SSL化とは？HTTPSとの違いとホームページの確認方法

ホームページの点検項目を整理するAI生成イメージです。実在の顧客資料や調査結果ではありません。

SSL化とは、ホームページをHTTPSで利用できるように整え、ブラウザとサーバーの間の通信を保護することです。現在はSSLの後継であるTLSが使われています。自社サイトを確かめるときは、URLの先頭だけでなく、接続の警告、重要なページ、画像などの読み込み、証明書を更新する担当まで確認しましょう。

SSL化・TLS・HTTPSは、通信を守る仕組みの話

ホームページを見るとき、ブラウザはサーバーへ情報を求め、サーバーがページや画像などを返します。このやり取りに使うHTTPを、TLSという仕組みで保護したものがHTTPSです。SSL化という言葉は、一般に、このHTTPSでサイトを利用できる状態にすることを指します。

出典：トランスポート層セキュリティ (TLS) – セキュリティ | MDN

SSLとTLSは別の時代の規格です。TLSはSSLの後継ですが、暗号化通信を指す呼び名として「SSL」が残り、「SSL/TLS証明書」「SSL設定」といった名称にも使われています。管理画面にSSLと書かれていても、古いSSLの規格を選んで使うという意味ではありません。

出典：トランスポート層セキュリティ (TLS) – セキュリティ | MDN

出典：トランスポート層セキュリティ (TLS) – セキュリティ | MDN

出典：サイト・ホームページ移行について | Google 検索セントラル  |  Documentation  |  Google for Developers

出典：サイトの接続が安全かどうかを確認する – パソコン – Google Chrome ヘルプ

ドメインはサイトへアクセスするための名前、サーバーはデータを届ける仕組み、HTTPSはその通信を保護する方式、と分けると整理しやすくなります。ドメインの契約やサーバー料金の支払いが済んでいることだけでは、HTTPSの設定と動作を確認したことにはなりません。契約の仕組みが曖昧な場合は、末尾の「ドメインとサーバーの違い」も参照してください。

SSL化で守れる範囲と、別に確認すること

TLSは、通信相手の認証、送受信するデータの暗号化、通信中の改ざんに対する保護を担います。たとえば、ブラウザからフォームへ情報を送るとき、その通信を第三者に読み取られにくくする役割があります。ここでの対象は、ブラウザと接続先の間でやり取りされる情報です。

出典：トランスポート層セキュリティ (TLS) – セキュリティ | MDN

一方で、接続先の会社が信用できるか、掲載内容が正しいか、送信した情報が保存後に適切に扱われるかは、HTTPSという表示だけでは判断できません。Googleも、接続が保護されている場合でも個人情報の扱いに注意し、正しいサイトへアクセスしているかをアドレスバーで確認するよう案内しています。

出典：サイトの接続が安全かどうかを確認する – パソコン – Google Chrome ヘルプ

また、サイトに保存されたデータの管理、WordPressなどのソフトウェアの更新、管理者アカウントの権限、バックアップは、通信の暗号化とは別に点検する仕事です。「SSL化してあるので保守は不要」と整理せず、通信を守る設定と、サイトを維持する作業を分けて担当を決めましょう。

証明書が無料か有料かだけで、サイト全体の安全性は決まりません。Let’s Encryptは、ドメイン認証（DV）の証明書を無料で提供しています。同団体のFAQでは、証明書自体は無料でも、提供事業者が管理作業の費用を請求する場合があると説明しています。証明書代と設定・管理の作業費は分けて確認してください。

出典：FAQ – Let's Encrypt

このページでは証明書の価格相場や、業種ごとの購入商品は決めません。自社サイトで使うドメイン、必要な認証の種類、契約先が対応する方式、更新の担当を確認することを優先します。月額費用の内訳を整理したい場合は、末尾の維持費の記事へ進めます。

