SSL（https）とは？対応していないと起きることと確認のしかた

結論から言うと、SSL（https）はサイトと訪問者のあいだの通信を暗号化する仕組みで、いまは問い合わせフォームの有無にかかわらず、サイト全体で対応しておくことをおすすめします。対応していないサイトは、ブラウザのアドレスバーに「保護されていない通信」と表示されることがあり、訪問した人に不安を与えてしまうためです。

SSL（https）とは

SSLは、インターネット上の通信を暗号化する技術の呼び名です。現在は後継の「TLS」という規格が使われていますが、慣習的に「SSL」や「SSL/TLS」と呼ばれています。

サイトのアドレスが http:// ではなく https:// で始まっていれば、そのサイトはSSLに対応しています。SSLに対応するには、「SSL証明書」（そのドメインの持ち主であることを示す電子的な証明書）をサーバーに設定します。

Googleの開発者向けサイト web.dev は、HTTPSが重要な理由として次のような点を挙げています（web.dev：HTTPS が重要な理由）。

• 改ざんを防ぐ：第三者がサイトとブラウザのあいだの通信を書き換えたり、不正な広告を差し込んだりするのを防ぐ
• プライバシーを守る：暗号化されていない通信では、訪問者の行動に関する情報が漏れる可能性がある

改ざんの防止という点では、フォームのない会社案内やお知らせのページも対象になります。

対応していないと起きること

ブラウザに「保護されていない通信」と表示される

Google Chromeのヘルプでは、アドレスバーの表示について、SSLに対応していないサイトは「サイトはプライベート接続を使用していません。このサイトとの間で送受信される情報は、何者かに見られる、または変更される可能性があります」と説明されています（Google Chrome ヘルプ：サイトの接続が安全かどうかを確認する）。

Google検索での扱い

GoogleはSearch Consoleのヘルプで「ユーザーのセキュリティとプライバシーを保護するため、サイトには HTTPS を使用することを強くおすすめします」としており、同じページにHTTPとHTTPSの両方のアドレスがある場合は、HTTPS版を優先してインデックス登録（検索結果に載せるための登録）すると説明しています（Search Console ヘルプ：HTTPS レポート）。

また、Google検索セントラルは、ページの使いやすさを自己評価する項目の一つに「ページは安全な方法で配信されていますか」を挙げています（Google 検索セントラル：ページ エクスペリエンス）。

自社サイトを確認する方法

次の3点を見ると、いまの状態をおおよそ把握できます。

1. アドレスバーを見る：自社サイトを開き、アドレスが https:// で始まっているか、「保護されていない通信」と表示されていないかを確認します。
2. http:// で開いてみる：アドレスの先頭を http:// に書き換えて開き、自動的に https:// のアドレスへ切り替わるかを確認します。
3. トップページ以外も見る：お問い合わせ、ブログ、古いお知らせなど、複数のページで同じ確認をします。

Search Consoleを使っている場合は、HTTPSレポートで、HTTPSとして扱われていないページの数と理由を確認できます。

対応するときの注意点

費用は契約中のサーバーで確認する

SSL証明書には有料のものと無料のものがあります。無料の証明書を発行している認証局として知られる Let's Encrypt は、非営利団体 ISRG が運営しており、ドメイン名を持っていれば費用なしで証明書を取得できると案内しています（Let's Encrypt について）。

使える証明書の種類や費用は、契約しているレンタルサーバーによって異なります。サーバーの公式ヘルプや制作会社に確認してみてください。契約者が誰かわからない場合は、ドメインとサーバーは誰の名義？も参考になります。

http:// から https:// へ転送する

SSLを有効にしても、古い http:// のアドレスが開けるままになっていることがあります。Google検索セントラルは、HTTPからHTTPSへの変更をURLの変更を伴うサイト移転の一例として挙げ、301などの永続的なリダイレクト（恒久的な転送）を使うことをすすめています（Google 検索セントラル：URL の変更を伴うサイト移転）。転送の設定には、サーバーの管理画面の機能や、.htaccessという設定ファイルが使われることがあります。

ページ内の画像などもhttpsにする

ページ自体は https:// でも、中の画像やスクリプトが http:// で読み込まれている状態を「混合コンテンツ」と呼びます。web.dev によると、スクリプトなどの混合コンテンツはほぼすべてのブラウザでブロックされ、画像などもChromeではHTTPSへ自動的に切り替えられるか、切り替えられない場合はブロックされます（web.dev：混合コンテンツとは）。対応後に画像が表示されないときは、この点を確認します。

証明書の有効期限に気をつける

SSL証明書には有効期限があります。多くのサーバーでは自動で更新されますが、更新に失敗すると、訪問者の画面に警告が表示されることがあります。自動更新かどうかを一度確認しておくと安心です。対応後は、Googleサーチコンソールで https:// のアドレスが登録されているかも見ておきましょう。

まとめ

• SSL（https）は、サイトと訪問者のあいだの通信を暗号化し、盗み見や改ざんを防ぐ仕組み
• 対応していないと、ブラウザに「保護されていない通信」と表示されることがある
• Googleは、HTTPSの使用を強くすすめている
• 自社サイトは、アドレスバーの表示と http:// からの切り替わりで確認できる
• 対応時は、転送の設定、混合コンテンツ、証明書の更新をあわせて確認する

自社サイトの状態がわからない、設定に不安があるという場合は、無料相談でお気軽にご相談ください。制作の進め方はWeb制作のサービス紹介でもご覧いただけます。