SSL化とは？自分のサイトがSSL化できているかの確かめ方と、切り替えたあとに確かめること

SSL化とは：httpとhttpsの違い

ホームページのアドレスは、「http://」か「https://」で始まります。httpは、ブラウザとサイトのあいだでデータをやりとりするための決まりです。末尾に「s」が付いたhttpsでは、そのやりとりが暗号化されます。

暗号化されていないhttpの通信は、途中で第三者に読み取られるおそれがあります。Googleが運営するWeb制作者向けのサイトweb.devの記事「混合コンテンツとは」は、暗号化されていないhttpの通信は、途中で第三者に見られたり、書き換えられたりするおそれがあると説明しています。問い合わせフォームに入れた名前や電話番号も、httpのままなら暗号化されずに送られます。httpsなら通信が暗号化されるので、途中で傍受されても中身は読み取れません。この違いはブラウザにも表示され、httpのページを開くと、アドレスバーに「保護されていない通信」などの警告が出ます。

SSL化とは、サイトをhttpsで開けるようにし、httpのアドレスに来た人もhttpsのページへ移るようにすることです。「https化」とも呼ばれます。

httpsにするには、サーバーにSSLの証明書を入れて設定します。証明書は、通信を暗号化する設定に使う、期限つきの証明で、認証局と呼ばれる機関が発行します。証明書には、有料のものも無料のものもあります。たとえばLet’s Encryptは、自らのサイトで〈無料の TLS 証明書を提供する認証局〉と書いています。このブログの証明書も、Let’s Encryptが発行したものです。管理画面から無料の証明書を設定できるレンタルサーバーもあります。

Let’s Encryptの説明に出てくるTLSは、SSLのあとを継いだ仕組みの名前です。いま暗号化に使われているのはTLSですが、SSLという呼び方も広く残っていて、Let’s Encryptのサイトにも〈SSL/TLS 証明書〉という書き方があります。この記事でも、一般的な呼び方のSSL化と書きます。

「常時SSL化」という言い方もあります。問い合わせフォームなど一部のページだけでなく、サイトの全部のページをhttpsにすることです。この記事でも、SSL化はサイト全体をhttpsにすることを指します。

なぜSSL化するのか

SSL化する理由として挙げられるのは、主に3つです。訪れた人に警告が出ないこと、フォームに入れた情報が守られること、そして検索順位です。3つ目の順位は、何を根拠に言われているのかを、Googleの資料で確かめておきます。

1つ目は、ブラウザの警告です。httpのままのページを開くと、ブラウザが「保護されていない通信」などと表示します。初めて訪れた人がそれを見て、問い合わせをやめてしまうこともあります。警告はこれから強くなる方向です。Chromeのセキュリティチームは、2025年10月の発表「HTTPS by default」で、2026年10月のChrome 154から、httpsで開けない公開サイトに初めてアクセスする前に、利用者の許可を求める設定を標準でオンにする予定と書いています。

2つ目は、フォームに入れた情報です。問い合わせフォームに入れた名前やメールアドレス、電話番号は、httpのままだと暗号化されずに送られます。お客さんの情報を預かる入り口なので、ここは暗号化しておきたいところです。

3つ目は、検索順位です。先に答えを書くと、Googleの資料からは、httpsにしただけで順位が大きく変わるとは読み取れません。根拠になる資料は2つあります。

Googleは2014年に、httpsを検索順位の要素（ランキング シグナル）として使うと発表しました。発表の記事「ランキング シグナルとしての HTTPS」には、こう書かれています。

現在のところは、ウェブマスターが HTTPS に切り替えるための移行期間として、このシグナルのウェイトを非常に小さく設定しています（グローバル クエリの 1% 未満にしか影響せず、 高品質のコンテンツ など他のシグナルよりウェイトが小さい）。