自社ホームページのSSL化をブラウザで確認する

まずはトップページと相談につながるページから始めましょう。普段案内している自社サイトのURLを開き、アドレスバーで接続先を確かめます。URLの一部が省略されている場合は、アドレスバーを選択して先頭まで確認します。https://で始まっているかに加え、保護されていない通信や証明書に関する警告が出ていないかを見ます。

出典：サイトの接続が安全かどうかを確認する – パソコン – Google Chrome ヘルプ

パソコンのChromeでは、アドレスの左側にあるサイト情報のアイコンから接続に関する表示を確認できます。アイコンの形や表示名はブラウザ・端末・バージョンで異なるので、南京錠が見当たらないことだけで未対応と判断しないでください。「接続が保護されているか」という表示の内容を確かめます。

出典：サイトの接続が安全かどうかを確認する – パソコン – Google Chrome ヘルプ

トップページが正常でも、別のサブドメインの予約画面や外部フォームまで同じ設定とは限りません。自社で設定できる範囲と外部サービス側の範囲を分け、後者は提供元の案内や契約担当へ確認します。読者が実際にたどる「サービスを見る、資料を読む、相談先へ進む」という順番で確認すると、対象を挙げやすくなります。

接続の警告が出た場合は、警告を無視して個人情報を入力する確認は行いません。Googleは「この接続ではプライバシーが保護されません」というエラーについて、サイトだけでなくネットワークや端末の問題でも起こり得ると説明しています。画面の文言を残し、原因を一つに決めつけず担当者へ渡しましょう。

出典：サイトの接続が安全かどうかを確認する – パソコン – Google Chrome ヘルプ

SSL化を進めるときは、4段階で確認する

ここからは、公式資料の移行手順を踏まえた、発注者と保守担当の確認の進め方です。設定画面や必要な操作は、利用中のサーバー、CMS（ページを作成・更新するシステム）、配信サービスによって異なります。別のサービス向けの設定コードをそのまま貼るのではなく、現在の構成に合う公式手順を担当者が確認してから作業します。

出典：トランスポート層セキュリティ (TLS) – セキュリティ | MDN

出典：サイト・ホームページ移行について | Google 検索セントラル  |  Documentation  |  Google for Developers

対象URLと、戻す方法を先にそろえる

トップページだけでなく、主要な下層ページ、フォーム、画像やダウンロード資料のURLを一覧にします。変更前の設定とバックアップ、問題が起きたときに誰が元の設定を確認できるかも残します。サイトのデザイン変更やドメイン移転を同時に行うと原因の切り分けが増えるため、作業範囲を分けて計画しましょう。

出典：サイト・ホームページ移行について | Google 検索セントラル  |  Documentation  |  Google for Developers

証明書の設定後、HTTPSで動くかを確認する

対象のドメインに合う証明書を用意し、サーバーなどの配信環境へ設定します。すでにサーバー契約の機能として提供されている場合は、利用状態と対象ドメインを確認します。そのうえで、HTTPSのURLでページを開き、接続の警告や表示の不具合がないかを点検します。URLの文字だけを書き換えて、設定完了とはしません。

出典：サイト・ホームページ移行について | Google 検索セントラル  |  Documentation  |  Google for Developers

出典：サイトの接続が安全かどうかを確認する – パソコン – Google Chrome ヘルプ

HTTPからの転送と、ページ内のURLをそろえる

HTTPSで開けることと、古いHTTPのURLから適切に転送されることは別の確認です。保守担当には、元の各URLが対応するHTTPSのページへ、サーバー側の永続的なリダイレクトで到達するかを確認してもらいます。すべてをトップページへ送るのではなく、元のページに対応する行き先を決めます。

出典：サイト・ホームページ移行について | Google 検索セントラル  |  Documentation  |  Google for Developers

Googleは、サイト移転で可能な場合、301や308などの永続的なHTTPリダイレクトを推奨しています。担当者には転送の応答コードと行き先も確認してもらい、ブラウザで最終ページが見えたという記録だけで完了させません。遠回りの転送や、元のURLへ戻る繰り返しがないかも点検します。

