ownCloudデスクトップ同期クライアントで「SSL証明書の検証に失敗しました」というエラーを修正する

ownCloudデスクトップクライアントは、ブラウザでサーバーにアクセスできる場合でも、同期が停止し、SSL証明書の検証に失敗したというメッセージを表示することがあります。このメッセージは、クライアントがHTTPSサーバー証明書がサーバーアドレスに対して有効であり、クライアント環境によって信頼されていることを確認できなかったことを意味します。これはTLSのIDチェックであり、パスワードエラーではありません。検証されていない証明書を繰り返し受け入れると、アカウントの認証情報やファイルが傍受される危険性があります。

まず、サーバーのアドレス、証明書の有効性、および証明書チェーンを確認してください。可能であれば、サーバーまたはそのリバースプロキシ上でこれらの問題を修正してください。サーバーが意図的にプライベート認証局（CA）を使用している場合は、そのCAの検証済みルート証明書をコンピューターの信頼済みストアに追加してください。その後、デスクトップクライアントを再起動し、証明書の警告なしで同期が再開されることを確認してください。

まず、使用しているownCloudクライアントとサーバーを確認してください。

ownCloudには現在、ownCloud Classic Server（バージョン10および11）とownCloud Infinite Scale（oCIS）の両方があります。これらは、すべてのデスクトップアプリのリリースを互換的に使用するわけではありません。ownCloudのダウンロードページの2026年9月1日時点のリストによると、デスクトップアプリ7.1.1はInfinite Scale用であり、ownCloud Classicは6.xクライアントでサポートされています。Classic用には6.0.3が記載されています。クライアントが最近アップグレードされ、バックエンドがownCloud Server 10または11の場合は、接続エラーを証明書のエラーとして扱う前に互換性を確認してください。

同期アカウントに設定されている正確なURLも確認してください。そのURLのホスト名は、サーバー証明書に記載されている名前と一致している必要があります。パスにインストールされているクラシックサーバーの場合、アカウントは次のようになりますhttps://cloud.example.com/owncloud。oCISインストールでは、ベースURLが異なる場合があります。ホスト名、IPアドレス、代替ドメインを切り替えるのではなく、管理者が設定したアドレスを使用してください。

考えられる原因を順に調べていきます

1. 日付、ネットワーク、正確なサーバー名を確認してください。

コンピューターの日付、時刻、タイムゾーンが正しいことを確認してください。時計が大きくずれていると、現在有効な証明書が期限切れまたは未有効と表示されることがあります。次に、同期アカウントからownCloudの正確なURLを同じコンピューターのブラウザーで開きます。ホスト名、有効期限、発行者などの証明書の詳細を確認してください。警告なしにページが読み込まれるブラウザーは有用な手がかりとなりますが、デスクトップクライアントが同じ証明書ストアを使用していること、またはすべてのWebDAVリクエストが同じプロキシパスをたどっていることを証明するものではありません。

不具合がホテル、空港、学校、または公共のWi-Fiでのみ発生する場合は、そのネットワークのサインインポータルを完了してから再試行してください。ownCloudのデスクトップアプリのリリースノートには、キャプティブポータルによって証明書の不一致が発生した場合に同期を一時停止し、ポータルがクリアされた後に同期を再開する方法が記載されています。HTTPSを傍受するポータルページは、予期しない証明書を信頼する理由にはなりません。

2. サーバーが提示した証明書を確認する

サーバー管理者に、HTTPSを終端するWebサーバーまたはリバースプロキシを含む、公開エンドポイント上のTLS証明書を確認するよう依頼してください。証明書は最新のもので、クライアントが使用する正確なDNS名を含み、必要な中間証明書とともに提供される必要があります。よくある導入エラーは、証明書チェーン全体ではなく、末端証明書のみを設定してしまうことです。証明書が最近更新された場合は、リバースプロキシが古い証明書ではなく、新しい証明書を提示していることを確認してください。

