公開 Web PKI の SSL/TLS 証明書に影響する Chrome Root Store プログラムの変更を受け、米国の預金信託クリアリング機構のDTCC （Depository Trust & Clearing Corporation）は要件を更新しました。対象となるのは、IBM MQ、Connect:Direct（旧 NDM）、FTPS を使用する金融機関です。これらのシステムのユーザは、ASC X9 Financial PKI のトラストチェーンをインストールし、対象システムの TLS 証明書として X9 PKI を取得する必要があります。

導入期限は以下のとおりです。

• 2026 年 11 月 30 日：ユーザ受け入れテスト環境
• 2026 年 12 月 31 日：本番環境

期限に間に合わない場合、接続に失敗し、対象となる DTCC サービスにアクセスできなくなる可能性があります。また、本番環境の期限までに対応しなかった参加者には、DTC Rule 2, Section 11 に基づき 5,000 ドルの罰金が科される可能性があります。

影響を受ける DTCC 接続とは？

DTCC の要件は、IBM MQ、Connect:Direct（NDM）、FTPS に適用されます。これらの DTCC サービスに接続するシステム、またはこれらのサービスからの接続を受け入れるシステムでは、TLS 証明書として X9 PKI を取得する必要があります。これには、相互 TLS（mTLS）認証を必要とするユースケースも含まれます。また、同じシステムに X9 PKI のルート証明書と ICA 証明書をインストールする必要があります。詳細については、以下をご覧ください。

この要件は、ブラウザベースのアクセスや DTCC へのすべての接続方式に適用されるわけではありません。DTCC は参加者に対し、指示がない限り、その他のプロトコルに X9 関連の変更を行わないよう求めています。

DTCC が X9 Financial PKI に移行する理由

パブリックに信頼された TLS 証明書は、主にブラウザ向けの Web サイトやアプリケーションを想定して構築されています。一方で、双方のシステムが証明書を提示して相互に認証する mTLS にも利用されてきました。

Web PKI 要件の変更により、これらのユースケースが分離されつつあります。パブリック TLS 証明書はサーバ認証専用へと移行しており、クライアント認証には使用できなくなり、その他のブラウザ以外の接続にも適さなくなります。DTCC の FAQ では、移行の理由として、パブリックに信頼された TLS 証明書から Client Authentication の拡張キー使用法（EKU）が削除されることに加え、証明書の有効期間が段階的に短縮されていることを具体的に挙げています。

X9 PKI は、ブラウザを介さない TLS および mTLS 通信向けに、Accredited Standards Committee X9 との協力のもとで開発されました。ブラウザのルートプログラムから独立して運用される、金融業界共通のガバナンスに基づくトラストフレームワークを提供します。

社内 PKI（すなわち、Private CA）は、単一組織内の通信を保護できますが、複数組織にまたがるエコシステムでトラストを確立する用途には適さない場合があります。X9 PKI は、このような組織間接続に共通のトラストアンカを提供します。

証明書とトラストをインストール

DTCC の移行に備えるには、TLS 証明書を購入するだけでは不十分です。対象となるトラストストアに、X9 PKI のルート証明書と ICA 証明書をインストールする必要もあります。

DTCC によると、参加者は X9 PKI が使用する RSA-4096 の完全な証明書チェーンを信頼する必要があります。このチェーンは、1 つのルート証明書と 2 つの中間証明書で構成されています。これらの証明書はデジサートから無償でダウンロードできます。証明書チェーンは変更される可能性があるため、他の経路で配布されたコピーではなく、デジサートが提供する最新のファイルを使用してください。

トラストストアは、対象となる接続の終端となる場所に存在します。関連するサーバ、ゲートウェイ、ロードバランサ、エッジ技術を確認してください。

独自の証明書検証ロジックを使用している場合は、その確認とテストも必要です。DTCC は、これらの接続では 証明書ピンニングをサポートしていないとしており、デジサートも原則として証明書ピンニングを推奨していません。

X9 PKI for TLS 証明書を取得

システムから DTCC に証明書を提示する必要がある接続では、デジサートの X9 PKI for TLS 証明書が必要です。

DTCC は、対象となる X9 トラストチェーンをすでにインストールしており、参加者は期限前から X9 証明書の提示を開始できるとしています。移行期限を過ぎると、DTCC は対象となる接続で X9 以外の証明書を信頼しなくなります。

現在、DTCC の通知で指定された X9 証明書の発行を認可されているプロバイダはデジサートのみです。既存のデジサートのお客様は、CertCentral から X9 PKI 証明書を注文できます。

ドメインと組織の認証に備える

デジサートが X9 PKI 証明書を発行するには、事前にドメイン管理権限の認証と組織認証を完了する必要があります。

ドメイン管理権限の認証では、証明書リクエストに含まれるすべての完全修飾ドメイン名（FQDN）または IP アドレスを管理していることを確認します。

組織認証では、申請元が実在する正当な組織であること、および申請者に証明書を取得する権限があることを確認します。

既存の CertCentral のお客様は、有効なドメイン認証および組織認証の記録を注文に適用できる場合があります。デジサートは、それらの認証が現在も有効で、X9 PKI の発行要件を満たしていることを確認する必要があります。

DTCC X9 対応に向けた実践的なチェックリスト

変更に備えるための大まかなチェックリストは以下のとおりです。

1. 対象となる IBM MQ、Connect:Direct（NDM）、FTPS 接続を特定します。
2. 必要なドメイン、IP アドレス、証明書の数量を確認します。
3. 必要な X9 エンドエンティティ証明書を注文します。
4. ドメイン認証と組織認証を完了するか、必要に応じて更新します。
5. 最新の X9 PKI ルート証明書と中間証明書をダウンロードし、該当するトラストストアにインストールします。
6. 証明書署名要求（CSR）を提出し、対象となる UAT 環境と本番環境のシステムに証明書をインストールします。
7. 2026 年 12 月 31 日までに本番環境の変更を完了します。
8. DTCC の通知に記載されている連絡方法と接続情報に従って、対応完了を DTCC に報告します。

DTCC は、X9 関連の変更を一連の作業としてまとめて実施することを推奨しています。接続の一方だけを先に更新すると、トラスト設定に不整合が生じ、接続障害につながる可能性があります。

Chrome Root Store のポリシー変更と、それに対する DTCC の対応は、PKI のモダナイズが重要である理由を示しています。組織が保護するマシン ID や管理する PKI が増え、エコシステムの変化に対応する頻度も高まるなか、手作業で分断されたプロセスを維持することはますます困難になっています。

最新の PKI 計画を導入することで、チームは一元的な可視性、一貫したポリシー適用、そして環境全体で証明書の検出、発行、更新、置換を行うために必要な 自動化を実現できます。これにより、X9 PKI への移行のような要件にも容易に対応でき、サービス停止、期限超過、管理されていない暗号資産に伴うリスクを軽減できます。