「SSL化は、サーバーの管理画面でボタンを押せば終わる」。社内でホームページのSSL化を任された担当者の多くは、最初にこう考えます。多くのレンタルサーバーが無料の証明書を管理画面から設定できる形で提供しているため、数分で片付く作業に見えるのも無理はありません。
しかし、これまで多くの企業のホームページやオウンドメディアを公開後の運用まで引き受けてきた弊社の立場から言えるのは、SSL化の手間の大半は証明書を設定した後にあるということです。httpからhttpsへの変更は、Googleがサイト移転として扱うURLの引っ越しにあたります。鍵マークが出たあとで「一部のページだけ警告が出る」「検索からの流入が減った」と気づく問題の多くは、サイト内のリンクや検索エンジンへの登録に残ったhttpのURLが原因です。
本記事では、SSL化の意味と必要な理由から、サイトの置き場所ごとの進め方、切り替え後に漏れやすい作業までを、ホームページを運用する担当者の目線で順にお伝えします。
- SSL化は通信を暗号化する設定で、URLがhttpからhttpsに変わる
- ホームページ作成サービスなら最初からhttpsのことが多く、作業が要るのはレンタルサーバーや自社管理のサーバー
- 企業のホームページなら、多くの場合は無料の証明書で足りる
- 証明書の設定後に、転送、検索エンジンへの登録、社外に出したURLの更新が要る
- 証明書の有効期間は年々短くなるため、自動更新されているかの確認が欠かせない
SSL化の意味とhttpsとの関係
SSL化とは、ホームページとそれを見る人のブラウザの間の通信を暗号化する設定のことです。設定を済ませると、URLの先頭が「http://」から「https://」に変わります。最後の「s」は安全を意味するSecureの頭文字です。
暗号化の仕組みそのものは、現在はSSLの後継であるTLSが担っています。呼び名だけが残り、「SSL化」「常時SSL化」「HTTPS化」はいずれも同じ作業を指すと考えて差し支えありません。以前はフォームのページだけを暗号化する方法もありましたが、今はサイトの全ページをhttpsにするのが前提です。
httpとhttpsの違いを通信の仕組みから知りたい方は、HTTPとHTTPSの違いを解説した記事をあわせてご覧ください。
httpのままのサイトに起きる3つの不利益
では、httpのままだと何が困るのか。暗号化されていないこと自体より、閲覧者の目に見える形で不利が出る点が問題です。
ブラウザに「保護されていない通信」と出る
Chromeは2018年7月に公開したバージョン68から、httpのページすべてのアドレスバーに「保護されていない通信」と表示するようになりました。問い合わせフォームに文字を入力すると、警告はさらに目立つ形に変わります。初めて訪れた人が、会社の信用を判断する前に警告を目にすることになるのです。
入力された内容を途中で読まれるおそれ
httpの通信は、途中の経路で中身を読み取られる可能性があります。公衆Wi-Fiのように、同じネットワークに誰が接続しているか分からない環境が典型です。問い合わせフォームの氏名や電話番号、会員ページのパスワードが、暗号化されないまま流れることになります。
検索順位とアクセス解析への影響
Googleは2014年に、httpsを検索順位を決める要素のひとつとして扱うと公表しました。ただし影響は小さく、httpsにしただけで順位が上がることは期待しないほうが無難です。
見落とされがちなのは、アクセス解析への影響のほうです。ブラウザは、httpsのページからhttpのページへ移るときに参照元の情報を送らない設定を標準にしています。httpのままのサイトでは、httpsの外部サイトから来た訪問が流入元の分からないアクセスとして記録され、どこから人が来ているのかを正しく把握できません。
サイトの置き場所で変わるSSL化の進め方
SSL化の作業量は、ホームページをどこに置いているかでほぼ決まります。自社のサイトがどれにあたるかを先に確かめると、やるべきことが絞れます。
| ホームページ作成サービス | レンタルサーバー | 制作会社や社内のサーバー | |
|---|---|---|---|
| 主な例 | ノーコードで作るサービス | WordPressを自分で入れたサイト | 制作会社が構築・管理するサイト |
| 証明書の設定 | ◎最初からhttpsのことが多い | ○管理画面から無料で設定できる | △管理者の作業が要る |
| 担当者がやること | 独自ドメインを後から設定したときの確認 | 本記事の手順をひと通り | 依頼内容を決めて管理者に頼む |
| 注意する点 | 旧サイトから引っ越した場合の転送 | サイト内のhttpの書き換えと転送 | 転送と自動更新が依頼に入っているか |
表の中で作業がいちばん多いのが、レンタルサーバーにWordPressを入れて自社で運用しているケースです。次の節からの手順は、主にこのケースを想定しています。
制作会社にサイトの管理を任せている場合も、「SSL化をお願いします」とだけ伝えるのは避けてください。証明書の設定だけで作業が終わり、転送や外部ツールの更新が抜けることがあるためです。後述する「漏れやすい4つの作業」を、そのまま依頼の範囲として渡すのが確実でしょう。
SSL証明書の種類と費用の目安
