「保護されていない通信」と出る原因と直し方、放置したときの影響

「保護されていない通信」とはどういう表示か

Google Chrome のヘルプでは、「保護されていない通信」は、サイトが非公開の接続を使っていないときに出る表示だと説明されています。サイトとの間でやり取りする情報を、第三者に見られたり書き換えられたりするおそれがある状態です(Google Chrome ヘルプ「サイトの接続が安全かどうかを確認する」)。この記事では Chrome の表示を例に説明します。

Chrome は、HTTPS で表示されていないページに「保護されていません」と示す方針を、段階を追って進めてきました(Google 検索セントラル ブログ「HTTP ページに『保護されていません』と表示されるようになります」)。以前は何も表示されていなかったホームページに、ある時から表示が出るようになった、という声があるのはこのためです。

ホームページのSSLとHTTPSの関係

アドレスが http:// で始まるページは、暗号化されずに届きます。https:// で始まるページは、暗号化されて届きます。この暗号化に使うのがSSL証明書です。正確にはTLSという仕組みの証明書ですが、今も一般にSSLと呼ばれています。

ホームページを https で表示するには、ホームページを置いているサーバーにSSL証明書を設定する必要があります。よく聞く「SSL化」や「常時SSL化」は、サイト全体を https で表示できるようにして、http で来たアクセスも https へ案内する状態にすることを指します。

見ている側はどうすればよいか

ほかの人のホームページで表示が出ている場合、ページを読むだけで、すぐに何かの被害が出るとは限りません。ただ、やり取りする情報が保護されていない状態なので、パスワード、カード番号、住所や電話番号などの大切な情報は入力しないでください。赤い「危険」の表示が出ているサイトは、利用を控えるのが安全です。どうしても連絡したいお店なら、電話など別の方法を使う手もあります。

ホームページに「保護されていない通信」と出る主な原因

自分のホームページに表示が出る原因は、ほとんどが次の5つのどれかです。複数が重なっていることもあります。

混在コンテンツとは、https で開いたページが、http で画像やスクリプトなどを読み込んでいる状態のことです。MDN の解説では、画像などはブラウザが自動で https に切り替えて読み込もうとする一方、スクリプトやスタイルシートなどは読み込みが止められると説明されています(MDN「混在コンテンツ」)。表示が崩れる、ボタンが動かないといった不具合として現れることもあります。

SSL証明書には有効期限がある

SSL証明書は一度設定すれば終わりではなく、有効期限があります。無料の証明書を発行している Let's Encrypt の証明書は有効期限が90日で、60日ごとに自動で更新するよう勧められています(Let's Encrypt よくある質問)。主なレンタルサーバーでは自動で更新される仕組みが用意されていますが、ドメインの向き先を別のサーバーに変えたときなどに更新が止まることがあります。

さらに、ブラウザの会社と認証局でつくる業界団体 CA/Browser Forum では、証明書の最長の有効期間を段階的に短くし、最終的に47日にすることが決まっています(CA/Browser Forum「Ballot SC081v3」)。手作業で更新している場合は追いつかなくなっていくので、自動更新が動いているかを確かめておくことが大切です。

「保護されていない通信」の原因を自分で確かめる方法

専門の道具がなくても、ブラウザだけで原因の見当はつけられます。パソコンの Chrome で、次の順に試してください。

1. 自分のホームページを開き、アドレスバーの左のアイコンを押して、出てくる表示を確かめる
2. アドレスの頭を https:// に書き換えて開き直し、普通に開けるか、警告が出るかを見る
3. http:// のアドレスで開いたときに、自動で https:// に切り替わるかを見る
4. www ありと www なしの両方のアドレスで、2と3を試す
5. https で開けるのに表示が出るページがあれば、ページの上で右クリックして「検証」を選び、開いた画面のコンソールに混在コンテンツの警告がないかを見る
6. アドレスバーの左のアイコンから証明書の情報を開き、有効期限と、対象のドメインを確かめる
7. スマホの回線など、別の端末や別の回線でも同じ表示になるかを確かめる

