Web Design Leaves

CA などの用語について

用語について少し整理。

認証局（CA）とルート認証局の違い

• 認証局（CA, Certificate Authority）
  • 証明書を発行する機関やソフトウェア。
• ルート認証局（Root CA）
  • 信頼の最上位に位置する認証局で、自身が自己署名証明書を持ちます。
  • OS やブラウザは、この「ルート CA」を信頼の起点として、そこから下位に連なる「中間 CA」や「サーバー証明書」を信頼する仕組みになっています。

mkcert が作成するもの

• mkcert -install を実行すると、自己署名の CA 証明書（rootCA.pem） が生成され、macOS の「システム証明書ストア」に ルート認証局（Root CA） として登録されます。
• したがって、Mac の「キーチェーンアクセス」で確認すると「信頼されたルート証明書」として表示されます。

mkcert はローカル専用の ルート認証局（Root CA） を作成し、macOS の証明書ストアに登録します。

.pem ファイル

.pem は PEM（Privacy Enhanced Mail）形式でエンコードされた証明書や鍵ファイルです。中身はテキスト（Base64）で、テキストエディタで開くと、以下のように書かれています。

-----BEGIN CERTIFICATE-----
...（Base64 文字列）
-----END CERTIFICATE-----

バーチャルホストごとの証明書発行

開発環境では localhost だけでなく、example.localhost のような独自のローカルドメイン（バーチャルホスト）を設定することもあります。

その場合は、以下のように mkcert の引数にドメイン名（ホスト名）を指定して証明書を作成します。

% mkcert example.localhost

実行すると、カレントディレクトリに次のファイルが生成されます。

• example.localhost.pem（証明書）
• example.localhost-key.pem（秘密鍵）

コマンド実行時のメッセージに証明書の有効期限が表示されます。

% mkcert example.localhost

Created a new certificate valid for the following names 📜
 - "example.localhost"

The certificate is at "./example.localhost.pem" and the key at "./example.localhost-key.pem" ✅

It will expire on 12 December 2027 🗓 # 有効期限（825日）

ホスト名と hosts ファイル

証明書を作成しただけではアクセスできないため、/etc/hosts に以下を追加して、ブラウザから正しく解決できるようにしておきます。関連項目：hosts ファイルの編集

127.0.0.1 example.localhost

複数ドメインに対応

1つの証明書で複数のドメインを扱いたい場合（例：example.localhost と www.example.localhost）は、スペース区切りで指定できます。

ワイルドカード（*.localhost）には対応していないため、必要なホスト名は明示的に列挙します。

% mkcert example.localhost www.example.localhost

この場合、SAN（Subject Alternative Name）に両方のホスト名が含まれた証明書が生成され、どちらのドメインでも同じ証明書を利用可能です。

SAN は「証明書が有効なホスト名を列挙する仕組み」で、現在のブラウザは「CN（Common Name）」よりも SAN を優先して検証します。

実行すると、カレントディレクトリに次のファイルが生成されます。

• example.localhost+1.pem（証明書）
• example.localhost+1-key.pem（秘密鍵）

+1 は「最初のホスト名（example.localhost）に 1 つ追加ドメインがある」という意味です。最初に指定したホスト名が必ず基準になります。

% mkcert example.localhost www.example.localhost

Created a new certificate valid for the following names 📜
 - "example.localhost"
 - "www.example.localhost"

The certificate is at "./example.localhost+1.pem" and the key at "./example.localhost+1-key.pem" ✅

It will expire on 12 December 2027 🗓

複数のドメインは、前述の例のような「www. のあり・なし」だけではなく、物理的に別々のサイトを割り当てることも可能です。

mkcert foo.localhost bar.localhost baz.localhost

上記を実行すると、以下のすべてに対応する 1 枚の証明書が生成されます。

• foo.localhost
• bar.localhost
• baz.localhost

作成されるファイル例:

• foo.localhost+2.pem（証明書）
• foo.localhost+2-key.pem（秘密鍵）

+2 は「最初のホスト名（foo.localhost）+ 2 つの追加ドメイン」という意味です。証明書ファイル名は「最初のホスト名＋追加数」という形式になります。

% mkcert foo.localhost bar.localhost baz.localhost

Created a new certificate valid for the following names 📜
 - "foo.localhost"
 - "bar.localhost"
 - "baz.localhost"

The certificate is at "./foo.localhost+2.pem" and the key at "./foo.localhost+2-key.pem" ✅

It will expire on 12 December 2027 🗓

証明書の使い回しについて

1 枚の SAN 証明書を複数 VirtualHost で使うことは可能ですが、完全に別のプロジェクトや環境では個別発行の方が管理しやすいです。

有効期限

mkcert で発行した証明書には有効期限があります。

現在のバージョン（v1.4.4）では、証明書の有効期限は 825日（約2年3か月） に設定されています（実際の有効期限は、証明書発行時のメッセージで確認できます）。

期限切れになるとブラウザで「この接続は安全ではありません」といった警告が表示されます。

その場合は、同じコマンドで再発行し、Apache（MAMP）を再起動すれば利用を継続できます。

% cd /Applications/MAMP/conf/apache/ssl
% mkcert localhost

上記を実行すると、既存の localhost.pem と localhost-key.pem が上書きされます。

他の設定に影響はありませんが、既存の pem ファイルが上書きされるので、必要なら事前にバックアップします。

SAN 証明書（複数ドメイン対応）を使っている場合も、同じコマンドで再発行が必要です。

※ mkcert が作成するローカル認証局（CA）の有効期限は 10 年程度あるため、基本的には証明書だけを更新すれば問題ありません。

httpd.conf の編集

MAMP の Apache 設定ファイル httpd.conf は以下にあります：

/Applications/MAMP/conf/apache/httpd.conf

mod_socache_shmcb のロード

まず、SSL セッションキャッシュ用のモジュール（mod_socache_shmcb）が有効になっているか確認します（MAMP 6 ではデフォルトで有効でしたが、MAMP 7.2 では無効になっています）。

#LoadModule socache_shmcb_module modules/mod_socache_shmcb.so

上記のようにコメントアウトされている場合は、この行の先頭の # を削除して、コメントを外します。

LoadModule socache_shmcb_module modules/mod_socache_shmcb.so

SSL の設定ファイルの読み込みを有効に

続いて、SSL の設定ファイル（httpd-ssl.conf）を読み込む行を有効化します。

デフォルトでは以下のようにコメントアウトされています。

# Secure (SSL/TLS) connections
#Include /Applications/MAMP/conf/apache/extra/httpd-ssl.conf

#Include ... の行の先頭の # を削除してコメントを外し、SSL 設定を有効化します。

# Secure (SSL/TLS) connections
Include /Applications/MAMP/conf/apache/extra/httpd-ssl.conf

これで httpd-ssl.conf の設定が読み込まれるようになります。

次に、この httpd-ssl.conf を編集して証明書の場所を指定します。

httpd-ssl.conf の編集

有効化した SSL の 設定ファイル httpd-ssl.conf は以下にあります：

/Applications/MAMP/conf/apache/extra/httpd-ssl.conf

##
## SSL Virtual Host Context
##

<VirtualHost _default_:443>

#   General setup for the virtual host
DocumentRoot "/Applications/MAMP/Library/htdocs"
ServerName www.example.com:443
ServerAdmin you@example.com
ErrorLog "/Applications/MAMP/Library/logs/error_log"
TransferLog "/Applications/MAMP/Library/logs/access_log"