SSL化には、サイトの持ち主を証明する「SSL証明書」が必要です。証明書は審査の範囲によって3種類に分かれ、暗号化の強さはどれを選んでも変わりません。
種類 | 審査で確かめる内容 | 費用の目安 | 向いているサイト |
|---|---|---|---|
ドメイン認証（DV） | ドメインの持ち主であること | 無料〜年数千円 | 企業のホームページ、ブログ |
企業認証（OV） | 運営する組織が実在すること | 年数万円程度から | 会員登録や決済を受け付けるサイト |
EV認証 | 組織の実在をより厳しい基準で確認 | 年十数万円程度になることも | 金融機関など信用が直接問われるサイト |
※ 費用は証明書を発行する会社、契約年数、レンタルサーバーの代理販売かどうかで大きく変わります。表の金額は目安としてお考えください。
有料の証明書を選ぶ理由として、以前は「アドレスバーに会社名が表示される」点が挙げられていました。しかしChromeは2019年のバージョン77から、EV認証でも会社名をアドレスバーに出さなくなっています。見た目の差がなくなった今、閲覧者から見える違いはほぼありません。
問い合わせフォームと会社案内が中心のホームページであれば、レンタルサーバーが無料で提供するドメイン認証の証明書で足ります。有料の証明書を検討するのは、取引先から組織の実在を示す証明書を求められた場合や、決済で万一の補償を付けたい場合です。
レンタルサーバーでSSL化する手順
ここからは、レンタルサーバーにWordPressを入れたサイトを例に、切り替えの手順を順に見ていきます。管理画面の名称はサーバー会社ごとに違いますが、作業の順番は共通です。
サイト全体のバックアップを取り、Search Consoleで直近3か月ほどの表示回数とクリック数を控えておきます。切り替え後に流入が変わったとき、比べる基準がないと原因を追えないからです。
ドメインの設定画面から無料の証明書を有効にします。反映までにしばらく時間がかかる場合があり、その間はhttpsでアクセスすると警告が出ることがあります。
アドレスバーに「https://」から始まるURLを直接入力し、トップページと主要なページが警告なしで開くかを見ます。ここで開かなければ、次の工程には進みません。
管理画面の「設定」から「一般」を開き、「WordPressアドレス」と「サイトアドレス」の両方をhttpsに書き換えます。記事本文や画像のURLにhttpが残っていれば、データベースの一括置換でhttpsに揃えます。
httpでアクセスした人と検索エンジンを、対応するhttpsのページへ転送します。転送はページ単位で行い、すべてをトップページに送る形にはしないでください。
Apacheを使うレンタルサーバーでは、公開フォルダの.htaccessに次の記述を加える方法が一般的です。サーバー会社によっては管理画面に転送の設定項目があり、そちらを使うよう案内されている場合もあります。
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]転送の書き方をNginxやWordPressのプラグインで行う方法は、301リダイレクトの設定方法で詳しく解説しています。一括置換のあとも鍵マークが出ないページが残るときは、画像や埋め込みにhttpのURLが混ざっている可能性が高いでしょう。
.htaccessは1文字の誤りでサイト全体が表示されなくなるファイルです。書き換える前に元のファイルを手元に保存し、表示が崩れたらすぐ戻せる状態で作業してください。WordPressの別の記述がすでにある場合は、その上に追記します。
証明書の設定後に漏れやすい4つの作業
手順どおりに転送まで済ませても、サイトの外側に残った設定までは書き換わりません。担当者から最もよく受ける質問が、この段階のものです。
Web担当者鍵マークも出ましたし、httpで開いてもhttpsに飛ぶようになりました。これでSSL化は終わりですよね。
Writers-hub編集部
サイトの中はそこで完了です。ただ、検索エンジンや広告の管理画面は、まだhttpのURLを覚えています。サイトの外に登録したURLを書き換えて、はじめて切り替えが終わります。
Googleのサイト移転の説明でも、httpからhttpsへの変更はURLの変更を伴う移転の例として挙げられています。サイトの外にあるhttpのURLを1つずつ探して更新するのが、この節の作業です。
Search Consoleの登録とサイトマップ
Search Consoleに「URLプレフィックス」の形式でhttpのサイトを登録している場合、httpsのデータは別の登録として扱われます。httpsのプロパティを追加し、サイトマップを送信し直してください。ドメイン単位で登録する「ドメイン」の形式なら、httpとhttpsはまとめて集計されます。
なお、Search Consoleにある「アドレス変更ツール」は、ドメインそのものを移すときの機能です。httpからhttpsへの切り替えでは使いません。
canonicalタグとサイトマップの中のURL
