KURYU お役立ちブログ
Web・ホームページ

常時SSL(https)とは｜必要性と証明書の種類・対応方法を解説

常時SSL(https)とは｜必要性と証明書の種類・対応方法を解説

ホームページを公開するなら、今や前提となるのが**常時SSL(サイト全体のhttps化)**です。まず押さえておきたいのは次の3点です。

  • 常時SSLはサイト全体をhttps化すること。問い合わせページだけでなく全ページが対象です
  • 未対応はそれ自体が損失。ブラウザに「保護されていない通信」と警告が出て、信用と検索評価の両面で不利になります
  • 多くは無料で対応できる。レンタルサーバーの無料SSL機能を使えば、追加費用なしで導入できる場合が多いです

この記事では、SSL/httpsの基本から、常時SSLが必要な理由、証明書の種類、httpsにする手順、よくある失敗例までを、中小企業の担当者向けにわかりやすくまとめます。

※サービスの仕様・手順・料金は変わります。最新で正確な情報は、各サーバー会社の公式情報でご確認ください。

SSL・TLS・httpsとは

SSL・TLSがブラウザとサーバー間の通信を暗号化し盗聴や改ざんを防ぐ図

まず用語を整理します。普段「SSL」と呼ばれているものは、技術的にはTLSという後継規格に置き換わっていますが、慣習として今も「SSL」「SSL証明書」という呼び方が広く使われています。本記事でも一般的な呼び方にあわせて「SSL」と記します。

  • SSL/TLS:ブラウザとサーバー間でやり取りする通信を暗号化する仕組み。第三者による盗み見(盗聴)や、途中での書き換え(改ざん)を防ぎます
  • http / https:Webページを表示するための通信ルールです。http は暗号化されていない通信、https はSSL/TLSで保護された通信を指します
  • 鍵マーク:httpsで正しく保護されているとき、ブラウザのアドレスバーに鍵マークが表示されます

httpの通信は、いわば「中身の見える封筒」を送るようなものです。送り主と宛先の間にいる第三者が、入力された内容を読み取ったり書き換えたりできてしまいます。httpsはこれを「封をした封筒」にする仕組みと考えると分かりやすいです。

常時SSLとは

常時SSLでトップページから下層ページやフォームまでサイト全体をhttps化する図

常時SSLとは、サイトの一部ではなくすべてのページをhttpsにすることです。

以前は「問い合わせフォームや決済ページなど、個人情報を入力する画面だけをhttps化する」という運用が一般的でした。しかし現在は、トップページから記事・会社概要にいたるまで、サイト全体を常にhttpsで配信する「常時SSL」が標準になっています。

理由は、フォーム以外のページでも盗み見や改ざんのリスクがあること、そして主要なブラウザがhttpのページ全般に対して警告を強めてきたことです。「ここは個人情報を扱わないからhttpでよい」という考え方は、今の前提にはあいません。新しくホームページを作る場合も、ホームページの作り方の段階から常時SSLを前提に進めるのが安全です。

常時SSLが必要な理由

常時SSLが盗聴や改ざん防止・ブラウザ警告回避・SEO・信頼につながる理由を示す図

常時SSLが「あったほうがよい」ではなく「前提」とされる主な理由は次のとおりです。

  • 盗聴・改ざんを防ぐ:暗号化により、通信途中での内容の読み取りや書き換えを防ぎます。特にフォーム入力(問い合わせ・予約・決済など)の安全性に直結します
  • 「保護されていない通信」の警告を防ぐ:未対応だと、ブラウザのアドレスバーに警告が表示されます。訪問者は理由が分からなくても「危険そう」と感じ、離脱の原因になります
  • 検索評価(SEO)で不利になりにくい:検索エンジンはhttpsを推奨しており、httpのままだと評価面で不利に働きやすいとされています
  • 信頼につながる:鍵マークやhttpsのURLは、訪問者・取引先にとって安心材料になります。逆に警告が出ているサイトは、それだけで問い合わせをためらわれます

入力フォームを設置するなら、安全性の面でも常時SSLは欠かせません。フォーム自体の作り方は問い合わせフォームの作り方もあわせてご覧ください。

SSL証明書の種類

SSL証明書のDV・OV・EVは暗号化ではなく認証レベルが違うことを示す図

httpsにするには「SSL証明書」をサーバーに設定します。証明書は認証レベルによって大きく3種類に分かれます。

種類認証レベル主な用途
DV(ドメイン認証)ドメインの所有を確認一般的な中小企業サイト・個人事業・ブログ
OV(企業認証)組織の実在を確認信頼性を重視する企業サイト
EV(拡張認証)厳格な企業審査金融・大手など特に高い信頼が必要な場面

