「HTTPSにしておけば、うちのサイトのセキュリティは大丈夫」。URLの先頭をhttpsに変えた時点で対応が終わったと受け止めている担当者は少なくありません。サーバー会社の管理画面には「SSL設定：有効」と表示され、契約時の説明も「ボタンひとつで対応できます」で完結するため、そこで区切りがついたように見えるのは自然なことでしょう。
しかし、企業のコーポレートサイトやオウンドメディアを数多く立ち上げ、公開後の運用まで手がけてきた弊社の立場から言えるのは、httpsに切り替えたはずのサイトで「保護されていない通信」の表示が残っている場面が思いのほか多いという点です。原因は証明書ではなく、記事の中に書かれた画像やリンクのURLがhttpのまま残っていること。違いを知ることと、自社のページにhttpが残っていないかを確かめることは、別の作業になります。
本記事では、HTTPとHTTPSがそれぞれ何をしている仕組みなのかという基本から、httpのままで起きること、httpsにしても鍵マークが出ない原因、切り替えの手順までを、サイトを作って運用する側の視点で順にお伝えします。
- HTTPとHTTPSの違いがどこにあるのかという一点の答え
- SSL/TLSがHTTPに足している3つの働きと、鍵マークが保証する範囲
- httpのままのサイトで訪問者側に見えている状態
- httpsにしたのに鍵マークが出ない原因と、直すための順番
- 切り替えの5つの手順と、SEOへの影響で誤解されやすい点
HTTPとHTTPSの違いは通信の暗号化
先に答えを置きます。HTTPとHTTPSの違いは、通信の中身が暗号化されているかどうか、この一点に集約されます。ページの見え方も、ブラウザとサーバーがやり取りする手順そのものも、どちらも変わりません。
項目 | HTTP | HTTPS |
|---|---|---|
正式名称 | HyperText Transfer Protocol | HyperText Transfer Protocol Secure |
通信の暗号化 | なし | あり（SSL/TLS） |
使うポート番号 | 80番 | 443番 |
ブラウザの表示 | 保護されていない通信 | 鍵のマーク |
経路上での盗み見 | 内容がそのまま読める | 内容を読み取れない |
サーバー証明書 | 不要 | 必要 |
名称のとおり、HTTPSはHTTPの末尾にSecureのSが付いた形です。まったく別の仕組みに置き換わるわけではなく、HTTPのやり取りを暗号化の層で包んだもの。この位置関係をつかんでおくと、あとから出てくるSSLやTLSという言葉も整理しやすくなるはずです。
※ ポート番号は通信の出入口を区別する番号で、httpは80番、httpsは443番が既定として使われる。
関連記事：【2025年最新版】初心者でもできるSEOのやり方完全ガイド | 上位表示するための具体的な方法を徹底解説
HTTPが担っているやり取りの中身
Sが付くことで何が変わるのかを理解するには、そもそもHTTPが何をしているのかを先に押さえておくと早くなります。
リクエストとレスポンスの往復
ブラウザのアドレス欄にURLを入力すると、ブラウザはそのサーバーに向けて「このページの中身をください」という要求を送ります。これがリクエストです。受け取ったサーバーは、該当するHTMLや画像を返します。こちらがレスポンスにあたり、Webページの表示はこの往復の積み重ねで成り立っています。
要求には種類があり、ページを読み込むだけならGET、フォームに入力した内容を送るならPOSTというように使い分けられています。問い合わせフォームの送信ボタンを押した瞬間に飛んでいるのは、多くの場合このPOSTです。
プロトコルという言葉の意味
HTTPのPはプロトコル、つまり通信の取り決めを指します。ブラウザがChromeでもSafariでも、サーバー側の仕組みがWordPressでも別のシステムでも同じ手順でやり取りできるのは、双方がこの取り決めに従っているからです。
HTTPは1990年代から使われている取り決めで、現在はHTTP/2、HTTP/3という新しい版も広く使われています。ただし主要なブラウザは、HTTP/2以降を暗号化された通信でのみ扱う実装を取りました。表示速度の面から見ても、httpのままでは新しい版の恩恵を受けられません。
関連記事：dofollowとは？nofollowとの違いと設定不要な理由を解説
HTTPSがHTTPに足している3つの働き