Google Search Console を使っているなら、HTTPS レポートも手がかりになります。インデックスに登録されたページのうち http と https がそれぞれどれだけあるかや、証明書が無効、サイトマップが http のアドレスを指している、といった問題が表示されます(Search Console ヘルプ「HTTPS レポート」)。登録の仕方はサーチコンソールの使い方で説明しています。

直す手順の全体像と順番

原因の見当がついたら、次の順番で直します。順番を飛ばすと、表示が消えない、かえってページが開けなくなる、といったことが起こります。

1. 作業の前に、ホームページのファイルとデータベースのバックアップを取る
2. サーバーの管理画面でSSL証明書を有効にする(期限切れなら更新か設定のし直し)
3. 反映を待ち、https:// で全部のページが開けるかを確かめる
4. http:// へのアクセスを https:// へ転送する(301リダイレクト)
5. サイトの中のリンクや画像のアドレスを https:// にそろえる
6. 混在コンテンツが残っていないかを、主なページで確かめる
7. canonical、サイトマップ、Search Console、アクセス解析の登録を https に合わせる
8. 証明書の自動更新が有効か、期限やエラーの通知メールがどこに届くかを確かめる

Google の検索セントラルでは、http から https への切り替えはURLの変わるサイトの移転として扱われています。技術的にできるならサーバー側の恒久的なリダイレクト(301など)を使うことが勧められ、301などの恒久的なリダイレクトで PageRank が失われることはないとされています。同じドメインで http から https に移る場合は、アドレス変更ツールは要りません。移転先の各ページの canonical を自分自身に向け、サイトマップを新しいアドレスで更新することも求められています(Google 検索セントラル「サイトを移転する方法」)。

ホームページのSSL設定はサーバーや作成サービスごとに違う

どこで何を操作するかは、ホームページをどこに置いているかで決まります。主なレンタルサーバーと作成サービスの公式マニュアルに書かれている内容をまとめると、次のようになります。

出典: エックスサーバー「無料独自SSL設定」、エックスサーバー「Webサイトの常時SSL化」、さくらのサポート情報「無料SSL(Let’s Encrypt)を設定したい」、ロリポップ!「独自SSLについて」、Wix ヘルプセンター「About HTTPS and SSL」、Wix ヘルプセンター「Troubleshooting Your SSL Certificate」。画面の名前や手順は変わることがあるので、作業の前に、使っているサーバーの最新のマニュアルを確かめてください。ここにないサーバーでも、「SSLを有効にする」と「https へ転送する」の2つの設定を探すのが基本です。

WordPress で作っている場合

WordPress では、サーバー側の設定に加えて、管理画面の「設定」から「一般」を開き、「WordPress アドレス (URL)」と「サイトアドレス (URL)」を https:// で始まるアドレスに変えます(エックスサーバーの常時SSL化のマニュアルにも手順があります)。ここを書き間違えると管理画面に入れなくなることがあるので、バックアップを取ってから、1文字ずつ確かめて保存してください。記事の中の画像が http のアドレスのまま残っていると混在コンテンツになるので、変えた後に主な記事を開いて確かめます。

制作会社にサーバーを管理してもらっている場合

サーバーの管理画面に入れない場合は、自分では直せません。まずは作った会社に連絡し、ドメインとサーバーの契約の名義が誰になっているかも合わせて確かめてください。連絡が取れない場合の進め方はホームページの制作会社と連絡が取れないときにまとめています。