出典：サイト・ホームページ移行について | Google 検索セントラル  |  Documentation  |  Google for Developers

内部リンク、画像などの読み込み先、正規URLを示すcanonical、検索エンジンへURL一覧を伝えるサイトマップも、新しいHTTPSのURLにそろえます。移行のために一時的に入れた検索除外の設定が残っていないかも確認します。HTTPからHTTPSへの変更だけなら、Search Consoleのアドレス変更ツールは不要です。URL対応表の詳しい作り方は、関連記事のリニューアルSEOで扱っています。

出典：混在コンテンツ – セキュリティ | MDN

出典：サイト・ホームページ移行について | Google 検索セントラル  |  Documentation  |  Google for Developers

表示の点検と、更新管理を完了条件にする

切り替え後は、PCとスマートフォンで主要ページ、画像、メニュー、資料、相談先への移動を確認します。フォーム送信まで検証する場合は、別途、管理者とテスト方法・通知先を決めます。SSL化の初期点検で、営業用の問い合わせを何度も送る必要はありません。

証明書には有効期間があり、使い続けるには更新が必要です。自動更新の機能を利用する場合も、誰が更新結果を確認し、失敗や期限の通知を受け、対応するのかを決めておきます。証明書の期間や更新条件はサービスによって異なるため、契約先の最新案内と管理画面で確認します。

出典：FAQ – Let's Encrypt

警告や画像の未表示は、症状を分けて相談する

HTTPSのページから、HTTPの画像・スクリプトなどを読み込もうとする状態は、混在コンテンツと呼ばれます。MDNは、ブラウザが一部をHTTPSへ自動的に切り替え、ほかの種類をブロックすると説明しています。そのため、ページが開いても画像や機能の一部に不具合が出る場合があります。

出典：混在コンテンツ – セキュリティ | MDN

混在コンテンツが原因なら、読み込み先がHTTPSに対応していることを確かめたうえで、URLや埋め込み設定を修正します。外部の画像や部品がHTTPSに対応していない場合は、その部品の置き換えや削除を検討します。警告を消すためにブラウザの保護を無効にする方法を、サイト運用の解決策にはしません。

出典：混在コンテンツ – セキュリティ | MDN

画像が見えない原因は、ファイルの削除やURLの誤りなど、混在コンテンツ以外の場合もあります。「SSL化した後だから証明書を買い直す」と先に決めず、該当ページ、発生箇所、直前に変えたことをそろえて調べます。原因が未確認なら、点検メモにも「未確認」と書き、修正済みの項目と区別します。

架空の機器レンタル会社で、点検メモを作る

以下は説明用の架空例です。実在の企業、VELGRITの支援実績、調査結果ではありません。機器レンタル会社が、HTTPSで表示されるトップページを見て「設定は完了している」と考えていたとします。担当交代に合わせ、サービス案内、資料、外部の予約フォームまで確認する、という設定です。

この例で残すメモは、「対象URL」「確認日時と端末」「接続の表示」「画像・機能の状態」「確認済み／未確認」「担当」「次の確認日」です。警告がなかったという観察と、サーバー側の設定が正しいという検証を同じ欄にまとめないことがポイントです。担当者が分からない場合は、まずサーバーや保守の契約先を確認する仕事を割り当てます。

改修を依頼するときは、証明書を設定するところまでか、HTTPからの転送、内部リンク・画像の修正、切り替え後の確認まで含むかを明確にします。完了報告では、作業した設定だけでなく、どのURLをどの環境で確認したかを受け取りましょう。費用と担当の詳しい整理は、関連記事の維持費・保守管理へつなげられます。

今日の一歩は、トップページと相談につながるページを開き、URLと接続表示を記録することです。警告があれば入力を進めず、文言を控えて保守担当へ確認します。警告がなくても、HTTPSへの移行や証明書更新まで完了済みと決めず、作業の記録と担当を照合していきましょう。

よくあるご質問