HTTPSは、HTTPのやり取りをSSL/TLSという仕組みで包みます。ここで足される働きは3つあり、暗号化はそのうちのひとつに過ぎません。残る2つを知っておくと、鍵マークが何を保証しているのかも整理できます。
通信の中身を読めなくする
暗号化とは、送る前に内容を決まった方法で変換し、受け取った側だけが元に戻せるようにする処理です。途中の経路で通信を傍受されても、取り出せるのは変換後のデータだけになります。
守られるのは、フォームに入力した氏名や電話番号、ログイン時のIDとパスワードといった送信内容にとどまりません。どのサイトを見ているかは経路上でも分かりますが、そのサイトの中でどのページを開いたかは読み取れなくなります。ログイン状態を保持するCookieも同様に保護の対象です。
途中で書き換えられていないかを確かめる
暗号化と同時に、データが途中で改ざんされていないかを検証する仕組みも働きます。httpの通信では、経路上でページの中身に別の内容を差し込むことが技術的に可能です。公衆無線LANで身に覚えのない広告が表示される現象は、この差し込みが起きている場合があります。
つないだ相手が本物かを確かめる
3つめが、接続先のサーバーが名乗っているドメインの持ち主で間違いないかの確認です。ここを担うのがSSLサーバー証明書で、認証局と呼ばれる第三者機関が発行します。
ただし、鍵マークは通信の相手を保証しますが、サイトの誠実さは保証しません。詐欺目的で作られたサイトでも証明書は取得できるためです。鍵マークがあるから安心と考えるのではなく、鍵マークがないページには情報を入力しない、という向き合い方が実態に合っています。
現在動いている暗号化の仕組みは、正確にはTLSです。SSLは前身にあたる規格で、すでに使用が推奨されない状態にあります。それでも「SSL証明書」「常時SSL」という呼び方が残っているのは、普及した当時の名前がそのまま定着したためです。サーバー会社の画面に「SSL」と表記されていても、実際に動いているのはTLSだと考えて差し支えありません。
3つを並べてみると、HTTPSが引き受けているのは通信の経路上で起きることだけだと分かります。サーバーの中で起きることは対象外です。
この線引きは、次に見る「httpのままだと何が起きるのか」を考えるときにも効いてきます。
経営者うちは問い合わせフォームがあるだけで、決済はしていません。それでもhttpsにする必要があるのでしょうか。
Writers-hub編集部
フォームがあるなら、氏名と連絡先が暗号化されないまま流れている状態です。加えて、httpのページはブラウザ側で警告が出るため、入力する直前に不安を与えます。決済の有無より、訪問者の画面にどう表示されるかで判断したほうが実態に近いはずです。
関連記事：GA4でIPアドレスを除外する設定手順｜反映されない原因と確認方法
HTTPのままだと何が起きるのか
違いが整理できたところで、httpのまま運用した場合に起きることを具体的に見ていきます。影響は情報が漏れるかどうかだけでなく、訪問者の目に見える形でも現れます。
- アドレス欄に「保護されていない通信」と表示される
- 入力欄に文字を入れた時点で警告の表示が強まる
- 通信の内容を経路上で読み取られる
- ページの中身に別の内容を差し込まれる
- 検索評価でわずかに不利になる
Google Chromeは2018年7月の更新以降、httpのページすべてに「保護されていない通信」と表示するようになりました。それ以前は入力欄のあるページに限られていた表示が、全ページへ広がった形です。企業サイトを開いた訪問者が最初に目にするのがこの表示だとすれば、問い合わせに進むかどうかの判断材料としては不利に働きます。
とりわけ見落とされがちなのが、公衆無線LANでの閲覧です。カフェや空港のフリーWi-Fiは同じ回線を不特定多数が共有するため、httpの通信は同じ回線上の第三者からも読み取れる状態に置かれます。自社サイトを守るという話ではなく、自社サイトを見に来た人を守れないという話になります。
なお、この全ページへの警告表示は、Chromeの開発元が2018年2月に予告したうえで実施された変更です。予告から実施まで数か月の猶予はありましたが、httpのまま警告を避ける方法は用意されませんでした。
HTTPSにしても鍵マークが出ない理由
