Vercel 独自ドメイン接続 + SSL証明書発行が来ない時の自己診断MD

外部レジストラ（お名前.com / ムームードメイン / GMOペパボ系 / さくら等）で管理している独自ドメインを Vercelプロジェクトに接続する際、AIがユーザーに「Vercelダッシュボードで確認してください」と丸投げせず、 CLIだけで診断・修正・検証まで完結させるための指示書。特に「DNSは正しいのにHTTPSだけ繋がらない」を 数十分待たせず即解決する。

前提

• vercel CLI がログイン済み（vercel whoamiで確認）
• 対象ドメインの登録者アカウント（レジストラ管理画面）にはAI側からアクセスできない前提 → DNSレコードの実際の書き換えだけは人間の手作業。それ以外は全部CLIで完結させる。

手順

1. ドメインをプロジェクトへ紐付け（既に紐付いていてもOK、冪等）

vercel domains add <domain> <project-name>
vercel domains add www.<domain> <project-name>

domain_already_assigned が返ってきても失敗ではない。次に進む。

2. 必要なDNSレコードを自己診断（値を推測しない）

vercel domains verify <domain>
vercel domains verify www.<domain>

JSON の recommended.records に、その時点でそのドメイン専用に割り当てられた正しいA/CNAME値が入っている。 current に今のDNS状態（Aレコード値・ネームサーバー）も出るので、レジストラ管理画面を見せてもらわなくても 「今何が設定されていて、何に変えればいいか」を正確に言い当てられる。

値は都度この出力から取得すること。ハードコードして使い回さない（Vercelのエッジ割り当ては環境ごとに変わりうる）。 recommended.records に単純な A @ <ip> / CNAME www <cname> が無い場合は recommended.ipv4(rank順)と recommended.cname(rank順)を使う。rank2の値は大抵「複数レコード不要な単一値」で、非技術者への案内に向いている。

3. 人間へのDNS変更指示（既存レコードを壊さない）

ユーザーがレジストラの「カスタムDNS / 詳細設定」画面のスクリーンショットを送ってきたら、 既存の行（特にMX・TXT/SPF/DKIM）には一切触れず、以下だけ変更・追加するよう1行ずつ指示する：

• サブドメイン空欄・種別 A の既存行 → 値を手順2で得た推奨IPに書き換え
• サブドメイン www・種別 CNAME の行を新規追加 → 値は手順2で得た推奨CNAME

メール用のMX/SPFレコードを一緒に削除・上書きすると会社のメールが止まる。これが最頻出の事故なので、 スクリーンショットレビュー時に対象外の行を毎回明示的に「触らないでください」と言う。

4. DNS反映確認（HTTPは通るのにHTTPSが繋がらない問題の切り分け）

vercel domains verify <domain>          # status: "ok" になれば設定は正しい
curl -s -o /dev/null -w "%{http_code}\n" http://<domain>/    # 200なら疎通OK
curl -sv https://<domain>/ --max-time 15                     # ここで失敗するケースがある

vercel domains verify が status: "ok" でHTTPが200なのに、HTTPSだけ SSL/TLS connection failed / unexpected eof while reading（openssl s_client でも同様）になる場合、 クライアント側の問題ではなく、Vercelの自動証明書発行がまだ走っていないことが多い （DNS検証直後にすぐ発行されるとは限らず、体感で数十分単位の遅延が発生することがある）。

切り分け: 同じアカウントの既存 *.vercel.app サブドメインに対して同じ curl -sv https:// を実行し、 そちらは正常にTLSハンドシェイクが通ることを確認する。通れば「クライアント/ネットワークの問題ではない」と断定できる。

vercel certs ls                          # 対象ドメインの証明書が見当たらないことが多い

5. 証明書発行を手動でキックする（数十分の自動発行待ちを数十秒に短縮）

vercel certs issue <domain>
vercel certs issue www.<domain>

advanced向けコマンドだが、既に自分たちが所有し vercel domains verify が ok を返しているドメインに対して 実行する分には安全。20秒前後で Success! Certificate entry for <domain> created が返り、 直後に curl -s -o /dev/null -w "%{http_code}\n" https://<domain>/ で 200 が返るようになる。

6. 最終検証（ここまでやって初めて完了報告する）

curl -s -o /dev/null -w "%{http_code}\n" https://<domain>/
curl -s -o /dev/null -w "%{http_code}\n" https://www.<domain>/

両方 200 を確認してから「独自ドメイン接続が完了しました」と報告する。 「Vercelダッシュボードで確認してください」で終わらせない。

やってはいけない集

• DNSレコードの値を過去の別ドメインの事例から推測して案内する（手順2の実測値を毎回使う）
• 既存のMX/TXT(SPF/DKIM/サイト認証)レコードをスクリーンショット確認なしに書き換え指示する
• HTTPSが繋がらない時にいきなり「DNSが間違っている」と決めつけて手順3をやり直させる （まず手順4の切り分けで証明書発行待ちかどうかを確認してから動く）
• 「証明書発行を待ちましょう」で無限に待たせる（vercel certs issue で自分から動かせる）

---