FileZillaでFTPS接続した際に「不明な証明書」という表示が出る理由

最終更新：

FTPソフトの代表格のひとつに「FileZilla（ファイルジラ）」があります。無料で使えるオープンソースのソフトであり、通常のFTPだけでなく、FTPS（FTP over SSL）、SFTPなどにも対応していて便利に扱えます。

「不明な証明書」と表示される

ところがFileZillaで困ることの一つに、SSL経由でのFTP接続（FTPS）を行った際に「不明な証明書」というダイアログが表示されてしまうという問題があります。実際の画像は下記になります。「サーバへの証明書は不明です。信用できるサーバか確認するために注意深く証明書を調べてください」とも書かれているのが分かります。

FileZillaにおける「不明な証明書」ダイアログ

上の画像は、当サイトの運営に使っているレンタルサーバーの「エックスサーバー」でFTPS接続を行った場合のものです。ただし、これはエックスサーバーに限ったものではなく、他社でもFTPS接続の場合はやはり表示されます。

各社のFTP接続マニュアルなどを見ると、大抵どのページも「～という表示が初回接続時はされますが、接続は安全ですので『今後もこの証明書を常に信用する』にチェックを入れてください」といった記述になっています。

しかしながら、そもそもなぜこうした表示が出るのか理由が分からないといまいち納得できません。またパソコンやネット初心者などにとっては「怖い」「危ない」などの不安を抱いてしまう方も多いはずです。というわけで、なぜこんな表示が出るのか調べてみました。

認証局の信頼性の問題ではない

さて「不明な証明書」という言葉だけ見ると、（FTP接続の暗号化に用いている）SSLサーバ証明書の信頼性が足りないようにも思えます。前出の画像を撮ったときのエックスサーバーでは、低価格ブランドの証明書が使われていました。

最初はこれがもっと大手の認証局のものであれば表示が出ないのかと思ったのですが、そういうわけでもないようです。実際、大手の認証局の証明書を使っている場合でも同様の表示が出るという報告もありました。
（参考：FTP 暗号化通信 SSL/TLS – nexia）

で、色々調べていると、どうやらどんな認証局のものを使ってもこの「不明な証明書」表示は出てきてしまうようです。となると、認証局というよりFileZilla自体の仕組みの問題かと思って調べたところ、公式フォーラムにそのものズバリの答えが見つかりました。

すべての証明書がいったん未知のものとして扱われる

公式フォーラム上での回答は以下のようになっていました。
（参考：Unknown Certificate for commercial SSL certificate – FileZilla Forums）

FileZilla doesn’t know any certificates by default.
（FileZillaはデフォルトでは一切の証明書を知りません）

つまり大手認証局であるとか自己署名であるとかにかかわらず、FileZillaはすべての証明書をいったん自分にとって未知のものとして扱うということです。

よって、どのような証明書で暗号化されていても、必ず初回接続時には「（自分のパソコンにインストールされているFileZillaというソフトにとって）不明な証明書」と表示されるというわけです。実際、フォーラムでも以下のような質問と回答がありました。

>Is it true that FileZilla client will always display the prompt “Unknown certificate”, even for trusted CA (e.g. “Go Daddy Class 2 Certification Authority”)?
（たとえばGo DaddyのようなClass2の信頼できる認証局であっても、FileZillaは常に「不明な証明書」と表示するということですか？）
>Correct.
（そのとおり）

そのためレンタルサーバーなどでFTPS接続をした際に「不明な証明書」が表示されても、それは信頼性が疑われるものではありません。安心して「今後もこの証明書を常に信用する」にチェックを入れてください。これによりその証明書は既知のものとなり、今後はもうダイアログは表示されなくなります。

しばらくしてまた表示されたときは

一度信用したはずなのに、しばらくたってから同じ表示がまた出ることがあります。多くの場合、これはサーバー側の証明書が更新されたためです。

SSLサーバ証明書には有効期限があり、レンタルサーバーでは期限が来る前に新しい証明書へ自動的に切り替わります。FileZillaが覚えているのは「以前に信用した証明書」なので、新しい証明書はまた「不明なもの」として扱われるわけです。表示されている発行先がいつも使っているサーバーであれば、もう一度チェックを入れて接続して問題ありません。

ホスト名が一致しないと表示されたときは

「不明な証明書」とあわせて、証明書のホスト名が接続先と一致しないという注意が出ることもあります。これは、FTPソフトの「ホスト」欄に自分の独自ドメインを入れて接続している場合によく起こります。

レンタルサーバーのFTPS用の証明書は、たいてい「sv***.xserver.jp」のようなサーバーのホスト名に対して発行されています。独自ドメインで接続すると、証明書の名前と接続先が食い違うため注意が表示されるのです。

この場合は、契約時のメールやサーバーの管理画面に書かれているFTPホスト名で接続し直すと表示が消えます。エックスサーバーのマニュアルでも、ホストにはこのFTPホスト名を入れる手順になっています。