OpenSSLがインストールされているシステムでは、このコマンドを使用してTLSハンドシェイクを検査し、ホスト名を確認できます。例のホスト名を、URLパスを含まないownCloudのホスト名に置き換えてください。

openssl s_client -connect cloud.example.com:443 \
  -servername cloud.example.com \
  -verify_hostname cloud.example.com \
  -verify_return_error </dev/null

検証結果と証明書の日付を確認してください。このテストは、実行元のコンピューターからエンドポイントを検査するものであり、デスクトップクライアントのトラストストアのすべての詳細を再現するものではありません。出力で証明書の有効期限切れ、ホスト名の不一致、発行者の欠落、または信頼されていない認証局が検出された場合は、TLSエンドポイントで証明書または証明書チェーンを修正し、再度テストしてください。サーバー側のホスト名または証明書チェーンの問題を解決するために、無関係な証明書をすべてのデスクトップにインストールしないでください。

3. サーバーが公開されている場合は、公的に信頼されている証明書を使用する

インターネットに接続するownCloudサービスの場合、最も簡単な解決策は通常、最新のオペレーティングシステムで信頼されている公開認証局（CA）が発行した証明書を使用することです。公開ホスト名に対して、証明書と証明書チェーン全体を使用してHTTPSエンドポイントを設定し、更新が正しく機能していることを確認してください。リバースプロキシがHTTPSを処理する場合、証明書はそのプロキシに必要です。ownCloudアプリケーションの設定のみを変更しても、クライアントが受け取る証明書は変更されません。

管理者がエンドポイントを更新した後、影響を受けているコンピューターと同じネットワークから、正確なホスト名をテストしてください。ブラウザーとコマンドラインのチェックで証明書の警告が表示されなくなり、ownCloudクライアントは再試行または再起動後に再接続するはずです。一部のコンピューターで依然として問題が発生する場合は、それらのコンピューターのオペレーティングシステムの更新状況、トラストストア、プロキシ設定、およびクライアントビルドを比較してください。

4. サーバーがプライベート認証局を使用するように設計されている場合にのみ、プライベート認証局を信頼する。

組織は、プライベートなownCloudサービスに内部CAを使用することがよくあります。その場合は、認証されたチャネルを通じて組織のルートCA証明書を取得し、管理者にフィンガープリントを確認してもらってください。影響を受ける各クライアントコンピュータに、オペレーティングシステムの証明書管理プロセス、または企業の管理対象デバイスポリシーを使用してルートCAをインストールしてください。同期クライアントが警告ページからダウンロードした証明書を提示するからといって、安易にルート証明書として追加しないでください。まず、それが意図したCAに属していることを確認してください。

• Windowsの場合：管理者は、Microsoft Management Consoleの証明書スナップインを使用して、検証済みのルート証明書を適切な信頼されたルート証明機関ストアにインポートできます。信頼をユーザーごとに設定するか、コンピューター全体に設定するかについては、組織のポリシーに従ってください。
• macOSの場合：キーチェーンアクセスを使用して、検証済みの証明書を適切なキーチェーンに追加し、信頼設定を確認してください。Appleは証明書ファイルをキーチェーンに追加する手順をドキュメントで説明しています。管理対象のMacは、組織のデバイス管理プロセスを通じてプライベートルート証明書を受け取る必要があります。
• Ubuntu: PEM形式のCA証明書の場合は、.crtファイルをに配置して/usr/local/share/ca-certificates/を実行しますsudo update-ca-certificates。これにより、それを使用するアプリケーションのシステム信頼ストアが更新されます。Ubuntuは、Snapアプリケーションがホストストアに追加された証明書を自動的に使用しない場合があるため、制限付きパッケージにはパッケージ固有の信頼ソリューションが必要になる場合があると警告しています。

信頼情報を更新した後は、ownCloudデスクトップクライアントを再起動してください。クライアントパッケージとオペレーティングシステムによって、読み込む証明書ストアが異なる場合があります。認証局がインストールされ、ブラウザがサイトを信頼しているにもかかわらずデスクトップアプリが動作しない場合は、サーバー証明書のコピーを無作為に複数インポートするのではなく、クライアントパッケージの信頼動作とログを確認してください。

