ブラウザのアドレスバーに「保護されていない通信」と表示されるサイトを見て、入力をためらった経験はないでしょうか。この警告は、SSL化されていないサイトに対して主要ブラウザが一律に表示するものです。訪問者に不安を与えるだけでなく、実際に通信が盗み見られるリスクを抱えており、検索順位にも影響します。
SSL化はもはや「やっておくと良い対策」ではなく、Webサイト運営の前提条件です。Googleの透明性レポートによれば、Chromeで読み込まれるページの9割以上がすでにHTTPSであり、未対応であること自体が目立つ時代になりました。それでも、既存サイトの一部が未対応のままだったり、SSL化したつもりが設定の不備で警告が消えていなかったりするケースは、いまだに残っています。SSLの仕組みから、放置した場合の具体的なリスク、証明書の選び方、移行時のつまずきどころまでを整理していきましょう。
SSLの仕組みと証明書の種類
SSLは、インターネット上のデータ通信を暗号化する技術です。正確には後継のTLSが現在の主流ですが、呼び名としてはSSLが定着しているため、この記事でもSSLと表記します。役割は大きく3つあります。
- 暗号化通信の確立
- ブラウザとサーバー間の通信を暗号化し、第三者による盗聴・改ざんを防ぐ
- デジタル証明書による認証
- 信頼できる認証局（CA）が発行する証明書でサーバーの身元を証明し、偽サイトとの通信を防ぐ
- データの整合性保証
- 送信データが途中で改ざんされていないことを検証する
あわせて押さえておきたいのが「常時SSL」という考え方です。かつては、問い合わせフォームや決済ページなど、個人情報を扱うページだけをSSL化する運用が主流でした。現在は、閲覧だけのページも含めてサイト全体をHTTPSにする常時SSLが標準です。ページをまたぐたびに保護されたりされなかったりする状態は、閲覧履歴の漏洩や改ざんの隙を残すうえ、ブラウザの警告も消えないからです。これからSSL化するなら、最初から全ページを対象に計画しましょう。
サイトをSSL化するには、認証局が発行するSSL証明書をサーバーに設定します。証明書には認証の厳格さに応じて3つの種類があり、費用も発行までの時間も異なります。
- ドメイン認証（DV）証明書
- ドメインの所有権のみを認証する基本タイプ。無料のLet’s Encryptもこの種類で、即日発行できる。組織の実在性は認証されない
- 組織認証（OV）証明書
- ドメインに加えて組織の実在性も認証する。証明書に企業名が記載され、発行には数日かかる。年間数万円程度
- EV（Extended Validation）証明書
- 最も厳格な審査を経て発行される。金融機関や大規模ECサイトなど、特に高い信頼性が求められるサイト向け
選び方の目安はシンプルです。コーポレートサイトやブログなど、閲覧が中心のサイトであれば、無料のDV証明書で暗号化の役割は十分に果たせます。多くのレンタルサーバーが無料SSLを標準提供しており、設定も数クリックで済みます。一方、決済を扱うECサイトや会員の個人情報を大量に預かるサービスでは、組織の実在性まで示せるOV以上を検討する価値があります。「高い証明書ほど暗号が強い」わけではなく、違いは身元確認の厳格さにある、という点を押さえておくと迷いません。
自社サイトの対応状況は、その場で確認できます。ブラウザでサイトを開き、アドレスバーに鍵のアイコンが表示されていればSSL化済みです。鍵をクリックすると証明書の詳細が開き、発行元と有効期限も確認できます。「保護されていない通信」と表示されたら未対応、鍵はあるのにページによって警告が出るなら、後述する設定の不備が疑われます。まずは自社のトップページと問い合わせフォームのページで試してみてください。
放置がもたらす3つのリスク
SSL化されていないサイトが抱えるリスクは、大きく情報漏洩、信頼の低下、検索順位への影響の3つです。
- 通信内容の盗聴と改ざん
- 訪問者の離脱と信頼低下
- SEOへの悪影響
まず情報漏洩です。SSL化されていないサイトでは、フォームに入力された名前、メールアドレス、パスワードが、平文のまま、つまり誰でも読める状態のまま送信されます。カフェや駅の公共Wi-Fiでは、同じネットワーク上の第三者が通信を傍受することが技術的に可能で、攻撃者が通信経路に割り込む中間者攻撃を受ければ、入力内容の窃取や偽サイトへの誘導まで起こり得ます。パスワードを使い回しているユーザーであれば、一度の漏洩が他のサービスの乗っ取りへ連鎖します。
次に、訪問者の離脱です。ChromeをはじめとするブラウザはHTTPサイトに「保護されていない通信」と警告を表示し、フォームに文字を入力し始めた瞬間に警告を強調する挙動まで実装しています。名前を入力しようとしたら赤い警告が目に入る。この体験で送信ボタンまで進んでくれる訪問者が、どれだけいるでしょうか。せっかく問い合わせや購入の直前まで進んだ見込み客を、警告表示が最後の一歩で押しとどめてしまうのです。「セキュリティに無頓着な会社」という印象は、サイトの内容がどれだけ良くても拭えません。
