ブラウザのアドレスバーに「保護されていない通信」と表示されるサイトは、訪問者に警告を出しながら営業しているのと同じ状態です。SSL証明書は無料で取得でき、主要なレンタルサーバーなら管理画面から数クリックで設定できます。この記事では、常時SSL化の手順と、対応したのに鍵マークが付かない原因である混在コンテンツの直し方を解説します。
常時SSL化は無料で完了できるため先送りする理由がない
結論から書きます。SSL証明書は無料のLet’s Encryptで十分で、主要レンタルサーバーは管理画面から無料で設定できます。費用を理由に先送りしている場合、その前提が古いです。
Let’s Encryptは無料で自動更新される
Let’s Encryptは非営利団体が運営する無料の証明書発行機関で、世界中のサイトで利用されています（出典 Let’s Encrypt）。エックスサーバー・さくらのレンタルサーバ・ConoHa WING・ロリポップなど主要サーバーは、この証明書を管理画面から無料で設定でき、更新も自動です。
高額な証明書を買う必要は中小企業にはない
証明書には無料のドメイン認証型、有料の企業実在認証型、さらに上位の拡張認証型があります。金融機関やECサイトを除けば、中小企業のコーポレートサイトに有料証明書を導入する実益はほぼありません。通信の暗号化強度は無料証明書でも同一です。（年間数万円の証明書を売られたら、何が変わるのかを具体的に聞いてください）
Googleは2014年からHTTPSを評価対象にしている
Googleは2014年の公式発表で、HTTPSをランキングシグナルとして使用することを明らかにしています（出典 Google Search Central Blog ランキング シグナルとしての HTTPS）。ただし影響は軽微とされており、SSL化の本当の目的は検索順位ではなく、通信の保護と訪問者への信頼提示です。
HTTP のままだと訪問者に警告が表示される
放置した場合に何が起きるかを整理します。
フォーム入力時に警告が出て離脱される
暗号化されていないページで入力欄にカーソルを合わせると、ブラウザが「この接続は安全ではありません」といった警告を表示します。問い合わせフォームの入力直前という、最も離脱してほしくない瞬間に警告が出ます。
通信内容が第三者に読める状態になっている
暗号化されていない通信は、公衆Wi-Fiなどの経路上で内容を読み取られる可能性があります。問い合わせフォームに入力された氏名・電話番号・相談内容が、平文のままネットワークを流れている状態です。Web標準の解説サイトも、HTTPSが必要な理由として通信の盗聴と改ざんの防止を挙げています（出典 web.dev HTTPS が重要である理由）。
取引先の社内ネットワークで遮断されることがある
企業のセキュリティポリシーによっては、暗号化されていないサイトへのアクセスが社内ネットワークで制限される場合があります。BtoBで営業をしているのに、見込み客の社内から自社サイトが見られないという事態が起こり得ます。
「うちは個人情報を扱っていないから不要」という判断は成立しません。問い合わせフォームがある時点で個人情報を受け取っており、そもそもブラウザが警告を出す基準は情報の種類ではありません。
SSL化の手順は4ステップで完了する
作業の全体像です。サーバーの管理画面とWordPressの設定の両方を触ります。
作業前にバックアップを取得する
URLの一括置換を伴うため、失敗すると復旧が必要になります。ファイルとデータベースの両方をバックアップしてから着手してください。
証明書の設定からリダイレクトまでの流れ
- サーバーの管理画面で無料SSL証明書を設定する（反映まで数十分かかる場合がある）
- ブラウザで https のURLを開き、鍵マークが表示されるか確認する
- WordPressの「設定」から「一般」を開き、2つのURL欄を https に変更する
- サイト内に残っている http のURLを一括置換する
- http でアクセスされた場合に https へ転送する設定を追加する
WordPressアドレスとサイトアドレスの変更は慎重に行う
設定の一般設定にあるURL欄を書き換えると、WordPressは直ちに新しいURLで動作しようとします。証明書が有効になっていることを確認してから変更してください。証明書が未設定の状態で https に変更すると、サイトも管理画面も表示できなくなります。
http から https への転送設定を必ず入れる