同じ記事は、今後このウェイトを大きくする予定だとも書いています。ただ、これは2014年の発表で、いまの重みを示すものではありません。

いまのGoogleの資料「ページ エクスペリエンスが Google 検索の検索結果に与える影響について」は、ページ エクスペリエンス（ページの使いやすさ）を自分で見直すための問いに、〈ページは安全な方法で配信されていますか。〉を挙げています。そのうえで、よくある質問の答えとして〈Core Web Vitals 以外のページ エクスペリエンスの要素が検索結果でのランキング上昇に直接貢献することはありません。〉とも書いています。Core Web Vitalsは、ページの表示の速さなどを測る3つの目安です。安全に配信されているかは、見直すべきことの1つに挙げられていますが、それだけで順位が上がるとは書かれていません。

理由	httpのままだと	出どころ
ブラウザの警告	「保護されていない通信」などと表示される。Chrome 154から、開く前に許可を求める設定が標準でオンになる予定	ブラウザの表示／Chromeのセキュリティチームの発表（2025年10月）
フォームに入れた情報	名前や電話番号が、暗号化されずに送られる	web.dev「混合コンテンツとは」（httpの通信が見られたり書き換えられたりするおそれの説明）
検索順位	2014年の発表の時点で、重みは非常に小さいとされていた。いまの資料は、Core Web Vitals以外の要素はランキングの上昇に直接つながらないとしている	Googleの資料（2014年の発表／ページ エクスペリエンス）

私は、SSL化するかどうかを順位で決める必要はないと考えています。ブラウザの警告とフォームの暗号化だけで、する理由になるからです。順位が上がることを期待して頼むと、思ったほど変わらなかったときに、SSL化そのものが要らなかったように見えてしまいます。

自分のサイトがSSL化できているかを確かめる

SSL化できているかのうち、httpsで開けるかどうかは、サーバーの管理画面を開かなくても、ブラウザで外から確かめられます。自分で見るのは、次の3つです。トップページだけでなく、記事やお知らせのページでも見ます。

1つ目：アドレスが「https」で始まるか

自社のサイトを開き、アドレスバーを見ます。ブラウザによっては、アドレスバーを押すまで「https://」の部分が表示されません。アドレスバーを押して、アドレスの先頭を確かめます。

2つ目：警告が出ずに開けるか

アドレスバーに「保護されていない通信」と出ていれば、そのページはhttpで開いています。httpsのはずなのに、ページの代わりに警告の画面が出ることもあります。証明書の期限が切れているときなどです。証明書の期限の見方は、ホームページの管理の記事で解説しています。

関連記事ホームページの管理とは？やることと、最初に確かめる契約・名義・期限

3つ目：画像がすべて表示されるか

httpsで開いたページの中に、httpで読み込む画像などが混ざっていることがあります。web.devの記事「混合コンテンツとは」は、この状態をこう説明しています。

ページの最初の HTML が安全な HTTPS 接続で読み込まれるものの、他のリソース（ 画像、動画、スタイルシート、スクリプトなど）が安全でない HTTP 接続で読み込まれる場合、そのページには 混合コンテンツ が含まれます。

同じ記事は、いまはほとんどのブラウザが混合コンテンツを止めていると書いています。止められた画像は、ページに表示されません。そのため、警告ではなく、画像が欠けていることで気づく場合もあります。SSL化する前の記事では、画像のアドレスがhttpのまま残っていることがあるので、古い記事も開いてみます。ただし、同じ記事には、Chromeが画像のhttpを自動でhttpsに切り替えることがあるとも書かれています。その場合は、表示されていても、ページの中にはhttpのアドレスが残っています。

ブラウザでは確かめにくいこと：httpのアドレスからhttpsへ転送されているか

すでに公開しているサイトでは、httpのアドレスに来た人や検索エンジンを、httpsの同じページへ転送しておく必要があります（理由は第4章で書きます）。ところが、この転送はブラウザでは確かめにくくなっています。

アドレスを「http://」に書き換えて開けば、転送されているかが分かりそうに見えます。けれども、Chromeの開発チームは2023年8月のブログ「Towards HTTPS by default」で、http://のアドレスを開くときは、リンクにhttp://と書いてあっても、Chromeが自動でhttps://を試すと書いています。httpsでつながらないときだけ、http://に戻します。

つまり、サーバーが転送していなくても、httpsで開けるサイトなら、Chromeのアドレスバーには「https://」と出ることがあります。Chromeが切り替えているのは、Chromeで開いたときだけです。サーバーに転送が無ければ、httpのアドレスはhttpのページを返したままで、同じページが2つのアドレスで残ります。

