Cloudflareを利用しているWordPressで「526 Invalid SSL Certificate」が表示され、HTTPSの公開ページや管理画面へ入れなくなることがあります。証明書更新、サーバー移行、Full (Strict)への変更、wwwやサブドメイン追加の直後に起こりやすいエラーです。
526は、CloudflareがオリジンサーバーのSSL証明書を検証できない状態です。期限切れだけでなく、対象ホスト名がSANにない、信頼できない発行元、証明書チェーン不足、失効、別サーバーの証明書提示などを確認します。
526を消すために、Full (Strict)をFullへ変更したまま放置しないでください。一時的な切り分けで表示が戻っても、無効な証明書を受け入れる状態になっただけかもしれません。正しいオリジン証明書を修復し、安全な設定へ戻します。
先に結論：526エラーは8段階で確認する
- URL、ホスト名、時刻、タイムゾーン、Ray IDを保存する
- Cloudflare・ホスティングの障害と直前変更を確認する
- SSL/TLSモードがFull (Strict)か確認する
- オリジンが実際に提示している証明書をホスト名付きで確認する
- 期限、失効、発行元、CN・SAN、証明書チェーンを調べる
- IPv4・IPv6・ロードバランサーで提示証明書が同じか確認する
- 正しい証明書と中間証明書を設定し、安全に再読込する
- Full (Strict)、HTTPS、WordPress、監視、5xx再発を確認する
TLSハンドシェイク自体が成立していない場合はWordPressの525エラーを直す確認順を使います。オリジンが接続を拒否している521、接続が進まない522とも確認層が異なります。
526エラーとは？
Cloudflare公式のError 526では、CloudflareがオリジンサーバーのSSL証明書を検証できず、安全な接続を確立できない状態と説明されています。CloudflareでFull (Strict)を使うときに発生します。
CloudflareのFull (Strict)資料によると、オリジン証明書は期限内で、公開認証局またはCloudflare Origin CAが発行し、要求先ホスト名と一致するCNまたはSANを含む必要があります。オリジンは443番でその証明書を提示します。
ブラウザが見ているCloudflareエッジ証明書と、Cloudflareが検証するオリジン証明書は別です。ブラウザの鍵マークが正常でも、オリジン証明書が期限切れ、別ホスト用、チェーン不完全なら526になる可能性があります。
525と526の違い
| 比較 | 525 SSL Handshake Failed | 526 Invalid SSL Certificate |
|---|---|---|
| 主な段階 | TLSハンドシェイクが完了しない | 提示証明書をStrict検証できない |
| 代表原因 | 443停止、SNI、TLS・暗号方式不一致、接続リセット | 期限、失効、SAN不一致、発行元、チェーン不足 |
| 最初のログ | SSLハンドシェイク・ネットワークログ | 提示証明書と検証結果 |
| Cloudflare設定 | FullまたはFull (Strict) | Full (Strict) |
525を修復した直後に526へ変わる場合があります。これは悪化とは限らず、TLS接続が証明書提示まで進み、次の検証問題が見えるようになった可能性があります。コードごとに段階を分けて直します。
WordPressで526が出る主な原因
1．オリジン証明書が期限切れまたは有効期間外
証明書の終了日時を過ぎている、更新直後でも開始日時より前、サーバー時刻が大きくずれている場合があります。自動更新が成功したかだけでなく、Webサーバーが新しい証明書を実際に提示しているかを確認します。
2．要求ホスト名がCN・SANに含まれていない
`example.com`用の証明書が`www.example.com`を含まない、ワイルドカードが深い階層のサブドメインを覆わない、新しい管理用ホストを追加したが再発行していない場合があります。アクセスURLとSANを一文字ずつ照合します。
3．自己署名または信頼されない発行元を使っている
Fullでは暗号化できても、Full (Strict)では信頼性の要件を満たさない自己署名証明書が拒否されます。公開認証局の証明書またはCloudflare Origin CAを用途に合わせて使い、独自の自己署名証明書を無確認で残しません。
4．中間証明書が不足してチェーンを構築できない
