「保護されていない通信」と出るホームページの直し方。SSL化の手順を中小企業向けに解説

自社のホームページを開いたとき、アドレスバーに「保護されていない通信」や「安全ではありません」と出ていないでしょうか。多くの場合、これはSSL化（https化）がされていないサイトに、ChromeやSafariが表示する警告です。中小企業のサイトでは、いまも珍しくありません。特に、数年前に制作したまま更新が止まっているサイトで目にすることが多い印象です。

この記事では、SSL化とは何か、自社サイトがどの状態かを確認する方法、直すための作業の順番、そしてよくある失敗をまとめました。技術に詳しくない方が「自分でできるか」「誰に頼めばいいか」を判断できることを目指しています。

SSL化（https化）とは

SSL化とは、サイトとそれを見る人の間の通信を暗号化することです。SSL化されたサイトのアドレスは「https://」で始まります。されていないサイトは「http://」のままで、ブラウザが警告を表示します。

ひとつ注意があります。https化は「通信が暗号化されている」ことを示すもので、サイトの運営者や内容が信頼できることまで保証するものではありません。ただ、暗号化されていないサイトは、次の3つの点で不利になります。

• 信用：警告が出ているだけで、初めて見た人は不安になります。問い合わせフォームに名前や電話番号を入れるのをためらう人もいます
• 安全：httpのページの通信は、途中で盗み見や改ざんを受ける可能性があります。問い合わせフォームなど、個人情報を入力してもらうページでは特に問題です
• 検索・運用：Googleはhttpsを検索順位の要素のひとつとしていますが、公表当時から「非常に軽い要素」と説明しています。順位が上がるというより、https化はいまのサイト運用の前提であり、未対応だと安全性や利用体験、検索での扱いに支障が出る、と考えるのが正確です

まず、自社サイトの状態を確認する

確認は1分でできます。以前は「鍵マークがあれば安全」と言われていましたが、Chromeは2023年のバージョン117で鍵マークをやめ、設定アイコン（調整つまみの形）に変わりました。鍵マークの有無では判断できないので、次の2点を見ます。

1. スマートフォンかパソコンで自社サイトを開き、アドレスの先頭を見る。「https://」ならSSL化済み。「http://」なら未対応です（アドレスバーに「http://」が省略されて表示される場合は、アドレスをタップまたはクリックすると全体が見えます）
2. 「保護されていない通信」「安全ではありません」「この接続ではプライバシーが保護されません」といった警告が出ていないか見る

警告が出る原因はhttpのままであることが大半ですが、それだけではありません。証明書の期限切れや設定の誤り、古い暗号化方式（TLS）を使っている場合にも警告が出ます。「警告＝SSL化していない」と決めつけず、httpのままか、証明書や設定に問題があるか、のどちらかだと考えてください。どちらかは、後述の手順の中で分かります。

SSL化に必要なもの

必要なのは「SSL証明書」と「サイト側の設定変更」の2つです。

証明書は、以前は年に数万円かかりましたが、現在は主要なレンタルサーバーが無料の証明書（Let’s Encrypt など）を用意しています。Xserver、さくらのレンタルサーバ、ロリポップ、ConoHa WING などはいずれも管理画面から無料で設定できます。複数のドメインやサブドメインをまとめる証明書（ワイルドカード証明書など）も、サーバーによっては無料で使えます。有料の証明書は、企業認証やEV認証、サイトシール、サポートなどが必要な場合に選ばれます。

無料の証明書は有効期間が短く、サーバー側で自動更新する前提です（Let’s Encrypt は現在90日で、今後さらに短くなる予定が公表されています）。自動更新が止まると期限切れの警告が出るので、「更新はサーバーに任せ、たまに状態を確認する」と覚えておいてください。

自社サイトがどのサーバーで動いているか分からない場合は、サーバー会社からの請求メールや、制作会社との契約書を探してください。分からなければ、ドメイン名から調べる方法もあります（無料相談で確認できます）。