転送されているかは、制作会社かサーバーの管理者に確かめてもらいます。頼むときは、「全部のページで、httpのアドレスが301でhttpsの同じページへ転送されているかを確かめてください」と伝えます。制作会社であれば、ブラウザを通さずに、サーバーの応答を直接見る道具で確かめられます。

すでに公開しているサイトのSSL化は「移転」になる

すでにhttpで公開しているサイトでは、なぜ全部のページの転送が要るのか。Googleの資料「サイトを移転する方法」を見ると分かります。この資料は、冒頭でこう書いています。

このドキュメントでは、Google 検索結果への悪影響を最小限に抑えながら、サイトの既存のページの URL を変更する方法について説明します。このサイト移転の例としては次のようなものがあります。

資料が扱っているのは、既存のページのURL（アドレス）を変えることです。httpsにすると、サイトの全部のページのアドレスが変わります。そのため、例の1つ目に〈HTTP から HTTPS への URL の変更〉が入っていて、ドメイン名の変更と並べられています。

だから、すでにhttpで公開しているサイトでは、証明書を入れて終わりにはなりません。やることは2つあります。

1つ目は、古いアドレスから新しいアドレスへ、ページごとに転送することです。httpの各ページを開いた人と検索エンジンを、httpsの同じページへ送ります。資料は、転送の方法について〈可能であれば永続的な HTTP リダイレクト（例: 301 、 308 ）を使用することをおすすめします〉と書いています。301は、「このページは、新しいアドレスへ恒久的に移った」と伝える転送です。資料は〈301 や その他の永続的なリダイレクト によって PageRank の損失が生じることはありません〉とも書いています。PageRankは、ほかのページから受けたリンクをもとにした評価のことです。

転送しないと、同じページがhttpとhttpsの2つのアドレスで残ります。同じ中身のページが別々のアドレスで開ける状態は、重複コンテンツの記事で、サイトの中で起きる重複の例として挙げています。重複を直す方法は転送のほかにもあり、それぞれをどんな場面で使うかは、そちらの表で比べています。

関連記事重複コンテンツは、書く前に防ぐ

2つ目は、ページの中のリンクと画像のアドレスを、httpsに直すことです。資料は〈内部リンクを更新する 。 新しいサイトの内部リンクを、元の URL から新しい URL に変更します〉と書いています。転送があれば古いリンクからも移れますが、ページの中のアドレスは新しいほうに直しておきます。画像のアドレスがhttpのまま残っていると、第3章の3つ目の混合コンテンツになります。

気をつけたいのは、転送がトップページにしか効いていない状態です。外からトップページを開くとhttpsに移るので、SSL化が済んでいるように見えます。ところが、記事のページは「http://」でも「https://」でも開け、2つのアドレスで残っています。

このブログも、この状態になっていました。2026年10月4日の朝、サーバーの応答を直接見る道具で測ると、トップページは「http://」で開くと「https://」へ移りましたが、記事や、このブログについてのページは「http://」のまま開きました。トップページが移っていたのは、WordPressが一部のアドレスにだけ出していた転送によるもので、サーバーの設定には、httpからhttpsへの全部のページの転送が書かれていませんでした。同じ日のうちに、サーバーの設定に転送を書き足しました。測り直すと、記事のページも、「www.」の付いたアドレスも、httpsの同じページへ301で移るようになっていました。

誰に何を頼むか

SSL化の作業のうち、自分でできるのは、第3章で紹介した3つの確認と、切り替えたあとの確認（第6章）です。第6章のSearch Consoleは、自社で使えるようにしてあれば自分で、使えなければ制作会社に頼みます。サーバーの設定が要る作業は、サーバーを管理している人か、サイトを作った制作会社に頼みます。

頼む作業は3つです。

1つ目は、証明書を入れることです。サーバーの管理画面で、無料の証明書を選んで設定できることもあります。手順はサーバーの会社によって違うので、利用している会社のマニュアルに沿って設定してもらいます。

