ホームページを公開するとき、「SSL対応」「HTTPS化」という言葉を見ても、何のために必要なのか分かりにくいかもしれません。会社案内だけのサイトなら不要なのでは、問い合わせフォームがある場合だけ設定すればよいのでは、と迷う方もいます。
結論からいうと、事業用ホームページは内容にかかわらずHTTPSで公開するのが基本です。SSLは通信を暗号化し、訪問者とサイトの間で送受信される情報を守るための仕組みです。ただし、SSLを設定しただけでサイト全体の安全性が保証されるわけではありません。この記事では、役割と限界、証明書の選び方、設定後の確認まで整理します。
SSLとHTTPSは通信を暗号化する仕組み
SSLは、ブラウザとWebサーバーの間で送受信される情報を暗号化する技術です。現在は厳密にはTLSという仕組みが使われていますが、一般にはSSLやSSL化という呼び方が定着しています。設定されたページのURLは「http://」ではなく「https://」で始まり、ブラウザのアドレス欄にも安全な接続であることが示されます。
暗号化されていない通信では、同じネットワーク上にいる第三者などに入力内容を読み取られる危険が高まります。HTTPSなら、通信途中で情報を見られたり書き換えられたりするリスクを抑えられます。サイト運営者にとっては特別な装飾機能ではなく、訪問者が安心してページを閲覧するための基礎設備と考えると分かりやすいでしょう。
問い合わせフォームがなくてもSSLは必要
氏名やメールアドレスを入力する問い合わせフォームでは、SSLの必要性を想像しやすいでしょう。しかし、フォームのない会社案内サイトでもHTTPS化は必要です。ブラウザによってはHTTPページへアクセスした際に「保護されていない通信」などの警告が表示され、内容を読む前に不安を与える可能性があります。
また、訪問者はサービス内容だけでなく、サイトの管理状態も無意識に見ています。連絡先や会社情報を載せていても、基本的な安全対策が行われていなければ、更新されていないサイトだと思われることがあります。将来フォームや予約機能を追加する可能性も考えると、公開時点からサイト全体をHTTPSへ統一しておく方が、後から修正する手間を減らせます。
無料SSLと有料証明書は目的で選ぶ
多くのレンタルサーバーでは、ドメイン認証型の無料SSLを管理画面から設定できます。小規模な会社サイト、店舗サイト、個人事業のサービスサイトなどでは、通常は無料SSLで通信の暗号化という目的を満たせます。一定期間ごとに自動更新されるサービスを選べば、更新忘れも防ぎやすくなります。
有料証明書には、企業や組織の実在確認を含む種類、サポートや保証が付くものなどがあります。ただし、有料だからページ表示が大幅に速くなる、検索順位が必ず上がるというものではありません。金融・決済など高い信頼確認が必要なサービスや、社内ルールで証明書の種類が指定されている場合を除き、価格だけで選ぶ必要はありません。必要な認証範囲と運用体制を確認して決めます。
SSLだけでは防げないリスクもある
SSLが守るのは主に通信経路です。WordPressのパスワードが簡単、プラグインが古い、管理画面が不正アクセスを受ける、フォームから迷惑メールが送られるといった問題をSSLだけで防ぐことはできません。HTTPS表示になっているから完全に安全、と判断しないことが重要です。
WordPressでは本体・テーマ・プラグインの更新、強いパスワードと二段階認証、不要なアカウントの削除、定期バックアップ、フォームのスパム対策などを組み合わせます。保守の内容を整理したい方は、Coccole StudioのJournalにあるWordPress運用関連記事も参考にしてください。安全対策は一度設定して終わりではなく、公開後に継続して確認するものです。
HTTPS化するときはURLの統一が重要
SSL証明書を有効にしただけでは、古いHTTPのURLが残る場合があります。サイト設定のURL、画像やCSSの読み込み先、メニューや本文内リンク、外部サービスに登録したURLなどをHTTPSへ統一します。ページ自体はHTTPSでも、一部の画像をHTTPで読み込む「混在コンテンツ」があると、警告が出たり画像が表示されなかったりします。
既に公開済みのサイトを変更する場合は、HTTPからHTTPSへ転送する設定も必要です。検索エンジンや利用者が古いURLへアクセスしても、新しいHTTPSページへ移動できる状態にします。アクセス解析、Search Console、広告、SNSプロフィール、Googleビジネスプロフィールなどに登録したURLも確認します。変更前にはバックアップを取り、作業後に主要ページとフォームを実際に開いて検証しましょう。
公開前に確認したいSSLチェックリスト
公開前後は、次の項目を一つずつ確認します。
- すべてのページがhttps://で開く
- http://へアクセスするとhttps://へ転送される
- ブラウザに証明書エラーや警告が出ない
- 画像・CSS・JavaScriptがHTTPSで読み込まれている
- 問い合わせフォームの送信と自動返信を確認した
- WordPressのサイトURLがHTTPSになっている
- アクセス解析とSearch Consoleの登録先を確認した
- 証明書の更新方法と担当者が決まっている
PCだけでなくスマートフォンでもトップ、サービス、問い合わせ、プライバシーポリシーなど主要ページを確認します。複数のサブドメインを使う場合は、それぞれが証明書の対象に含まれているかも確認が必要です。Coccole Studioでは、見た目だけでなくフォームや運用環境まで含め、公開後に困らない状態を意識して制作・確認を進めています。
よくある失敗は更新切れと作業後の確認不足
代表的な失敗は、証明書の自動更新が正常に行われず、期限切れの警告が表示されることです。サーバー移転、DNS設定の変更、支払い停止などがきっかけで更新に失敗する場合があります。契約メールを定期的に確認し、サーバー管理画面で有効期限や自動更新の状態を把握しておきます。
もう一つは、トップページだけ確認して作業を終えるケースです。下層ページの古い画像URL、フォーム送信後の完了ページ、PDFリンクなどにHTTPが残ることがあります。制作会社へ依頼する際は「SSL設定」の有無だけでなく、URL置換、転送、混在コンテンツ、外部サービスの再設定、公開後テストのどこまで含まれるかを見積もりで確認しましょう。
SSLを含めた公開環境をまとめて確認する
事業用ホームページでは、SSLは問い合わせフォームの有無に関係なく必要な基本設定です。多くの小規模サイトでは無料SSLで十分ですが、設定後にURL統一、HTTPからの転送、混在コンテンツ、フォーム、更新方法まで確認して初めて安定して運用できます。
これから環境を用意する場合は、ドメイン名の決め方と、下書き中のレンタルサーバー選びもあわせて整理するとスムーズです。制作から公開環境までまとめて相談したい方はWebサイト制作サービスをご覧ください。公開後のサーバー・ドメイン管理やバックアップは月額プラン、現在のSSL設定を含めて確認したい場合はお問い合わせページからご相談いただけます。