SSL化の作業の順番

作業は次の順番で進めます。順番を守らないと、サイトが一時的に開けなくなったり、警告が残ったりします。

0. 準備：バックアップと復旧の手段を確かめる

始める前に、サイトのファイルとデータベースのバックアップを取り、「失敗したら元に戻せる」状態にします。サーバーの管理画面とWordPressの管理画面に入れることも確認してください。ここが揃っていない場合は、この先の作業を自分で行わないでください。

1. サーバーでSSL証明書を有効にする

レンタルサーバーの管理画面で、対象ドメインの「SSL設定」を開き、無料の独自SSLを有効にします。反映まで数分から1時間程度かかります。Xserverの場合は、サーバーパネルの「SSL設定」で対象ドメインを選び、「独自SSL設定追加」から有効にします（詳しい画面は記事末の参考リンクにあるエックスサーバーのマニュアルをご覧ください）。

2. 「https://」で直接開けるか確認する

アドレスバーに「https://自社ドメイン」と入力して開きます。警告なく表示されれば証明書は有効です。この時点では、まだサイト内のリンクや設定は「http://」のままで構いません。

3. WordPressのアドレス設定をhttpsに変える

「設定」→「一般」の「WordPressアドレス」と「サイトアドレス」の2か所を「http://」から「https://」に書き換えます。ここを変えるとログインし直しになります。手順2で開けることを確認する前に変えると、管理画面に入れなくなることがあるので、順番を守ってください。

4. サイト内の「http://」を「https://」に置き換える

画像やリンクのアドレスがサイト内に「http://」で残っていると、暗号化されていない要素が混ざる「混在コンテンツ」という状態になります。混在コンテンツが残ると、ブラウザの警告だけでなく、画像が表示されない、フォームやJavaScriptが動かないといった不具合が起きることがあります（現在のブラウザは、http の画像を https に自動で読み替えたり、スクリプトの読み込みを止めたりします）。データベース内の自社ドメインのアドレスを一括で置き換えます。

• WordPressのプラグインなら「Better Search Replace」が、データベースの置換に使えます。必ず先に「ドライラン（試し実行）」で件数を確認してから本実行します
• 技術者に頼む場合は、WordPress公式のコマンドラインツール（WP-CLI）の検索置換が、ドライランと特殊な形式のデータの両方に対応しています
• 「Really Simple Security」（旧 Really Simple SSL）は、置換ツールではなく、リダイレクトや混在コンテンツを表示時に補正する役割のプラグインです。置換の代わりにはなりませんが、手順4の後に残った警告への対処として使えます

5. httpからhttpsへ転送する（301または308リダイレクト）

古いアドレスでアクセスしてもhttpsに切り替わるように、転送を設定します。設定できる場所は、サーバーの管理画面、CDN、WordPress（プラグイン）などいくつかあります。初めての場合は、原則として一か所にまとめてください。複数の場所で設定する場合は、条件が競合していないかを確認します。設定が衝突すると、転送が繰り返されてサイトが開けなくなることがあります。たとえばConoHa WINGはSSL設定時に自動で転送されるため、追加で設定するとループすることが案内されています。Apacheのサーバーでは .htaccess に書く方法もありますが、サーバーの種類によって書く場所が違うので、まずはサーバーの管理画面に転送の設定があるかを確認してください。

転送ができているかは、ブラウザで「http://」を入力して試す方法では確認できません。ブラウザ側が自動でhttpsに切り替える仕組みがあるためです。HTTPステータスを確認できるリダイレクト確認サービスを使うか、制作会社・サーバー会社に「httpへのアクセスが301または308を返しているか」を確認してもらってください。技術者向けの補足として、ターミナルで curl -I http://自社ドメイン を実行すると、返ってきたステータスと転送先を直接確認できます。

6. 混在コンテンツ・canonical・サイトマップを確認する

主要なページを開き、警告が残っていないか確認します。残っていれば、テーマやウィジェットに直接書かれた「http://」が原因のことが多いので、開発者ツールで対象を特定して直します。あわせて、各ページのcanonical（正規URL）とXMLサイトマップがhttpsになっているかを確認します。多くのSEOプラグインは自動で切り替わりますが、手動で設定していた場合は残ります。