DocumentRoot "/Applications/MAMP/htdocs"
ServerName localhost

ServerName localhost:443

#   Server Certificate: （証明書ファイル）
#   Point SSLCertificateFile at a PEM encoded certificate.  If
#   the certificate is encrypted, then you will be prompted for a
#   pass phrase.  Note that a kill -HUP will prompt again.  Keep
#   in mind that if you have both an RSA and a DSA certificate you
#   can configure both in parallel (to also allow the use of DSA
#   ciphers, etc.)
#   Some ECC cipher suites (http://www.ietf.org/rfc/rfc4492.txt)
#   require an ECC certificate which can also be configured in
#   parallel.
SSLCertificateFile "/Applications/MAMP/conf/apache/server.crt"
#SSLCertificateFile "/Applications/MAMP/conf/apache/server-dsa.crt"
#SSLCertificateFile "/Applications/MAMP/conf/apache/server-ecc.crt"

#   Server Private Key: （秘密鍵ファイル）
#   If the key is not combined with the certificate, use this
#   directive to point at the key file.  Keep in mind that if
#   you've both a RSA and a DSA private key you can configure
#   both in parallel (to also allow the use of DSA ciphers, etc.)
#   ECC keys, when in use, can also be configured in parallel
SSLCertificateKeyFile "/Applications/MAMP/conf/apache/server.key"
#SSLCertificateKeyFile "/Applications/MAMP/conf/apache/server-dsa.key"
#SSLCertificateKeyFile "/Applications/MAMP/conf/apache/server-ecc.key"

#   Server Certificate: （証明書ファイル）
SSLCertificateFile "/Applications/MAMP/conf/apache/ssl/localhost.pem"
#   Server Private Key: （秘密鍵ファイル）
SSLCertificateKeyFile "/Applications/MAMP/conf/apache/ssl/localhost-key.pem"

localhost で SSL が動くことを確認

SSL 設定を行った後は、まず localhost で正しく動作するか確認してから、バーチャルホストの設定に進むと安心です。

• localhost で問題なく動作すれば、バーチャルホスト追加時に発生した問題を個別に切り分けられます。
• 逆に、ここでうまくいかない場合は、バーチャルホスト設定に進む前に設定ミスや権限問題を修正することができます（Apache や SSL モジュールに問題がないかを早い段階でチェックできる）。

確認手順

1. Apache を再起動
   • MAMP の GUI から再起動でも、ターミナルからでも構いません。
2. ブラウザでアクセス
   • URL に https://localhost/ を入力してアクセスします。

例えば Chrome の場合、セキュリティ警告が出ずに、以下のように表示されれば成功です。

警告が出る場合は、証明書のインストールや Apache の SSL 設定を再確認してください。

「証明書は有効です」の部分をクリックすると、「証明書ビューア」が表示されます。

関連項目：MAMP（Apache）が起動しない

補足説明

• この確認を済ませておくと、後のバーチャルホスト（VirtualHost）設定もスムーズに進められます。
• まず localhost を SSL 化しておけば、localhost 配下の複数のサブディレクトリサイトもまとめて SSL 対応できます。
• localhost 配下のすべてのサブディレクトリ（例：localhost/sample1、localhost/sample2）は 1 つの VirtualHost で管理されます。
• 別ドメイン（例：example.localhost、foo.localhost）をバーチャルホストとして設定している場合は、httpd-vhosts.conf に https（443番ポート）用の VirtualHost を追加します（次項参照）。

https 用の VirtualHost を追加

Apache では、http (80 番ポート) と https (443 番ポート) はそれぞれ別の VirtualHost として扱います。そのため、http 用の設定を残したまま、https 用の VirtualHost を追加する必要があります。

VirtualHost の設定は httpd-vhosts.conf と httpd-ssl.conf に分けることもできますが、将来的なメンテナンスを考えると、同じファイル（httpd-vhosts.conf）にまとめて記述する方が管理が楽です。

設定例

以下は、既存の http 用 VirtualHost に加えて、https 用 VirtualHost を追加した例です。

証明書と秘密鍵は mkcert example.localhost コマンドで発行したものを指定します。

# 既存の 80番ポート用の VirtualHost の設定
<VirtualHost *:80>
  DocumentRoot "/Applications/MAMP/htdocs/example"
  ServerName example.localhost
  <Directory "/Applications/MAMP/htdocs/example">
    Require all granted
  </Directory>
</VirtualHost>

