この記事でわかること
AWS Certificate Manager（ACM）は、メール検証を段階的に終了すると2026年8月に発表しました。メールのリンクを人が押して更新していた証明書は、そのままだと更新できなくなります。日付ごとに何が止まるのかと、移行前に確認することをまとめます。
日付は4つあります
- 2027年1月1日: 新しいリージョンでのメール検証の提供が終了
- 2027年3月31日: 全リージョンで、新規申請でのメール検証が終了
- 2027年9月30日: メール検証を使う既存証明書の更新が終了
- 2028年3月15日: CA/Browser Forumによる業界全体の期限
9月30日に証明書が一斉に失効するのではありません。止まるのは「更新」です。発行済みの証明書は有効期限まで使えます。
まず棚卸しをする
- 全アカウント・全リージョンで、検証方法がメールの「Amazon発行」証明書を探す
- 利用先（ロードバランサー、CloudFrontなど）を書く
- DNSを管理している人や会社を書く
- 更新メールの宛先（admin@ など）を誰が受けているか確認する
DNS検証へ切り替える前に
発表ブログには、ARNを変えずにメールからDNSへ切り替えられると書かれています（APIリファレンスにもメールからDNSへ移す操作が載っています）。一方、ユーザーガイドにはまだ「切り替えられない」という記述が残っており、資料が食い違っています。記事では、どちらが現在の動作に合うかを確かめていない点を明記し、手順は確定させていません。
- CNAMEは置いたあとも消さない（消すと自動更新が止まる）
- 他社DNSでは、記録名の入力方法に注意（ドメインが二重になることがある）
- 72時間以内にCNAMEを置かないと、メール検証のまま残る
ACMEとの違い
ACMEは証明書の取得・更新を自動化するプロトコルで、ACMも対応しました。ただし、サーバーへの配置と再読み込み、接続確認は利用者に残ります。
※2026年11月時点の公開情報に基づきます。実機での検証は行っていません。
詳しくは記事をご覧ください。
https://shinichi.noguchi.jp.net/blog/2026-11-01-acm-email-validation-dns-acme.html