ここからが、切り替えを済ませたあとに実際につまずく場面です。証明書を入れてURLをhttpsに変えたのに鍵マークが出ない、あるいは特定のページだけ「保護されていない通信」と出る。相談として持ち込まれる不具合の大半は、証明書ではなくページの中身に原因があります。
記事の中に残るhttpのURL
ページ本体をhttpsで読み込んでいても、そのページが内部で呼び出している画像、CSS、JavaScript、動画の埋め込みのいずれかにhttpのURLが混ざっていると、ブラウザは全体を安全な状態と見なしません。この状態を混在コンテンツと呼びます。
やっかいなのは、混在コンテンツの多くが記事本文の中に潜んでいる点です。過去に書いた記事で画像のURLを直接貼った、他社サイトのバナーをhttpのまま埋め込んだ、外部サービスの埋め込みコードが古いままになっている。サーバー側の設定をいくら見直しても、記事1本ずつに書き込まれた文字列は直りません。
弊社が途中から運用を引き継いだメディアでも、鍵マークの出ないページだけが一部残っていた例がありました。原因はいずれも本文中のhttp表記で、対処はデータベース上の一括置換でした。
ブラウザは、画像のような表示だけの要素なら警告にとどめ、JavaScriptやCSSのような動作に関わる要素は読み込み自体を止める挙動を取ります。httpのままのスクリプトを呼んでいたページでレイアウトが崩れたり機能が動かなくなったりするのは、このためです。鍵マークが消えるだけで済まない場合があります。
どこに混ざっているかは、ページを眺めているだけでは分かりません。ブラウザの開発者ツールでコンソールを開けば、混在コンテンツとして扱われたhttpのURLがそのまま並びます。原因の特定に時間をかける必要はなく、見る場所さえ決まっていれば数分で片が付く作業です。
httpとhttpsが両方生きている状態
もうひとつ多いのが、httpsに切り替えたあともhttpのURLがそのまま開ける状態です。httpsのページを用意しただけでは、以前のhttpのURLは消えません。両方が開ける状態は、検索エンジンから見ると同じ内容のページが2つ存在することを意味します。
この場合、評価が2つのURLに分かれるか、意図しないほうが検索結果に出るかのどちらかが起きます。httpsのページを作るのと、httpのURLを1本に寄せるのは別の作業です。
寄せ方は301リダイレクトで、httpへのアクセスをhttpsへ転送します。設定の書き方は301リダイレクトの設定方法で解説しました。あわせて、ページ内のcanonicalタグがhttpsのURLを指しているかも確認してください。指定が反映されないときの手順はcanonicalタグの解説記事にまとめています。
記事を増やすたびに、本文にhttpのURLが混ざっていないか一本ずつ確かめていませんか
公開前の確認項目に画像や外部埋め込みのURLを入れておけば、あとから数十本をさかのぼって直す作業は起きません。弊社は記事の企画から執筆、公開前の確認までを制作会社としてお引き受けしています。
HTTPS化とSEOの関係で誤解されやすい点
HTTPS化はSEO施策としても語られますが、期待の置き方を間違えると徒労に終わります。ここは正直にお伝えしておくべき部分です。
Googleは2014年8月に、HTTPSを検索順位を決める要素のひとつとして扱うと公表しました。ただし同時に、影響は軽いものだと説明されています。httpsに切り替えただけで順位が上がることは、まず起きません。
では何のために切り替えるのか。順位を押し上げるためではなく、同じ条件で並んだときに不利にならないためと考えるのが実態に近いでしょう。加えて、警告表示による離脱を防ぐ効果のほうが、順位への影響より読者の行動に直結します。
むしろ実害が出やすいのは、切り替えの作業そのものです。httpからhttpsへURLが変わる以上、これはサイト移転と同じ扱いになります。転送の設定を落とせば、それまで積み上げた評価は引き継がれません。切り替えで順位が下がったという話の多くは、httpsにしたことではなく、転送の設計を飛ばしたことに原因があります。
もうひとつ、Search Consoleに登録しているプロパティがhttpのままだと、切り替え後のデータが記録されなくなります。httpsのプロパティを登録し直す作業を、切り替えの手順に必ず入れておいてください。
httpsへの切り替えは済んだのに、検索からの流入が変わらない状態ではありませんか