証明書を設定しただけでは、http のURLも生き続けます。名刺やパンフレットに印刷された古いURL、他社サイトからのリンク、検索結果に残る古いURLが http のままアクセスされるため、https へ自動転送する設定が必要です。多くのレンタルサーバーでは管理画面のチェックボックス1つで設定できます。
鍵マークが付かない原因はほぼ混在コンテンツ
証明書を設定してURLも変えたのに鍵マークが付かない、または「一部が保護されていません」と表示される場合、原因は混在コンテンツです。
混在コンテンツはページ内に残った http のURL
ページ自体は https で配信されているのに、その中で読み込んでいる画像・CSS・JavaScriptのURLが http のままになっている状態を混在コンテンツと呼びます。ブラウザは1箇所でも http が混ざっていれば安全とは判定しません。（1枚の画像のために、サイト全体の鍵マークが消えます）
混在コンテンツが発生しやすい箇所
| 発生箇所 | 原因 | 対処 |
|---|---|---|
| 記事本文中の画像 | 過去の投稿で http のURLが直接書かれている | データベースの一括置換 |
| テーマの設定 | ロゴやヘッダー画像のパスが http | カスタマイザーで設定し直す |
| ウィジェット | バナー画像やリンクが http | ウィジェット設定を修正 |
| テーマファイル内の記述 | 制作時に http で直接記述されている | ファイルを編集（子テーマ推奨） |
| 外部サービスの埋め込み | 地図やSNSの埋め込みコードが古い | 最新の埋め込みコードに差し替え |
データベースの一括置換はプラグインで行う
過去の記事に http のURLが大量に埋まっている場合、手作業での修正は現実的ではありません。Search Regex や Better Search Replace といったプラグインで、http から https へ一括置換します。置換は取り消せない操作のため、実行前のバックアップが必須です。
どこに混在コンテンツがあるかを特定する方法
- ブラウザで対象ページを開き、開発者ツールのコンソールに表示される警告を確認する
- 鍵マークが付かないページを1つずつ開いて特定する
- SSL Insecure Content Fixer などのプラグインで暫定的に解消する
- 修正後、トップページと主要な下層ページで鍵マークを再確認する
SSL化後にやり忘れると損をする設定
証明書を入れて終わりにすると、アクセスデータの断絶や表示不良が起きます。
Search Consoleに https のプロパティを登録する
Search Consoleでは http と https が別サイトとして扱われます。https のプロパティを新規登録しないと、SSL化した日を境にデータが途切れます。すでに登録済みの http プロパティも残しておくと、移行の推移を確認できます。
アクセス解析の設定を確認する
Google Analyticsのプロパティ設定に登録されているURLが http のままになっていることがあります。計測自体は継続しますが、レポート内のリンクが機能しなくなるため修正してください。
外部サービスに登録したURLを更新する
Googleビジネスプロフィール、業界ポータルサイト、SNSのプロフィール欄、名刺・パンフレットの次回増刷分など、自社URLを登録している場所を洗い出して更新します。リダイレクトが効いていれば実害は少ないものの、正しいURLに直しておくのが望ましい状態です。
SSL化の作業後は、必ず問い合わせフォームからテスト送信してメールが届くか確認してください。URLの一括置換でフォームの設定値が意図せず書き換わることがあります。
最後に
常時SSL化は、無料の証明書と管理画面の操作で完了する作業です。費用も専門的な知識も、かつてほど必要ありません。放置している間、訪問者は警告画面を見せられ、フォームの入力直前に離脱しています。証明書の設定・URLの変更・混在コンテンツの解消・転送設定という4つの工程を、バックアップを取った上で進めてください。
Web管理では、月額1万円からホームページの運用保守を代行しています。常時SSL化の作業、混在コンテンツの洗い出し、SSL化後の各種設定変更までまとめて対応可能です。「保護されていない通信と出ているが何をすればいいか分からない」というご相談も歓迎します。