ここで大切なのは、どの種類でも「暗号化の強さ」自体は基本的に変わらないという点です。違いは「運営者の実在をどこまで厳格に確認したか」という信頼性の証明レベルにあります。

一般的な中小企業・個人事業のサイトは、DVの無料SSLで足りることが多いです。一方で、組織として実在することを対外的に明確に示したい場合や、取引先からの要件がある場合は、OV・EVの有料SSLを検討します。

無料SSLと有料SSLの違い

  • 無料SSL(Let’s Encryptなどを利用):多くのレンタルサーバーが標準で提供しています。認証レベルはDVが中心で、一般的なサイトはこれで足りることが多いです
  • 有料SSL(OV・EVなど):企業の実在認証や、提供元によるサポート・保証を求める場合に選びます

「無料だと安全性が低いのでは」と心配されることがありますが、暗号化の仕組み自体は無料・有料で大きく変わりません。違いは認証レベルと付帯サービスです。まずは契約中のレンタルサーバーで無料独自SSLが使えるかを確認し、必要に応じて有料を検討するのが現実的です。具体的な料金やプランは各サーバー会社・認証局の公式情報でご確認ください。

httpsにする手順(導入の流れ)

https化をSSL証明書の有効化・反映待ち・リダイレクト・混在コンテンツ修正・内部リンク更新・鍵マーク確認の順に進める図

常時SSL化の一般的な流れは次のとおりです。サーバーや構成によって細部は異なりますが、大きな流れは共通しています。

  1. SSL証明書を取得・有効化する:多くのレンタルサーバーでは、管理パネルから「無料独自SSL設定」を選ぶだけで取得・反映まで行えます
  2. 証明書の反映を待つ:設定後、反映までに数分から時間がかかる場合があります
  3. http→httpsへリダイレクトする:旧URL(http)へのアクセスを、新URL(https)へ自動転送する301リダイレクトを設定します
  4. 混在コンテンツを修正する:ページ内に残ったhttpの画像・CSS・JavaScriptなどのURLをhttpsに直します(詳細は後述)
  5. 内部リンク・サイトマップを更新する:サイト内のリンクやサイトマップ(sitemap.xml)をhttpsのURLに統一します
  6. 表示と鍵マークを確認する:全ページがhttpsで表示され、警告が出ていないかを確認します

WordPressの場合は、プラグインやサーバー機能でhttp→httpsへの転送と混在コンテンツの修正を行うのが一般的です。導入の基礎はWordPressの始め方もご参照ください。静的サイトでは .htaccess などでリダイレクトを設定します。設定方法はサーバーにより異なるため、各サーバー会社の公式手順を確認してください。

「混在コンテンツ」とは

ページ自体はhttpsでも、その中で読み込んでいる画像やスクリプトのURLが http:// のまま残っていると、**混在コンテンツ(mixed content)**という状態になります。この場合、鍵マークが正しく表示されなかったり、警告が出たり、画像が表示されなくなったりします。

httpsへ移行したら、ページ内のすべての読み込みURLがhttpsになっているかを確認することが大切です。なお、URLが変わることは表示速度にも関わるため、移行後は表示速度の改善もあわせて点検しておくとよいでしょう。

確認方法

常時SSL導入後に鍵マーク・httpsへの転送・警告の有無・下層ページやフォームを確認する図

導入後は、次の点をチェックします。

  • ブラウザでURLが https:// になり、鍵マークが表示されているか
  • http:// でアクセスしたとき、自動で https:// に切り替わるか(リダイレクトの確認)
  • 「保護されていない通信」などの警告が出ていないか
  • トップだけでなく、下層ページや画像・フォームのページでも警告が出ていないか

