SSL (https)

SSLとTLS、httpsは同じ意味？

ほぼ同じ意味で使われています。SSLは以前の技術の名前で、今実際に使われているのはその次の世代のTLSですが、なじみのあるSSLという名前が今も使われ続けています。

httpsは、ホームページのアドレスの方式（http）にこの暗号化を加えたものです。ホームページに「SSL証明書」を入れると、アドレスがhttpsで開くようになります。

証明書は暗号化の鍵であると同時に、「このアドレスの持ち主で間違いない」という確認の印でもあります。お客様のブラウザは証明書を見てアドレスが本物かを確認してから、暗号化された接続を作ります。

そのため、制作会社が「SSL適用」「TLS設定」「https化」と言ったら、ほとんどは同じ作業を指していると考えてかまいません。オーナー様が確認すべきなのは技術の名前ではなく、お客様がアドレスを開いたときにhttpsで警告なく開くかどうかです。

SSL証明書の無料と有料は何が違う？

暗号化の強さは、無料でも有料でも同じです。違いは発行するときに「どこまで確認するか」です。無料の証明書はアドレスの持ち主かどうかだけを自動で確認し、高い証明書は会社が実在するかまで書類で確認します。

以前は会社の確認まで受けた証明書を使うと、アドレスバーに会社名が緑色で大きく表示されることもありましたが、今の主要なブラウザはそうした特別な表示をほぼ廃止しています。そのため、地元のお店や一般的なショッピングモールは、無料の証明書で十分な場合がほとんどです。

代表的な無料証明書の発行機関がLet’s Encryptです。多くのホスティング会社やデプロイプラットフォームが、こうした無料証明書を自動で入れて更新してくれます。

有料の証明書を検討する価値があるのは、取引先や入札書類で特定の証明書を求められたときくらいです。そうした要求がなければ、高い証明書より自動更新が確実に行われているかのほうが、お客様の体験にとってずっと重要です。

SSL証明書の有効期間はどのくらい？なぜ期限が切れるの？

証明書は数か月から1年未満の期間しか使えず、期間は短くなる傾向にあります。万一鍵が漏れても被害の期間を短くするため、あえて短く設定されているのです。

たとえばLet’s Encryptは現在90日間の証明書を発行しており、2027年2月からは64日、2028年2月からは45日に短縮する計画を発表しています。人が毎回手作業で更新するのは難しい周期なので、自動更新が事実上必須です。

そのため、「証明書を買ったか」より「自動で更新されているか」を確認することが大切です。自動更新が何らかの理由で止まると、有効期限の翌日には、お客様の画面にすぐ警告が表示されます。

自動更新はふつうホスティングやデプロイプラットフォームが自動で行いますが、ドメインの接続設定を変えたり会社を移ったりした後は、更新が静かに止まることもあります。大きな変更をした後は、証明書の有効期限が新しく延びているか一度確認しておくと安心です。

SSLがあればハッキングも防げる？

いいえ、SSLが守るのはお客様とホームページの間を「行き来する道」だけです。お客様がお問い合わせフォームに書いた名前や電話番号が途中でのぞかれたり書き換えられたりしないようにする仕組みで、ホームページのサーバーや管理者アカウントそのものを守るものではありません。

そのため、httpsのホームページでも、管理者パスワードが漏れたり、古いプログラムの弱点がそのまま残っていたりすれば、ハッキングされることがあります。サーバーと管理画面のセキュリティは、アップデート、パスワード管理、バックアップで別に対策する必要があります。

お客様の立場でも、「httpsなら必ず信頼できるサイト」というわけではありません。偽サイトも無料の証明書を取得できるので、アドレスが正確かどうかもあわせて見ることが大切です。お店から決済リンクや予約リンクをSMSで送るときに、いつも同じ代表アドレスを使えば、お客様が迷いません。

httpのホームページをhttpsに切り替えるには？

証明書を入れるだけでは終わらず、以前のhttpのアドレスから来るお客様と検索エンジンを、httpsへ自然に移す整理まで必要です。この整理を忘れると、同じページが2つのアドレスに分かれて見えたり、警告が混ざって表示されたりします。

正しく移せば、これまでの検索表示もほとんど引き継げます。Googleは、同じ内容がhttpとhttpsの両方で開く場合、ふつうhttpsのアドレスを代表として選ぶと案内しているので、301の転送さえ漏れなく設定しておけば、検索結果も自然にhttpsのアドレスへ移ります。

1. 01ホスティング会社や制作会社に、証明書の発行と自動更新の設定を依頼します。
2. 02代表アドレスとwwwのアドレスが、どちらもhttpsで開くか確認します。
3. 03httpで入ってきたらhttpsへ自動転送（301リダイレクト）されるようにします。
4. 04ページ内の写真・動画・リンクのアドレスもhttpsに変えます。1つでもhttpのまま残ると「混合コンテンツ」の警告が出ます。
5. 05Google Search ConsoleとNaver Search Advisorに登録されたサイトのアドレスがhttpsになっているか確認します。
6. 06名刺のQR・広告・SNSプロフィールのリンクをhttpsのアドレスに変えます。

「保護されていない通信」の警告が出るのはなぜ？

ほとんどは、証明書の期限が切れているとき、証明書に書かれたアドレスと実際のアドレスが違うとき、ページ内にhttpで読み込むファイルが混ざっているときに表示されます。お客様の端末の日付と時刻がずれていても、似たような警告が出ることがあります。

ブラウザによって表示も違います。たとえばChromeは安全なアドレスでも鍵マークではなく別の形のアイコンを表示することがあるので、鍵マークが見えないからといってすぐに問題があるわけではありません。確実なのは、アドレスがhttpsで始まり、警告の文言が出ていないかを見ることです。

警告を見つけたら、どのアドレスで、どの端末で、どんな文言が出たかをスクリーンショットして制作会社に送ってください。証明書の期限切れのような緊急の問題なら、お客様が予約やお問い合わせをできなくなっているかもしれないので、すぐに知らせるのがおすすめです。

• 証明書はwwwのアドレスと代表アドレスの両方をカバーしていますか？
• 自動更新はオンになっていて、失敗したら誰が通知を受け取りますか？
• ページ内にhttpで読み込む写真やファイルはありませんか？