@kyon_g いやーいまでもデフォルトはDST Root X3による署名がある方だったとおもうんですが、いっぽうlibresslとか古いOpenSSLとかはチェーンにひとつでも期限切れの証明書を見つけると検証が失敗するらしく、そちらのクライアントか多い場合はDST Root X3の無いチェーンを作ってもらってるかもしれません