トップページだけ確認して安心しがちですが、混在コンテンツは特定のページにだけ残ることもあります。主要なページを一通り見て回るのが確実です。

注意点と失敗例

常時SSLで証明書の失効・リダイレクト未設定・混在コンテンツの放置を防ぐ図

常時SSL化はそれほど難しい作業ではありませんが、設定の抜けによるトラブルが起きやすいポイントがあります。

注意したいポイント

  • 証明書の有効期限と自動更新:証明書には有効期限があります。無料SSLや多くのレンタルサーバーでは自動更新されますが、自動更新が有効になっているかを一度確認しておくと安心です
  • リダイレクト設定:http→httpsの301リダイレクトを忘れると、旧URLでのアクセスがhttpのまま残ります
  • 混在コンテンツ:ページ内のhttp読み込みが残っていないかを確認します

よくある失敗例

  • リダイレクト未設定:SSLは有効にしたのに転送を設定しておらず、http:// でも表示できてしまう。検索結果や古いリンクから来た訪問者に警告が出る
  • 証明書の失効:更新を見落として有効期限が切れ、強い警告が表示されてサイトがほぼ閲覧できなくなる
  • 混在コンテンツの放置:本文はhttpsでも画像URLがhttpのまま残り、鍵マークが付かず「一部が保護されていない」状態になる

これらは一度設定すれば終わりではなく、運用の中で見落としが起きやすい部分です。証明書の更新やリダイレクトの維持を含め、サイトの安全性を継続して保つ視点が大切です。サイト全体の安全管理は情報セキュリティ対策の基本、移行後の継続的な点検はWeb保守・運用もあわせてご覧ください。

まとめ

常時SSLで全ページをhttps化し証明書・リダイレクト・混在コンテンツ修正・確認を行うまとめ図

常時SSL(サイト全体のhttps化)は、信用・SEO・情報保護のために今や前提となる対応です。要点を振り返ります。

  • 常時SSLはサイト全体をhttps化すること。未対応は警告と機会損失につながります
  • 証明書にはDV・OV・EVの種類があり、一般的な中小企業サイトはDVの無料SSLで足りることが多いです
  • 手順は「SSLを有効化 → http→httpsへ301リダイレクト → 混在コンテンツを修正 → 確認」が基本です
  • 失敗の多くはリダイレクト未設定・証明書の失効・混在コンテンツ。設定の抜けに注意します

多くのレンタルサーバーで無料SSLが使えるため、未対応なら早めの対応をおすすめします。最新の対応状況や手順は、各サーバー会社の公式情報でご確認ください。

「SSL設定やサイトの安全性、立ち上げ全般を相談したい」場合は、実務を一緒に進められます。お気軽にご相談ください。

関連記事

よくある質問

SSL・常時SSLとは何ですか?

SSL(現在は正確にはTLS)は、ブラウザとサーバー間の通信を暗号化する仕組みで、URLが『https://』になり鍵マークが表示されます。常時SSLは、一部のページだけでなくサイト全体をhttps化することです。問い合わせフォームに限らず全ページをhttpsにするのが現在の標準で、トップから下層まで一貫してhttpsにする状態を指します。

常時SSLは本当に必要ですか?

ほぼ必須と考えてよいです。未対応だとブラウザに『保護されていない通信』と警告が表示され、訪問者の信用を損ないます。検索評価の面でもhttpsが推奨されており、フォームで個人情報を扱うサイトでは特に重要です。多くのレンタルサーバーで無料SSLが標準提供されているため、対応しない理由はほとんどありません。

SSLは無料でできますか?

多くのレンタルサーバーが無料の独自SSL(Let's Encryptなどを利用)を提供しており、追加費用なしで導入できる場合が多いです。より厳格な企業の実在認証が必要なら有料SSL(OV・EV)も選べます。一般的な中小企業のサイトは無料SSLで足りることが多いですが、対応状況と料金は各サーバー会社の公式情報でご確認ください。

httpからhttpsに変えると今のURLはどうなりますか?

URLの先頭がhttpからhttpsに変わるため、旧URLでアクセスがあったときに新URLへ自動転送する設定(301リダイレクト)が必要です。これを設定しないと、古いリンクや検索結果から来た訪問者がhttpのまま表示し、警告が出たり評価が分散したりします。あわせてサイト内の内部リンクやサイトマップもhttpsに更新します。

SSL証明書の更新を忘れるとどうなりますか?

証明書には有効期限があり、期限が切れると訪問者のブラウザに『この接続ではプライバシーが保護されません』などの強い警告が表示され、サイトがほぼ閲覧できない状態になります。無料SSLや多くのレンタルサーバーでは自動更新されますが、自動更新が効いているかを一度確認しておくと安心です。

関連記事