最後にSEOです。Googleは2014年からHTTPSを検索順位の評価要素として公表しており、未対応サイトは同条件なら不利になります。順位への直接の影響は小さいものの、警告表示によるクリック率や滞在時間の悪化が間接的に効いてくるため、集客面のダメージは数字以上に大きいといえます。セキュリティ対策全体の中での位置づけはWebサイトのセキュリティ対策の基本で整理しています。
SSL化で終わりではない、よくあるつまずき
「うちはSSL化済みだから大丈夫」と思っている方にこそ、確認してほしいポイントがあります。当社にSSL関連でご相談いただく内容は、実は未対応よりも「対応したはずなのに警告が出る」というものが多いのです。
代表的なのが、混在コンテンツ（Mixed Content）です。ページ自体はHTTPSなのに、ページ内で読み込む画像やスクリプトのURLがhttpのまま残っていると、ブラウザは完全に保護されているとは見なさず、鍵マークが表示されなかったり警告が出たりします。サイト全体をSSL化した際に、過去記事に貼られた画像URLの書き換えが漏れるのが典型パターンです。
もう一つが、リダイレクトの設定漏れです。SSL化した後も、httpのURLへのアクセスをhttpsへ自動転送する設定を入れておかないと、古いリンクやブックマークから来た訪問者が保護されないページを見続けることになります。検索エンジンにとってもhttpとhttpsの2つのサイトが並存して見えるため、評価が分散する原因になります。
そして意外と多いのが、証明書の期限切れです。証明書には有効期限があり、更新を忘れるとある日突然、サイト全体に警告が表示されて実質的にアクセス不能になります。無料SSLは自動更新が基本ですが、サーバー移転や設定変更をきっかけに自動更新が止まっていた、というケースもあります。ドメインやサーバー契約と同じく、期限のあるものとして管理台帳に載せておきましょう。この管理の考え方はドメイン・サーバー更新管理の重要性と共通します。
これからSSL化する場合の手順
未対応のサイトをSSL化する場合、作業は次の流れで進めます。
- 証明書の取得とサーバーへの設定
- サイト内URLのhttps化
- リダイレクトの設定
- 動作確認と外部サービスの更新
多くのレンタルサーバーでは、管理画面から無料SSLを有効化するだけで証明書の設定までは完了します。そのあと、CMSのサイトURL設定を変更し、コンテンツ内のhttp参照を洗い出して書き換え、httpからhttpsへの301リダイレクトを設定します。WordPressであれば、データベース内のURLを一括置換するプラグインを使うと、過去記事に埋め込まれた画像URLの書き換えを効率化できます。最後に、主要ページの表示とフォームの動作を確認し、Search ConsoleへのHTTPS版の登録や、アクセス解析・広告の設定も新URLに合わせて更新します。
サイトの規模が小さければ半日で終わる作業ですが、長年運用してきたサイトほど、埋め込まれた古いURLや外部サービスとの連携が多く、見落としが起きやすくなります。リニューアルのタイミングを待たず、独立した作業として早めに済ませてしまうのがおすすめです。移行時の確認項目を漏れなく押さえたい方は、サイト公開前のチェックリストの考え方がそのまま応用できます。
余力があれば、HSTSという設定にも触れておきましょう。ブラウザに「このサイトへは常にHTTPSで接続する」と記憶させる仕組みで、初回アクセス時にhttpを経由する隙も塞げます。設定はサーバーの応答ヘッダーに1行追加するだけですが、一度有効にするとHTTPへ戻せなくなるため、移行が安定してから導入するのが安全です。
まとめ
SSL化は、訪問者の情報を守り、ブラウザの警告による離脱を防ぎ、検索評価の土台を整える、Webサイト運営の基本です。証明書は用途に応じて選べばよく、閲覧中心のサイトなら無料のDV証明書で十分に機能します。費用面のハードルは、実質的にもう存在しないのです。
すでにSSL化済みのサイトでも、混在コンテンツ、リダイレクト漏れ、証明書の期限管理という3つの落とし穴は点検の価値があります。自社サイトのアドレスバーに鍵マークが正しく表示されているか、まずはトップページ、問い合わせフォーム、そして古い記事ページの3箇所で確認するところから始めてみましょう。古いページほど、設定の不備が残りやすい場所だからです。
SSL化と常時HTTPS移行のご相談
自社サイトのSSL対応状況を確認したい、SSL化したのに警告が消えない、移行作業を安全に進めたいという方は、合同会社ギャラクタスにご相談ください。証明書の選定から、混在コンテンツの洗い出し、リダイレクト設定、移行後の検索エンジン側の手続きまで一括して対応しています。無料相談で、サイトの現状をお聞かせください。