# 以下を追加
<VirtualHost *:443>
  DocumentRoot "/Applications/MAMP/htdocs/example"
  ServerName example.localhost

  SSLEngine on
  SSLCertificateFile "/Applications/MAMP/conf/apache/ssl/example.localhost.pem"
  SSLCertificateKeyFile "/Applications/MAMP/conf/apache/ssl/example.localhost-key.pem"

  <Directory "/Applications/MAMP/htdocs/example">
    Require all granted
  </Directory>
</VirtualHost>

設定ポイント

https (443 番ポート) 用の VirtualHost に以下を指定

• SSLEngine on
  • SSL を有効化するディレクティブです。
• SSLCertificateFile / SSLCertificateKeyFile
  • 証明書と秘密鍵のファイルパスを指定します。
  • mkcert コマンド実行時に出力されるファイル名・パスを確認します。
• <Directory>
  • Apache 2.4 以降ではディレクトリへのアクセスはデフォルトで拒否されます。そのため、対象ディレクトリにアクセスを許可するには明示的に Require all granted を記述する必要があります。

  • また、<Directory> ディレクティブディレクティブは VirtualHost の外側にも書けますが、VirtualHost の中に書く方がホストごとに権限が明確になるため推奨です。

    <VirtualHost *:80>
      DocumentRoot "/Applications/MAMP/htdocs/example"
      ServerName example.localhost
    </VirtualHost>
    
    <VirtualHost *:443>
      DocumentRoot "/Applications/MAMP/htdocs/example"
      ServerName example.localhost
    
      SSLEngine on
      SSLCertificateFile "/Applications/MAMP/conf/apache/ssl/example.localhost.pem"
      SSLCertificateKeyFile "/Applications/MAMP/conf/apache/ssl/example.localhost-key.pem"
    </VirtualHost>
    
    <Directory "/Applications/MAMP/htdocs/example">
      Require all granted
    </Directory>

<VirtualHost *:80>
  DocumentRoot "/Applications/MAMP/htdocs/example"
  ServerName example.localhost
  Redirect permanent / https://example.localhost/
</VirtualHost>

<VirtualHost _default_:443>
  DocumentRoot "/Applications/MAMP/htdocs"
  ServerName localhost
  ...
</VirtualHost>

<VirtualHost *:80>
  DocumentRoot "/Applications/MAMP/htdocs"
  ServerName localhost
  <Directory "/Applications/MAMP/htdocs">
    Require all granted
  </Directory>
</VirtualHost>

% mkcert example.localhost www.example.localhost

<VirtualHost *:80>
  DocumentRoot "/Applications/MAMP/htdocs/example"
  ServerName example.localhost
  <Directory "/Applications/MAMP/htdocs/example">
    Require all granted
  </Directory>
</VirtualHost>

<VirtualHost *:80>
  DocumentRoot "/Applications/MAMP/htdocs/example"
  ServerName www.example.localhost
  <Directory "/Applications/MAMP/htdocs/example">
    Require all granted
  </Directory>
</VirtualHost>

<VirtualHost *:443>
  DocumentRoot "/Applications/MAMP/htdocs/example"
  ServerName example.localhost

  SSLEngine on
  SSLCertificateFile "/Applications/MAMP/conf/apache/ssl/example.localhost+1.pem"
  SSLCertificateKeyFile "/Applications/MAMP/conf/apache/ssl/example.localhost+1-key.pem"
  <Directory "/Applications/MAMP/htdocs/example">
    Require all granted
  </Directory>
</VirtualHost>

<VirtualHost *:443>
  DocumentRoot "/Applications/MAMP/htdocs/example"
  ServerName www.example.localhost

  SSLEngine on
  SSLCertificateFile "/Applications/MAMP/conf/apache/ssl/example.localhost+1.pem"
  SSLCertificateKeyFile "/Applications/MAMP/conf/apache/ssl/example.localhost+1-key.pem"
  <Directory "/Applications/MAMP/htdocs/example">
    Require all granted
  </Directory>
</VirtualHost>