2つ目は、全部のページを転送することです。第4章のとおり、トップページだけでなく、httpの各ページをhttpsの同じページへ転送してもらいます。終わったら、全部のページで301で転送されているかを、そのまま確かめてもらいます（第3章）。

3つ目は、ページ内のリンクや画像のアドレスを、httpからhttpsに変えることです。WordPressで作ったサイトなら、証明書を入れたあとで、管理画面の「設定」の「一般」にある「WordPress アドレス (URL)」と「サイトアドレス (URL)」をhttpsにします。そのうえで、記事の中に入れた画像のアドレスも直します。

どこに頼めばよいか分からないときは、先にサーバーの契約先を確かめます。契約先が分からないときに、請求書や契約書から書き出していくやり方は、ホームページの管理の記事で解説しています。

頼むときは、第3章で確かめた結果を渡します。「https」で開けなかったページのアドレスと、画像が欠けていたページのアドレスです。あわせて、「全部のページを、httpsの同じページへ転送してください」と、トップページだけではないことをはっきり伝えます。

作業	誰が	頼むときに渡すもの・伝えること
ブラウザで3つを確かめる（第3章）	自分	―
証明書を入れる	サーバーの管理者か制作会社	自社のサイトのアドレス
全部のページを転送し、301で転送されているかを確かめる	サーバーの管理者か制作会社	トップページだけでなく全部のページを、という一言
ページ内のリンクや画像のアドレスを直す	制作会社	画像が欠けていたページのアドレス
Search Consoleに登録し、確かめる（第6章）	自分（使えなければ制作会社）	―

切り替えたあとに確かめること

切り替えが終わったと連絡が来たら、確かめることがいくつかあります。

転送：全部のページで、301で転送されているか

第3章のとおり、ここはブラウザでは確かめにくいので、作業した制作会社かサーバーの管理者に確かめてもらいます。トップページのほかに、記事のページや、「www.」の付いたアドレスも入れてもらいます。

ブラウザで、第3章の3つをもう一度

トップページと記事のページ、画像の多いページを開きます。問い合わせフォームのページも、お客さんが情報を入れるページなので開いておきます。画像が表示されていても、ページの中にhttpのアドレスが残っていることはあるので、そこは転送と一緒に制作会社に確かめてもらいます。

Search Consoleに、httpsのサイトが登録されているか

Search Consoleは、自社のサイトがGoogle検索でどう扱われているかを確かめられる、Googleの無料のツールです。自社で誰が使えるかが分からなければ、先に制作会社か前の担当者に聞きます。ここから先の3つは、使える人が確かめるか、制作会社に頼みます。サイトの登録方法には、指定したアドレスで始まるURLを対象にする「URL プレフィックス」と、ドメイン全体を対象にする「ドメイン プロパティ」があります。Googleのヘルプ「ウェブサイトまたはプラットフォームのプロパティを Search Console に追加する」は、URL プレフィックスについて〈指定したプレフィックスで始まる URL のみが含まれます（http や https などのプロトコルも対象）〉と書いています。

つまり、「http://」で登録していたなら、そのままでは「https://」のページのデータは入りません。「https://」でも登録するか、ドメイン全体で登録します。ドメイン全体で登録すると、〈そのドメインとすべてのサブドメインおよびプロトコル（http / https）からデータが取得されます〉。

第4章の「サイトを移転する方法」は、移転したら〈Search Console で新しいサイトマップを送信します 。これにより、Google は新しい URL を認識できます。〉とも書いています。サイトマップは、サイトのページの一覧を検索エンジンに渡すファイルです。送り直しは、Search Consoleの「サイトマップ」の画面で、httpsのアドレスのサイトマップを送ります。サイトマップのアドレスが分からなければ、制作会社に聞きます。