httpsは順位を押し上げる要素ではなく、不利をなくすための前提条件です。そこから先の流入は、どのキーワードで何を書くかで決まります。現状のサイトと狙っている語をお見せいただければ、次に着手する順番から整理できます。
HTTPからHTTPSへ切り替える手順
実際の切り替えをどの順番で進めるかを整理します。証明書を入れる作業自体は、レンタルサーバーの管理画面から数分で終わることも多くなりました。手間がかかるのは、その前後の確認のほうです。
多くのレンタルサーバーは、Let's Encryptによる無料の証明書を管理画面から発行できます。有料の証明書との違いは暗号化の強さではなく、運営者の実在をどこまで確認するかという審査の深さです。ドメインの持ち主であることだけを確認する種類なら、無料でも果たす役割は変わりません。
記事本文の画像URL、内部リンク、テーマやテンプレートに直接書かれたURLが対象です。件数が多い場合は、データベース上で一括置換する方法が現実的でしょう。作業前のバックアップは必ず取ってください。
httpでアクセスされたときにhttpsへ転送する設定を入れます。Apacheなら.htaccess、Nginxなら設定ファイル、WordPressならプラグインという選択肢があります。転送はページ単位で対応させ、すべてをトップページに飛ばす形にはしないでください。
ブラウザの開発者ツールを開き、コンソールに混在コンテンツの警告が出ていないかを見ます。1ページずつ開くのが現実的でない規模なら、サイト全体をクロールするツールでhttpのURLを抽出する方法があります。
Search Consoleにhttpsのプロパティを追加し、サイトマップを送信し直します。アクセス解析ツール、広告の管理画面、SNSのプロフィールに登録したURLも対象です。ここを飛ばすと、切り替え後のデータが計測されない期間が生まれます。
切り替えの成否は、証明書ではなく転送と混在コンテンツの確認で決まります。作業の順番を入れ替えないことも大切で、リダイレクトを先に入れてURLの書き換えを後回しにすると、転送が何度も繰り返される状態になり表示が遅くなります。
HTTPとHTTPSをめぐるよくある質問
切り替えの前後で相談の多い質問に、短くお答えします。
現在はhttpsのほうが速い場面が多くなっています。暗号化の処理は増えますが、ブラウザはHTTP/2以降を暗号化された通信でのみ扱うため、ファイル数の多いページで差が出ます。
世代が違うだけで役割は同じです。SSLが前身、TLSが現行にあたります。「SSL証明書」という呼び方が残っていても、実際に動いているのはTLSです。
あります。一部のページだけをhttpsにする方式は以前ありましたが、ログイン状態を保持するCookieが保護されないため、現在はサイト全体をhttpsにする形が前提です。
なりません。守られるのは通信の経路であって、サーバー上のファイルではありません。CMSやプラグインの更新、管理画面のパスワード管理は別に必要です。
審査の範囲と保証の有無が違います。暗号化の強さは変わりません。運営者の実在をサイト上で示したい場合や、事故時の補償を求める場合に有料の種類を選びます。
消えません。httpのページも検索結果には表示されます。ただしブラウザ側で警告が出るため、クリックされたあとの離脱に影響します。
まとめ｜違いより「httpが残っていないか」
HTTPとHTTPSの違いは、通信が暗号化されているかどうかの一点です。HTTPSはHTTPを置き換えたものではなく、暗号化、改ざんの検知、接続先の確認という3つの働きを重ねた形です。この構造をつかんでおくと、鍵マークが保証している範囲も見えてきます。
そのうえで、実務でつまずくのは切り替えたかどうかではありません。記事本文に残ったhttpの画像URL、転送されないまま生きているhttpのページ。この2つが残っている限り、証明書を入れても状態は中途半端なままです。自社のサイトを確かめるなら、鍵マークの出ないページを1本見つけるところから始めてください。
私たち合同会社Writers-hubは、企業サイトやオウンドメディアの記事制作から公開後の運用までをお引き受けしています。切り替えを終えたあと、検索から人をどう集めるかまで含めてご相談いただけます。
切り替えの確認と記事づくりのどちらから手を付けるか、決めかねていませんか
残っているhttpのURLの洗い出しが先なのか、記事を増やす設計が先なのかは、サイトの状態で変わります。今のサイトと社内の体制をお聞きしたうえで、着手する順番からお答えします。