<VirtualHost *:80>
  DocumentRoot "/Applications/MAMP/htdocs/example"
  ServerName example.localhost
  ServerAlias www.example.localhost
  <Directory "/Applications/MAMP/htdocs/example">
    Require all granted
  </Directory>
</VirtualHost>

<VirtualHost *:443>
  DocumentRoot "/Applications/MAMP/htdocs/example"
  ServerName example.localhost
  ServerAlias www.example.localhost

  SSLEngine on
  SSLCertificateFile "/Applications/MAMP/conf/apache/ssl/example.localhost+1.pem"
  SSLCertificateKeyFile "/Applications/MAMP/conf/apache/ssl/example.localhost+1-key.pem"
  <Directory "/Applications/MAMP/htdocs/example">
    Require all granted
  </Directory>
</VirtualHost>

% mkcert foo.localhost bar.localhost baz.localhost

<VirtualHost *:443>
  ServerName foo.localhost
  DocumentRoot "/Applications/MAMP/htdocs/foo"
  <Directory "/Applications/MAMP/htdocs/foo">
    Require all granted
  </Directory>
  SSLEngine on
  SSLCertificateFile "/Applications/MAMP/conf/apache/ssl/foo.localhost+2.pem"
  SSLCertificateKeyFile "/Applications/MAMP/conf/apache/ssl/foo.localhost+2-key.pem"
</VirtualHost>

<VirtualHost *:443>
  ServerName bar.localhost
  DocumentRoot "/Applications/MAMP/htdocs/bar"
  <Directory "/Applications/MAMP/htdocs/bar">
    Require all granted
  </Directory>
  SSLEngine on
  SSLCertificateFile "/Applications/MAMP/conf/apache/ssl/foo.localhost+2.pem"
  SSLCertificateKeyFile "/Applications/MAMP/conf/apache/ssl/foo.localhost+2-key.pem"
</VirtualHost>

<VirtualHost *:443>
  ServerName baz.localhost
  DocumentRoot "/Applications/MAMP/htdocs/baz"
  <Directory "/Applications/MAMP/htdocs/baz">
    Require all granted
  </Directory>
  SSLEngine on
  SSLCertificateFile "/Applications/MAMP/conf/apache/ssl/foo.localhost+2.pem"
  SSLCertificateKeyFile "/Applications/MAMP/conf/apache/ssl/foo.localhost+2-key.pem"
</VirtualHost>

設定ファイルのチェック

ターミナルで以下のコマンドを実行すると、Apache の設定ファイルに文法エラーがないかチェックできます。

% /Applications/MAMP/Library/bin/apachectl configtest

• Syntax OK と表示されれば、文法上の問題はありません。
• エラーがある場合は、原因がエラーメッセージに表示されます。

例：モジュール不足によるエラー

AH00526: Syntax error on line 92 of /Applications/MAMP/conf/apache/extra/httpd-ssl.conf:
SSLSessionCache: 'shmcb' session cache not supported (known names: ). Maybe you need to load the appropriate socache module (mod_socache_shmcb?).

これは以下を意味します：

• httpd-ssl.conf の 92 行目で SSLSessionCache shmcb:... が指定されている
• Apache が shmcb セッションキャッシュをサポートしていない → モジュール未ロード
• mod_socache_shmcb をロードする必要がある

対処方法

この場合、httpd.conf 内の以下の行のコメントアウトを外します（mod_socache_shmcb のロード）。

# LoadModule socache_shmcb_module modules/mod_socache_shmcb.so

エラーログの確認

文法チェックで問題がなくても、モジュールの依存関係や証明書のパス指定ミスなどで Apache が起動しない場合があります。

その際はエラーログを確認します。

MAMP の Apache エラーログ（デフォルト）

/Applications/MAMP/logs/apache_error.log

httpd-ssl.conf で指定されているログファイル（例）

/Applications/MAMP/Library/logs/error_log