HTTPSレポートで、安全なページを配信できているか

第2章の「ページ エクスペリエンス」の資料は、Search ConsoleのHTTPSレポートについて、〈安全な HTTPS ページを配信できているかどうかや、配信できていない場合は何を修正すべきかを把握できます。〉と書いています。切り替えたあとにレポートを開き、問題が出ていないかを見ます。

robots.txtやnoindexで、httpsのページのクロールや検索結果への掲載を制限していないか

robots.txtは、検索エンジンにサイトのどこを読んでよいかを伝えるファイルで、noindexは、そのページを検索結果に出さないよう伝える設定です。「サイトを移転する方法」は、URLの変更（HTTPからHTTPSへの変更を含む）でよくある誤りとして、この2つを挙げ、〈移転にのみ必要な noindex や robots.txt によるブロックは必ず削除してください。〉と書いています。制作会社には、移転の作業でrobots.txtやnoindexの制限を入れたか、入れたなら外したかを聞きます。自分でも確かめるなら、robots.txtで止められていないかを、Search Consoleのどこで確かめるかは、robots.txtの記事で解説しています。noindexが付いているページの確かめ方は、noindexとnofollowの違いの記事にあります。

関連記事robots.txtとは？作る前に、自分のサイトで開いて確かめること

切り替えた直後に、順位が動いたら

「サイトを移転する方法」は、〈なお、移転中は、検索でのコンテンツ掲載順位が一時的に変動することがあります。これは通常のことであり、サイトのランキングは時間の経過とともに安定します。〉と書いています。同じ資料は、中規模のサイトでは、古いURLの代わりに新しいURLが表示され始めるまでに〈数週間以上かかることがあります〉とも書いています。全部のページが301で転送されていて、上の確認にも問題がなければ、数週間は様子を見ます。それを過ぎても順位が戻らないときは、転送とこの章の確認を、制作会社ともう一度見直します。

確かめること	どこで	分かること
全部のページが301でhttpsに転送されているか	制作会社・サーバーの管理者に確かめてもらう	転送がトップページだけになっていないか
httpsで、警告が出ずに開けるか	ブラウザ（第3章の1つ目・2つ目）	httpのままのページや、証明書の問題がないか
画像がすべて表示されるか	ブラウザ（第3章の3つ目）	表示されない画像がないか（ページの中に残ったhttpのアドレスは、制作会社に確かめてもらう）
httpsのサイトが登録されているか	Search Consoleのプロパティ	httpsのページのデータが入るか
httpsのサイトマップを送ったか	Search Consoleのサイトマップ	送ったサイトマップをGoogleが読めているか
安全なページを配信できているか	Search ConsoleのHTTPSレポート	配信できていないページと、何を直すか
作業中の制限が残っていないか	Search Consoleのrobots.txt レポート・URL検査	robots.txtやnoindexで、httpsのページを止めていないか

ARROWSの高セキュリティWebサイト制作

SSL化が守るのは、ブラウザとサイトのあいだの通信です。サイトの守りには、もう1つ、だれがサイトのどこに入れるか、という面があります。ARROWSの高セキュリティWebサイト制作は、サイトをつくるときの構成を、この面から組み立てるサービスです。

この構成では、だれでも開けるのは公開しているサイトだけにします。記事やページを書く管理画面は公開しているサイトから切り離し、入れる人を決めて、二段階認証を必須にします。問い合わせフォームの中身は、サイトのデータベースには保存せず、担当者のメールに送ります（迷惑な送信の対策を加えた場合に、隔離した送信の控えを期間を決めて置くことを除きます）。公開したあとも、サイトに正常にアクセスできるかを毎月の保守で見守り、確認と対応の中身をお知らせします。

この構成は、外から攻撃される入口を減らすためのもので、すべての攻撃や被害を防げるとお約束するものではありません。サイトの外から見て分かる守りの設定を確かめて、診断書をメールでお送りする無料のセキュリティ診断も、サービスのページから申し込めます。

まとめ

すでに公開しているサイトのSSL化は、証明書を入れることより、全部のページがhttpからhttpsへ移ることのほうが大事です。Googleも、httpからhttpsへの切り替えを、サイトの移転の例に挙げています。そして、その転送が全部のページに効いているかは、ブラウザで開いただけでは確かめにくいところです。

まずは今日、自社のサイトをトップページと記事のページで開き、アドレスが「https」で始まり、警告が出ないかを見てください。そのうえで、サイトを管理している制作会社かサーバーの管理者に、全部のページで、httpのアドレスが301でhttpsの同じページへ転送されているかを確かめてもらいます。