7. 外部サービスの登録を更新する

• Search Console：ドメインプロパティで登録している場合はそのままで問題ありません。URLプレフィックス型（https://〜/ で登録するもの）だけの場合は、https版のプロパティを追加します。どちらの場合も、https版のサイトマップを送信します
• Googleアナリティクス（GA4）：ウェブデータストリームの「ウェブサイトのURL」をhttpsに更新します
• Googleビジネスプロフィール、SNSのプロフィール、広告のリンク先、名刺やパンフレットのQRコードのURLを確認します

8. 自動更新と転送を監視する

公開後は、証明書の自動更新が動いていること、転送が効いていること、Search Consoleのインデックス状況に問題が出ていないことを、月に一度は確認します。

よくある失敗

• 警告が消えない：混在コンテンツが残っています。開発者ツールのコンソールに出る警告から、残っている「http://」を特定して置き換えます。テーマやウィジェットに直接書かれたアドレスは、プラグインの一括置換では直らないことがあります
• 転送が繰り返されて開けない：転送の設定が競合しています。サーバー・CDN・WordPressのどこで設定しているかを確認し、原則として一か所にまとめます
• 証明書の期限切れ：自動更新が止まっています。ドメインの設定を変えた後などに起きやすく、「証明書が無効です」と出たら、サーバーの管理画面で状態を確認します
• 管理画面に入れなくなった：手順2の確認をせずに手順3を進めた場合に起きます。サーバーの管理画面からアドレス設定を戻すか、専門家に相談してください
• 古いサーバーで無料SSLが使えない：契約が古いプランだと対応していない場合があります。プラン変更かサーバー移転が必要になります

相談を受ける中で多いのは、「転送の設定がサーバーとプラグインの両方に入っていて、どちらが効いているのか分からなくなっている」ケースと、「テーマに直接書かれた画像のアドレスが http のまま残り、警告が消えない」ケースです。どちらも、設定している場所を一か所ずつ確かめれば解決します。

自分でやるか、頼むか

小規模なサイトで、バックアップと復旧の手段があり、サーバーとWordPressの管理画面に入れる方であれば、自分で進めることもできます。ただし、証明書とアドレス設定を変えただけでは移行は終わりません。内部のアドレス、転送、キャッシュ、canonical、サイトマップまで揃って完了です。

次のどれかに当てはまる場合は、専門家に頼むほうが安全です。

• バックアップの取り方や戻し方が分からない
• サーバーやWordPressの管理画面のログイン情報が分からない
• 作ってくれた制作会社と連絡が取れない
• ページ数や画像が多い、または他のシステムと連携している
• 古いサーバーで無料SSLが使えない

「制作会社と連絡が取れない」場合のサイトの引き継ぎについては、近く別の記事にまとめます。それまではサービス（保守・運用）のページをご覧ください。

まとめ

• 「保護されていない通信」は、httpのままか、証明書・設定に問題がある印。信用・安全・運用の3つで不利になる
• 確認はアドレスが「https://」で始まっているかと、警告の有無を見る。鍵マークの有無では判断しない
• 主要なサーバーなら証明書は無料で、サーバー側が自動更新する。手順は「準備」「証明書」「httpsで表示確認」「WordPressのアドレス」「内部の置換」「一か所での転送」「確認」「外部サービスの更新」「監視」の順
• 転送の確認はブラウザで「http://」を試すのではなく、サーバーが301か308を返しているかを見る
• バックアップと管理画面へのアクセスが揃っていない場合は、無理に自分でやらない

自社サイトの状態が分からない方は、お問い合わせフォームか公式LINEからURLを送っていただければ確認します。無料相談では、警告の原因がどこにあるか、自分で進められる範囲かどうかをお伝えします。

参考にした公式情報

• Chrome の鍵アイコン廃止について（Chromium Blog、英語）
• 混在コンテンツ（MDN Web Docs）
• HTTPS をランキング シグナルに使用します（Google 検索セントラル）
• URL の変更を伴うサイト移転（Google 検索セントラル）
• Search Console にプロパティを追加する（Google ヘルプ）
• GA4 のデータストリームを編集する（Google ヘルプ）
• wp search-replace（WP-CLI 公式、英語）
• Let’s Encrypt ドキュメント
• 無料独自SSL設定（エックスサーバー マニュアル）
• SSL（ConoHa WING サポート）