各ページのcanonicalタグや、サイトマップのファイルに書かれたURLがhttpのままだと、転送先と矛盾する指示を検索エンジンに出すことになります。WordPressのSEO用プラグインを使っていれば多くは自動で切り替わりますが、テーマに直接書き込んだ指定は残りがちです。確認の手順はcanonicalタグの解説記事にまとめています。
広告・SNS・印刷物に載せたURL
リスティング広告のリンク先、SNSのプロフィール、Googleビジネスプロフィール、メールの署名、名刺やパンフレット。いずれも転送があれば表示はされますが、転送を1回挟むぶん表示が遅くなり、広告では計測のずれにもつながります。変更できるものは、切り替えた日のうちにhttpsへ書き換えると後から探す手間が減ります。
証明書の自動更新
とりわけ見落とされがちなのが、証明書の更新です。証明書には有効期間があり、期限が切れるとサイト全体に警告が出て、ほとんどの人はページを閉じてしまいます。
証明書の有効期間の上限は、業界団体CA/Browserフォーラムの決定により、2026年3月から200日、2027年3月から100日、2029年3月から47日へと段階的に短くなります。年に1回、担当者が手作業で更新する運用は成り立たなくなっていきます。
この決定には、Google、Apple、Microsoft、Mozillaのブラウザ各社も賛成しています。
レンタルサーバーの無料証明書は、多くの場合サーバー側で自動更新されます。確認すべきは、自社の証明書が自動で更新される設定になっているかという一点です。有料の証明書を手作業で入れている場合や、制作会社が管理している場合は、更新を誰が担うのかを今のうちに決めておきましょう。
httpsへ切り替えた後、検索からの流入が元に戻ったか確かめられていますか
転送の漏れやcanonicalの食い違いは、画面を見ているだけでは気づけず、数週間後に表示回数の減少として表れます。弊社はサイトの技術的な課題の洗い出しから検索対策の実行までをお引き受けしています。切り替え前後のSearch Consoleの数字をお見せいただければ、確認すべき箇所から整理します。
SSL化できたかを確かめる方法
作業を終えたら、閲覧者と同じ立場でサイトを開いて確かめます。パソコンとスマートフォンの両方で、次の項目を見てください。
- 「https://」で始まるURLで、トップページと下層ページが警告なしに開く
- 「http://」で始まるURLを入力すると、同じページのhttps版に転送される
- 問い合わせフォームの送信完了まで、警告が出ずに進める
- 画像やボタンが崩れず、アドレスバーに警告の表示が出ない
- Search Consoleのhttpsのプロパティにデータが入り始めている
特に確かめてほしいのは問い合わせフォームです。フォームの送信先のURLにhttpが残っていると、ページは開けても送信の段階で警告が出ます。問い合わせが止まっていても気づきにくい箇所なので、実際に一度送信してみるのが確実でしょう。
SSL化についてよくある質問
SSL化を検討している担当者からよく寄せられる質問に、短くお答えします。
転送を正しく設定すれば、大きく下がることは多くありません。検索エンジンが新しいURLを読み直すまでの間、順位や表示回数が揺れることはあります。下がったまま戻らない場合は、転送やcanonicalの設定漏れを疑ってください。
レンタルサーバーを使っていればできます。証明書の設定と転送の記述までは、管理画面と.htaccessの操作で完結します。サーバーの契約情報が手元にない場合は、先に管理者を確認してください。
サイトを開いた人のブラウザに、接続が安全でないという警告が全面に表示されます。閲覧者が先に進むには警告を自分で無視する操作が必要になり、多くの人はそこで離れてしまいます。
レンタルサーバーの無料証明書を使えば、証明書の費用はかかりません。有料の証明書は種類によって年数千円から十数万円程度まで幅があります。制作会社に作業を頼む場合は、作業費が別にかかります。
あります。httpとhttps、wwwありとなしの組み合わせで同じページに4通りのURLが存在しうるため、1つに決めて残りを転送します。
まとめ｜SSL化は証明書より「URLの引っ越し」
SSL化は、ホームページの通信を暗号化し、URLをhttpからhttpsに変える設定です。レンタルサーバーを使っていれば、無料の証明書を管理画面から設定するところまでは短時間で終わります。企業のホームページなら、多くの場合は無料の証明書で足りるでしょう。
そのうえで、切り替えが終わったかどうかは鍵マークでは判断できません。転送、Search Consoleの登録、広告やSNSに載せたURL、証明書の自動更新まで済ませて、はじめてhttpからの引っ越しが完了します。まずは自社のサイトがどこに置かれているかを確かめ、作業を自社で行うか、管理者に依頼するかを決めてください。
私たち合同会社Writers-hubは、企業のホームページやオウンドメディアの制作と、公開後の検索対策をお引き受けしています。SSL化の切り替えをきっかけに、サイト全体の状態を見直したいというご相談もお受けしています。
SSL化を自社で進めるか、管理者に頼むかで迷っていませんか
サーバーの契約先や、サイトを誰が管理しているかが分かれば、必要な作業と依頼の範囲ははっきりします。今のサイトの状況をお聞きしたうえで、切り替えの進め方と、あわせて見直したい箇所をお伝えします。
