Salesforce の証明書の変更で組織と連携先を確かめる手順

01お知らせで案内されている3つの変更

Salesforce は、証明書について3つの変更を案内しています。まとめると次のとおりです。

ブラウザで Salesforce を開いて使うだけなら、この3つで操作が変わることはありません。my.salesforce.com などの Salesforce のドメインの証明書は、Salesforce が入れ替えます。公式ヘルプによると、Salesforce は自分が提供する証明書を、通常は期限の45日以上前に入れ替えます。

02期限と日付

クライアント認証との兼用の廃止は、2027年3月15日からです。この日以降、公的な認証局の中間証明書と発行される証明書は、サーバー認証の用途だけを持つようになります。公式記事は、施行日が2026年6月15日から移ったと書いています。

影響を受けるのは、公的な認証局のクライアント証明書を使い、そのクライアント証明書がサーバー証明書と同じ Chrome のルートストアの認証局につながっている組織です。対応として公式記事は、使っている相互 TLS を洗い出すこと、サーバー用とクライアント用で別の認証局を使うこと、2027年3月以降に同じ形の証明書が更新できない前提で再発行を準備することを挙げています。Salesforce は、引き続きクライアント認証用の証明書を発行する6つのルート（DigiCert・SSL.com・Sectigo）を、自分の信頼リストへ加えるとしています。

TLS サーバー証明書の有効期間は、作られた時点で次の上限がかかります。

Salesforce の中で作る自己署名証明書は、この上限の対象外です。自己署名証明書は作ってから1年で期限が切れます。認証局から取り込んだ証明書は、その認証局の決まりで期限が決まります。

03組織の設定で確かめる場所

設定の［クイック検索］に「証明書」と入れ、［証明書と鍵の管理］を開きます。この画面を見るには「証明書の管理」の権限が要ります。

1. 証明書の一覧を見る

   登録されている証明書ごとに、自己署名か認証局の署名か、期限がいつかを確かめます。自己署名の証明書しかない組織は、有効期間の短縮の影響を受けません。

2. 相互認証証明書があるかを見る

   同じ画面の［相互認証証明書］に登録があるかを見ます。この欄と［相互認証証明書をアップロード］のボタンが出ていない組織は、機能そのものが有効になっていません。公式ヘルプは、使う場合は Salesforce に有効化を依頼するよう案内しています。

3. 相互認証を強制している権限を探す

   相互認証を使う API ユーザーには「SSL/TLS 相互認証の適用」の権限が付いています。プロファイルと権限セットで、この権限が付いているものがないかを確かめます。相互認証を使う API クライアントは、ポート 8443 で Salesforce に接続します。

4. API クライアント証明書を見る

   ［API クライアント証明書］に選ばれている証明書を確かめます。公式ヘルプによると、Salesforce はアウトバウンドメッセージ、代理認証、SAML のアサーションで、ここに設定した証明書を相手に提示します。

5. Apex のコールアウトを探す

   Apex からクライアント証明書を付けて外部へ接続している場合は、コードに証明書の一意の名前が書かれています。開発者コンソールか VS Code で、下の呼び出しを検索します。

HttpRequest req = new HttpRequest();
req.setEndpoint('https://api.example.com/orders');
req.setMethod('GET');
// 「証明書と鍵の管理」にある証明書の一意の名前を指定している
req.setClientCertificateName('SampleClientCert');

Apex でクライアント証明書を付けて接続している箇所の例です。検索の手がかりにするためのもので、実行しても組織は変わりません

この5つでどれにも当たらなければ、Salesforce 側に今回のお知らせで変える設定はありません。私たちが確かめた組織でも、相互認証証明書も API クライアント証明書も登録がなく、Salesforce 側の対応は要りませんでした。

04外部の連携先に確かめてもらうこと

影響が出やすいのは、外部のシステムが Salesforce へ接続している部分です。信頼リストや証明書の固定の設定は接続元のサーバーにあるので、Salesforce の画面からは見えません。

接続元は、本番の［ログイン履歴］でログインの種類が API のものと、［接続アプリケーションの OAuth の利用状況］で洗い出します。

見つかった接続元の担当者には、次の3つを確かめてもらいます。

標準の信頼リストを更新して使い、証明書を固定していなければ、連携先でも対応は要りません。

05期限切れの自己署名証明書が見つかったとき

一覧を見ると、何年も前に期限が切れた自己署名証明書が残っていることがあります。今回のお知らせとは別の話です。自己署名証明書は有効期間の短縮の対象外で、クライアント認証の兼用の廃止も公的な認証局の証明書の話です。

ただし、期限切れの証明書をすぐ消すのは避けます。シングルサインオン設定や ID プロバイダ、API クライアント証明書、Apex のコードから参照されていることがあるからです。参照している設定を先に探し、使われている場合は、相手のシステムの管理者と日程を合わせて入れ替えます。

公式ヘルプによると、証明書の期限が近づくと、「Receive Certificate Expiration Notifications」（英語版の権限名）を持つ管理者に、期限の60日前・30日前・10日前にメールが届きます。この権限を持つ管理者がいない組織では、システム管理者と「すべてのデータの編集」を持つユーザー全員に届きます。誰に届くかを決めておくと、期限切れに気づきやすくなります。

06確認した環境

• 2026年11月 ／ Salesforce Winter '27（API バージョン 68.0）時点の公式ドキュメントで確認しています
• コードは API バージョン 68.0 で書いています
• クライアント認証の兼用の廃止の日付は、2026年10月22日公開の公式記事「Salesforce PKI Mandatory Changes: Chrome Root Program Policy 2027」に合わせています。相互認証証明書のヘルプには古い日付（2026年6月15日）が残っています

07まとめ

• 証明書の変更は3つで、ブラウザで使うだけの組織や Salesforce のドメインの証明書には、Salesforce 側の対応は要りません
• 公的な認証局の証明書は2027年3月15日からサーバー認証専用になり、クライアント証明書で相互 TLS を使う組織は発行元を見直します
• TLS サーバー証明書の有効期間は200日から100日、47日へ短くなります。Salesforce の中で作る自己署名証明書は対象外です
• 組織では［証明書と鍵の管理］で、証明書の種類、相互認証証明書、API クライアント証明書を確かめ、Apex の setClientCertificateName を検索します
• 外部の連携先には、Mozilla のルート証明書の信頼、証明書の固定、クライアント証明書の使用の3つを確かめてもらいます
• 期限切れの自己署名証明書は今回のお知らせとは別の話で、消す前に参照している設定を探します

08参考

• Salesforce PKI Mandatory Changes: Chrome Root Program Policy 2027（Salesforce Help）
• Certificates in Salesforce（Salesforce Help）
• From Manual to Automated: A Taxonomy to Secure Your Salesforce Environment in the Short-Lived Certificate Era（Salesforce ブログ）
• Certificates and Keys（Salesforce Help）
• Set Up a Mutual Authentication Certificate for API Login（Salesforce Help）
• Salesforce SSL/TLS Certificate Trust: Supported Root CAs, Client Authentication, and Available Tools（Salesforce Help）
• Using Certificates with HTTP Requests（Apex Developer Guide）