リーフ証明書だけを設定し、必要な中間CA証明書を送信していないと、Cloudflareが信頼できるルートまで証明書チェーンを構築できません。証明書ファイルの順序、fullchainの指定、ロードバランサー側のチェーンも確認します。
5．更新後も古い証明書を提示している
証明書ファイルを更新しても、Webサーバーを安全に再読込していない、別の設定ファイルを参照している、複数ノードの一部だけ古い場合があります。正常な回と526の回が混在するときは、接続先ノード・IPv4・IPv6ごとに比較します。
6．DNSが別サーバーや旧サーバーを指している
Cloudflare DNSのA・AAAA・CNAMEが、証明書を更新していない旧サーバーや既定サイトへ向くと526になります。移行先の証明書だけを確認せず、Cloudflareが実際に接続する全オリジンを確認します。
7．証明書が失効している
秘密鍵漏えい、誤発行、再発行などで証明書が失効していると、期限内でも無効です。失効した証明書の再利用を避け、提供元の手順で新しい鍵・証明書へ交換します。
最初に保存する情報
- 526が出た完全なURLとホスト名
- 日時、タイムゾーン、Ray ID
- CloudflareのSSL/TLSモード
- Cloudflare DNSのA・AAAA・CNAME現在値
- オリジンが提示する証明書の期限・発行元・SAN
- 証明書チェーンと中間CAの確認結果
- 証明書更新、移行、再読込の日時
- 常時・断続・特定サブドメインだけのどれか
公開証明書は確認できますが、秘密鍵は絶対に共有しません。証明書更新に使った管理アカウント、APIトークン、Origin CAの秘密鍵も公開の相談場所へ貼らないでください。
証明書のどこが無効か特定する
| 確認項目 | 見る内容 | 異常の例 |
|---|---|---|
| 有効期間 | not before / not after、サーバー時刻 | 期限切れ、開始前 |
| ホスト名 | CN、SAN、要求ホスト | www・サブドメイン不足 |
| 発行元 | 公開CA、Cloudflare Origin CA | 信頼されない自己署名 |
| チェーン | リーフ、中間CA、ルートへの経路 | 中間証明書不足・順序ミス |
| 接続先 | A・AAAA、LBノード、SNI | 旧サーバー・別サイトを参照 |
| 状態 | 失効、更新、自動更新ログ | 失効済み、更新後も旧証明書 |
ホスト名を指定した状態で、Cloudflareが接続するオリジンごとに確認します。IPアドレスだけの接続ではSNIにより別の既定証明書が出る場合があるため、実際のホスト名条件を再現します。
WordPressのPHPログへ525・526の原因が直接残らないことがあります。証明書層の復旧前はWordPressへ要求が届いていないためです。変更作業ではWordPress公式の案内どおり、バックアップまたはテスト環境を用意し、復旧後のWordPress動作を別に確認します。
原因別の安全な直し方
1．対象ホスト名を含む有効な証明書へ更新する
公開認証局またはCloudflare Origin CAから、実際に使うルートドメイン、www、必要なサブドメインを含む証明書を用意します。ワイルドカードの対象階層を確認し、不要なホスト名や秘密鍵を使い回しません。
2．リーフ証明書と中間証明書を正しい順序で設定する
Webサーバーやロードバランサーの仕様に合わせ、必要なfullchainを設定します。別ノード、コンテナ、CDN前段にも証明書終端がある場合は、すべて同じチェーンへそろえます。設定テストを通してから安全に再読込します。
3．Cloudflare Origin CAを用途に合わせて使う
Cloudflare Origin CAの公式手順に従い、オリジンがCloudflare経由だけで使われる構成ならOrigin CA証明書を選べます。証明書、秘密鍵、必要なルート証明書を正しく設定し、Full (Strict)で使います。
Origin CA証明書は一般のブラウザ向け公開証明書とは用途が異なります。Cloudflareを一時停止したりDNS-onlyにしたりすると、閲覧者に信頼されない証明書として見える場合があります。直接公開が必要なホストには公開認証局の証明書を選びます。
4．全オリジンノードとIPv6を更新する
ロードバランサー、複数台構成、IPv4・IPv6の一部だけ古い証明書になっていないか確認します。断続的な526は、接続先によって提示証明書が違う可能性があります。対象を一台ずつ外して原因ノードを特定し、全体へ反映します。
