Macで会社のプロキシ証明書がターミナルのツールを妨げる

症状

• npmやNodeで「self-signed certificate in certificate chain」や「unable to get local issuer certificate」と表示される。
• GitでHTTPSのリモートに対して「SSL certificate problem」と表示される。
• Safariではサイトが開くのに、curlやPythonでは開けない。
• エラーが会社のネットワークやVPNでだけ起きる。

考えられる原因

• TLSインスペクション。プロキシは、サイトの証明書を会社のルート証明書で署名した証明書に置き換えます。
• 別々の信頼ストア。SafariはmacOSのキーチェーンを使います。コマンドラインツールの多くは、独自の信頼済み証明書リストを使います。
• プロキシ設定がない。ターミナルのツールは、システムのプロキシを使うとは限りません。プロキシ変数か、ツール独自の設定が必要です。

確認方法

1. サーバが送ってくる証明書チェーンを表示します。いちばん上の証明書の発行者を確認します。

   openssl s_client -connect registry.npmjs.org:443 -servername registry.npmjs.org -showcerts </dev/null

2. curlでTLSハンドシェイクを表示します。

   curl -v https://registry.npmjs.org/ -o /dev/null

3. 「キーチェーンアクセス」で会社のルート証明書を探します。「システム」キーチェーンで会社名を検索します。

4. シェルのプロキシ変数を表示します。

   env | grep -i proxy

解決方法

1. IT部門から会社のルート証明書をPEMファイルでもらいます。出どころのわからない証明書は信頼しないでください。

2. Node.jsのツールでは、NODE_EXTRA_CA_CERTSでファイルを指定します。設定したら、ツールを起動し直します。

   export NODE_EXTRA_CA_CERTS=~/certs/company-root.pem

3. Node.js 22.19、24.6以降では、キーチェーンが信頼している証明書を使えます。

   export NODE_USE_SYSTEM_CA=1

4. npmでは、証明書ファイルを設定します。

   npm config set cafile ~/certs/company-root.pem

5. Gitでは、証明書ファイルを設定します。

   git config --global http.sslCAInfo ~/certs/company-root.pem

6. curlでは、--cacertでファイルを指定します。

   curl --cacert ~/certs/company-root.pem https://example.com

7. IT部門がプロキシを使っている場合は、ターミナルのツールに会社のプロキシを設定します。

   export https_proxy=http://proxy.example.com:8080

8. strict-sslやhttp.sslVerifyなどの証明書チェックをオフにしないでください。接続が安全ではなくなります。

Kilobatを使う場合

よくある質問

出典

• Node.js：Command-line API、NODE_EXTRA_CA_CERTSと--use-system-ca
• npm Docs：config（cafile、proxy、https-proxy、strict-ssl）
• git-config(1)、http.sslCAInfoとhttp.proxy、macOS 27.2に付属のmanページ（Git 2.56）
• Appleサポート：「キーチェーンアクセス」で証明書の信頼設定を変更する
• curl(1)、macOS 27.2に付属のmanページ

出典は2026年10月29日に確認しました。manページはmacOSに付属のものです。「ターミナル」でman <name>を実行すると開けます。

関連ガイド