「保護されていない通信」を放置したときの影響

表示が出ていても、ページそのものは見られるので、後回しにされがちです。けれども、放置するほど次のような影響が出やすくなります。

• 見た人が不安になり、問い合わせや予約をためらう(フォームに名前や電話番号を入れる場面ほど気になる)
• 入力された内容が、通信の途中で第三者に見られたり書き換えられたりするおそれがある
• Chrome の「常に安全な接続を使用する」がオンの人には、HTTPS でないサイトを開く前に警告が出る
• 証明書の期限が切れている場合は、ページ全体の警告でホームページそのものが見られなくなる

3つ目の設定について、Google は、Chrome のバージョン154から、公開されているサイトを対象に「常に安全な接続を使用する」を既定でオンにする計画を発表しています。そうなると、HTTPS でない公開サイトに初めてアクセスする前に、続けて開くかどうかを確かめる画面が出るようになります(Google「HTTPS by default」)。これまで小さな表示で済んでいたものが、ホームページを見る前の確認画面に変わるということです。

検索への影響も気になるところです。Google は、ページの体験を見直すための問いの1つに「ページは安全な方法で配信されていますか」を挙げています。一方で、ページの体験は1つの指標で決まるものではなく、良い結果が出ても上位に表示されるとは限らないとも説明しています(Google 検索セントラル「ページ エクスペリエンスと Google 検索結果への影響」)。https にしただけで順位が上がるわけではありませんが、見る人が安心して使えるようにすることは、見つけてもらった後の前提になります。

「保護されていない通信」を自分で直せないときの頼み方

管理画面に入れない、設定を触るのが不安、直したはずなのに消えない。そういうときは人に頼むのが早道です。頼む先は、まず作った会社、次にホームページの更新代行や保守を引き受けている会社やフリーランスです。どこに頼む場合も、次の情報をまとめておくと話が早く進みます。

• 作業の範囲: 証明書の設定だけか、転送や混在コンテンツの修正、Search Console の設定まで含むか
• 費用の形: 1回きりの作業か、月々の保守に含まれるか
• その後の管理: 証明書の自動更新や期限を見てもらえるか
• ログイン情報の渡し方: メールの本文にパスワードを書かず、依頼先が決めた方法で渡せるか

一度直しても、管理する人がいなければ、期限切れやドメインの更新漏れで同じことが起こります。直すのと合わせて、公開後の更新や保守を誰が受け持つのかを決めておくと安心です。頼む先の見極め方はホームページ制作会社の選び方に、作り直しも考える場合の費用はホームページのリニューアル費用にまとめています。

同じ表示を出さないための管理のしかた

表示が消えたら、次は同じことを起こさない仕組みを作ります。次の項目を、年に数回でよいので確かめてください。

更新と保守のどこまでを自分でやり、どこから任せるかの線引きはホームページの更新と保守の方法で説明しています。ドメインの仕組みはホームページのドメインの基本、管理にかかるお金はホームページの維持費、管理画面に入れず更新できない場合はホームページを更新できない原因と直し方にまとめています。

表示が出たときに最初にやること

最後に、表示に気づいたときの動き方を短くまとめます。

1. 別の端末や回線でも同じ表示かを確かめ、自分の端末だけの問題でないかを見る
2. https:// で開けるかを試し、原因の見当をつける
3. サーバーや作成サービスの管理画面に入れるかを確かめる
4. 入れるなら、SSLの設定と https への転送を見直す。入れないなら、作った会社か保守の依頼先に相談する

証明書の期限切れでページ全体に警告が出ている場合は、見た人がホームページに入れない状態なので、ほかの作業より先に手を付けてください。アドレスバーの表示だけなら、この記事の順番で落ち着いて進めれば、自分で直せることもあります。

uparia の月額プラン(制作費0円・月額2,980円から・最低契約期間12か月)には、独自ドメイン、サーバー、SSL、保守が含まれます。買い切りで作ったサイトやほかの会社で作ったホームページは、月額保守(月5,000円、最低契約期間なし)で、SSLの更新と障害への対応、ドメインとサーバーの管理をお受けします。引き継ぎもホームページの更新代行と保守からご相談いただけます。