5．自動更新と再読込を監視する
証明書の取得成功だけでなく、配置、権限、Webサーバー再読込、実際の提示まで監視します。期限前の通知、更新失敗、SAN変更、チェーン変更を確認できるようにし、手動更新の属人化を減らします。
6．一時的にFullへ変更した場合はStrictへ戻す
緊急時に影響範囲を限定してFullへ変更した場合は、変更時刻、理由、戻す条件を記録します。正しい証明書とチェーンを確認したらFull (Strict)へ戻し、526が再発しないことを確認します。恒久的な回避策にしません。
やってはいけない対処
- Fullへ下げたまま証明書問題を放置する
- 期限だけを見てSAN・発行元・チェーンを確認しない
- 証明書、秘密鍵、DNS、リダイレクトを同時に変える
- 秘密鍵、APIトークン、管理パスワードを共有する
- 自己署名証明書を無条件で信頼させる
- 一台の確認だけで全LBノード・IPv6を正常と判断する
- Origin CA証明書のままCloudflareを停止・DNS-onlyにする
- 証明書更新後のWebサーバー再読込を確認しない
復旧後の確認チェックリスト
- CloudflareのSSL/TLSモードがFull (Strict)である
- 主要URLがHTTPSで200を返す
- 証明書が期限内で失効していない
- アクセスする全ホスト名がCNまたはSANに含まれる
- 中間証明書を含むチェーンが完成している
- IPv4・IPv6・全オリジンノードが同じ正しい証明書を返す
- 525・526が別回線でも再発しない
- WordPress管理画面、保存、REST API、フォームが正常である
- Mixed Contentとリダイレクトループがない
- 証明書期限・更新・再読込を監視できる
HTTPS復旧後にブラウザ側で安全でない素材が残る場合はWordPressのMixed Contentを直す手順、HTTPS転送が循環する場合はリダイレクトループを直す手順を使い、526とは分けて対処します。
ホスティングへ伝える情報
526が出たホスト名、時刻、Ray ID、Full (Strict)設定、オリジンIP、証明書の期限・発行元・SAN、チェーン、更新日時、断続性を伝えます。対象ホスト名をSNIに指定し、全ノードとIPv6が実際に提示する証明書を確認してほしいと依頼します。
Cloudflareへ相談するときも、秘密鍵は送らず、公開証明書とホスティングの検証結果を共有します。証明書が正常に見えるのに526が続く場合は、接続先IP、ロードバランサー、Workersの外部サブリクエストなど、実際の接続経路を確認します。
526エラーのよくある質問
証明書を更新したのに直らないのはなぜですか？
新しい証明書を配置しても、Webサーバーが古いファイルを参照している、再読込していない、別ノードやIPv6が旧証明書を返す、中間証明書が不足している場合があります。Cloudflareが接続する条件で実際の提示証明書を確認します。
FullとFull (Strict)の違いは何ですか？
どちらもCloudflareとオリジン間を暗号化しますが、Full (Strict)はオリジン証明書の期限、信頼、ホスト名一致も検証します。Cloudflareは可能な場合にFull (Strict)を推奨しています。
Cloudflare Origin CAは無料ですか？
Cloudflare公式資料ではFreeを含む各プランで利用可能とされています。ただし仕様や画面は変わるため、導入時に現行資料を確認してください。直接ブラウザが接続するホストには用途が合わない点にも注意します。
526はSEOへ影響しますか？
GoogleのHTTPステータス資料では、5xxが増えるとクロールが一時的に遅くなり、継続するとURLがインデックスから外れる可能性があります。復旧後は主要URLの200応答とSearch Consoleを確認します。
まとめ
526 Invalid SSL Certificateは、CloudflareがFull (Strict)でオリジン証明書を検証できない状態です。期限だけでなく、対象ホスト名、発行元、失効、チェーン、実際の接続先を確認します。
- Ray ID、時刻、ホスト名、Full (Strict)設定を保存する
- 期限、SAN、発行元、失効、中間証明書を確認する
- 525のハンドシェイク失敗と526の検証失敗を分ける
- 正しい証明書を全ノードへ反映し、Strictへ戻す
- 復旧後はWordPress、HTTPS表示、更新監視、5xx再発を確認する