デスクトップの信頼設定とownCloudサーバー証明書のインポートを混同しないでください。

ownCloud Serverには、occ security:certificatesフェデレーションや外部ストレージに使用される証明書など、サーバー自身が信頼する必要のある証明書を指定するコマンドがあります。これはサーバー側のトラストストアです。ただし、ユーザーのデスクトップ同期クライアントがownCloud Webサイトに接続する際に下した信頼判断を修復するものではありません。デスクトップ検証エラーが発生した場合は、HTTPSエンドポイントまたは影響を受けるコンピューターの信頼設定を修正してください。

証明書の検証を無効にすることは、恒久的な回避策として避けてください。ownCloud コマンドラインクライアントには--trustオプションが記載されていますが、検証の失敗を抑制または受け入れても、有効期限切れの証明書、誤ったホスト名、欠落した CA チェーン、または信頼できない接続は修復されません。このような信頼制御は、綿密に検証されたテスト計画の下でのみ使用し、本番環境の同期ア​​カウントにおける適切な TLS 構成の代替として使用しないでください。

同期が正常に行われていることを確認してください。

1. 証明書またはトラストストアを修正した後は、ownCloud Desktopクライアントを閉じてから再度開いてください。
2. アカウントの状態がSSLエラーまたは再接続エラーから接続済みまたは同期中の状態に変わり、新しい証明書の警告が表示されないことを確認してください。
3. 同期フォルダに小さなテストファイルを作成し、サーバー上に正しく表示されることを確認してください。次に、Webインターフェースに小さな変更を加え、デスクトップに反映されることを確認してください。
4. ステータスが不明瞭な場合は、クライアントログを確認してHTTPS/WebDAV接続が成功していることを確認してください。ownCloud 5.3のトラブルシューティングガイドでは、詳細設定 > ログ設定を開くか、F12、Ctrl+L、またはCmd+Lを使用してログウィンドウを表示する方法が記載されています。メニュー名は、他のクライアントバージョンでは異なる場合があります。

ウェブサイトは開くものの、TLS チェックに合格した後も同期が接続できない場合は、WebDAV とサーバー構成を確認してください。ownCloud デスクトップ アプリは ownCloud Classic に WebDAV を使用します。ベンダーのトラブルシューティング ガイドでは、すべてのクライアントが失敗するもののブラウザ アクセスは機能する場合に、WebDAV エンドポイントに到達可能であることを確認することを推奨しています。証明書エラーが解消されたにもかかわらず、ログインまたは同期がまだ失敗する場合は、ログに表示されている別の認証、リバース プロキシ、または WebDAV エラーを調査してください。

成功とはどのようなものか

設定されたホスト名に対して提示された証明書は有効期限内であり、そのホスト名を含み、クライアントコンピュータが信頼する認証局（CA）にチェーンしています。デスクトップクライアントは証明書のプロンプトなしで再接続し、テストファイルは双方向で同期されます。公開証明書チェーンが正しいにもかかわらず、管理対象クライアントのうち1台だけが引き続き失敗する場合は、次にそのコンピュータの時計、トラストストア、ネットワークプロキシ、キャプティブポータル、および互換性のあるクライアントバージョンを確認してください。

これらのチェックは、証明書の検証失敗に対処するためのものです。アカウント、WebDAV、ファイアウォール、またはサーバーの可用性に関する無関係な問題は修正できません。また、具体的なメニューはオペレーティングシステムやownCloudデスクトップアプリのリリースによって異なります。どちらの側でまだ意見の相違があるかを特定するには、クライアントログとサーバーのTLSエンドポイント構成を使用してください。

公式資料

• ownCloudデスクトップアプリのダウンロードとサーバーの互換性
• ownCloudデスクトップアプリのリリースノート
• ownCloudデスクトップアプリのトラブルシューティングとログ
• ownCloudサーバー：WebDAVを使用してファイルにアクセスする
• Ubuntu: ルートCA証明書をトラストストアにインストールする
• マイクロソフト: 信頼されたルート証明機関ストア
• Apple: Macのキーチェーンに証明書を追加する
• OpenSSL: s_client 診断