl_host_mismatch」とは？
ssl_host_mismatchが表示された場合は、アクセスしているホスト名とSSL証明書に登録されたホスト名が一致しているか確認する必要があります。
ここでは、ssl_host_mismatchの意味と、エラーが発生したときに確認する項目を順に説明します。
ssl_host_mismatchはホスト名とSSL証明書が一致しないときに確認するエラー
ssl_host_mismatchは、アクセスしたホスト名とSSL証明書の対象ホスト名が一致しない場合に発生するエラーです。
SSL通信では、アクセス先のホスト名が証明書の対象に含まれているかを確認するため、一致しない場合は正しく検証できません。
証明書のCN・SANとアクセス先のホスト名を確認する
ssl_host_mismatchが表示されたら、SSL証明書のCN（Common Name）やSAN（Subject Alternative Name）に、アクセス先のホスト名が含まれているか確認します。
ブラウザで証明書情報を開き、記載されているホスト名とアドレスバーのホスト名が一致しているか見比べてみましょう。
ssl_host_mismatchが発生する主な原因
ssl_host_mismatchは、SSL証明書が対象のドメインやサブドメインに対応していない場合だけでなく、DNSや証明書の設定状況によっても発生します。
ここでは、SSL証明書の対象範囲、DNS設定、証明書の発行・更新・割り当ての3つに分けて主な原因を説明します。
SSL証明書が対象のドメインやサブドメインをカバーしていない
SSL証明書のCNやSANにアクセス先のドメインやサブドメインが含まれていないと、ssl_host_mismatchが発生します。
証明書に登録されているホスト名を確認し、実際のアクセス先と一致しているか見比べてみましょう。
カスタムドメインやDNSの設定が正しく反映されていない
カスタムドメインやDNSの設定に問題があると、想定とは異なるサーバーへ接続され、ssl_host_mismatchが発生することがあります。
DNSレコードの設定先を確認し、変更した直後であれば新しい設定が反映されているかも確認してみましょう。
SSL証明書の発行・更新・割り当てが完了していない
SSL証明書の発行や更新、サーバーへの割り当てが完了していない場合も、ssl_host_mismatchが発生することがあります。
新しい証明書を用意した場合は、対象ドメインに対応した証明書が接続先へ正しく割り当てられているか確認しましょう。
ssl_host_mismatchが出たときの確認と対処方法
ssl_host_mismatchが表示された場合は、ホスト名とSSL証明書の照合から始め、DNS、カスタムドメイン、証明書の発行・割り当て状況の順に確認します。
ここでは、エラーの原因を切り分けてssl_host_mismatchを解消するまでの確認・対処手順を順に説明します。
アクセス先のホスト名とSSL証明書の対象ドメインを照合する
まず、ブラウザでアクセスしているホスト名と、SSL証明書のCN・SANに登録されているドメインを確認します。
アクセス先のホスト名が証明書の対象に含まれていなければ、ssl_host_mismatchが発生する原因になります。
DNSとカスタムドメインの設定を確認する
次に、対象ドメインのAレコードやCNAMEレコードが、SSL証明書を設定したサーバーやサービスを参照しているか確認します。
カスタムドメインの設定もあわせて確認し、異なる接続先が指定されている場合は修正しましょう。
DNSを修正したあと、「設定がいつ反映されるのか分からない」と迷った場合は、反映までの時間も確認しておくと安心です。
▶DNSの反映時間はどれくらい？確認方法と反映されないときの対処法
DNSが正常ならSSL証明書の発行・割り当て状況を確認する
DNSに問題がなければ、対象ドメイン用のSSL証明書が発行され、接続先へ正しく割り当てられているか確認します。
別のドメイン用や更新前の証明書が使われている場合は、ssl_host_mismatchの原因になることがあります。
必要に応じてSSL証明書の設定を修正する
SSL証明書の対象ドメインや割り当て先に誤りがある場合は、アクセス先のホスト名に合わせて設定を修正します。
CN・SANに対象のホスト名が含まれていなければ、対応する証明書を発行してサーバーやサービスへ割り当てましょう。
証明書を設定し直してもすぐに正常表示されない場合は、SSL証明書が反映されるまでの時間を確認してみましょう。
▶SSL証明書の反映時間はどれくらい？反映されないときの確認方法
設定変更後にssl_host_mismatchが解消したか再確認する
設定を変更したあとは、内容が反映されてから対象のホスト名へ再度アクセスします。
ssl_host_mismatchが表示されず、アクセス先と証明書のホスト名が一致していれば、設定が正しく反映されたと確認できます。
まとめ
ssl_host_mismatchは、アクセス先のホスト名とSSL証明書のCN・SANに登録されたホスト名が一致していない場合に確認するエラーです。
エラーが出たときは、アクセス先のホスト名と証明書を照合したうえで、DNSやカスタムドメイン、SSL証明書の発行・割り当て状況を順に確認します。
設定に誤りがあれば、対象のホスト名に対応する証明書の発行や割り当て、DNS設定などを修正し、反映後に再度アクセスします。
原因を順番に切り分けることで、修正が必要な設定を特定しやすくなります。
