HTTPSは、ブラウザとWebサイトの間のHTTP通信をTLSで保護する仕組みです。HTTPのままでは通信内容を第三者が見たり変更したりできる可能性があります。一方、HTTPSになっていても、サイト自体の安全性や運営者の信頼性、個人情報の管理まで自動で保証されるわけではありません。
自社サイトを確認する担当者は、URLがHTTPSで開くかに加え、証明書、HTTPからの転送、ページ内の画像やスクリプト、フォームの送信先まで確認する必要があります。
HTTPSとは？HTTPとの違い
HTTPはブラウザとサーバーがWebページなどをやり取りするための通信方式です。HTTPSはその通信をTLSで保護します。一般には「SSL化」と呼ばれることもありますが、現在の説明ではTLSを使うHTTPSと捉える方が正確です。MDNのHTTPS解説も、TLSによりクライアントとサーバーの通信を暗号化すると説明しています。
HTTPSには主に、通信の暗号化、途中で内容が改変されていないことの確認、接続先の証明書の確認という役割があります。HTTPではこれらの保護がありません。ログイン画面や問い合わせフォームの有無にかかわらず、公開サイトでHTTPSを使うのが基本です。
ただし、HTTPSは「そのサイトが詐欺ではない」「サーバー内のデータが安全」「アプリに脆弱性がない」ことを意味しません。閲覧者は接続先のドメインを確認し、運営側はアカウント管理やソフトウェア更新など別の対策も行います。
HTTPSはどのように通信を保護するか
ブラウザは接続時にサーバーの証明書や接続先を確認し、TLSの手順に従って通信に使う鍵を確立します。その後、ページの取得やフォーム送信の通信内容を暗号化してやり取りします。公開鍵と秘密鍵、共通鍵は役割が異なりますが、サイト担当者が実装を選ぶより、利用中のサーバー・証明書・TLS設定を適切に保守することが実務上重要です。
暗号化される範囲は、利用者のブラウザからHTTPSの接続先までの通信です。その先の社内システム連携や保存データの扱いは別に確認します。また、証明書の期限が切れたり設定が誤っていたりすると、ブラウザの警告や接続エラーが発生します。
自社サイトがHTTPSか確認する方法
最終的に表示されたURLを見る
ブラウザでサイトを開き、アドレス欄に表示されたURLがhttps://で始まっているか確認します。http://を入力しても自動でHTTPSへ転送される場合があるため、入力した文字列ではなく、読み込み後のURLを見ます。トップページだけでなく、問い合わせフォームやログイン画面、主要な下層ページも確認します。
ブラウザのサイト情報を確認する
ブラウザのアイコンや警告表示は、製品やバージョンで変わります。「鍵マークがあるか」だけに依存しないでください。Chromeではアドレス欄のサイト情報から接続状態を確認できます。Google Chromeの公式案内も、接続が保護されているかの見方を説明しています。
画像・スクリプト・フォームも確認する
ページ自体がHTTPSでも、画像やスクリプトをHTTPで読み込む「混在コンテンツ」が残ることがあります。また、フォーム送信先がHTTPのままでは入力情報の保護に問題が残ります。ブラウザの開発者ツールやサイトの動作確認で、主要ページと送信先を点検します。
HTTPからHTTPSへ変更するときの確認項目
HTTPS化は証明書を入れるだけでは終わりません。公開済みサイトでは次の項目を順に確認します。
- 対象ドメインとサブドメインを洗い出し、証明書を設定・更新できる体制を決める
- HTTPS版でページ、画像、CSS、JavaScript、フォームが正常に動くか確認する
- HTTP版のURLから対応するHTTPS版へ恒久的に転送する
- canonical、サイトマップ、内部リンク、OGP、外部サービスのコールバックURLを更新する
- 公開後のエラー、検索流入、証明書期限を監視する
GoogleはHTTPからHTTPSへのサイト移転手順で、転送とcanonicalなどの確認を案内しています。変更直後は検索結果の再クロール・再登録に時間がかかる場合があります。HTTPSにしただけで順位や問い合わせが必ず増えるわけではありません。
すでにHTTPSへ転送されているサイトでも、古いHTTPリンクやページ別の設定漏れが残ることがあります。公開前にテスト範囲と戻し方を決め、公開後も主要URLを確認します。
まとめ
HTTPSはHTTP通信をTLSで保護する仕組みであり、企業サイトの基本的な運用要件です。一方で、サイトや事業者の信頼性をすべて証明するものではありません。自社サイトでは最終URL、証明書、混在コンテンツ、フォーム、HTTPからの転送、canonicalを一連のものとして確認してください。
Webサイトの制作・運用環境を見直す場合は、現行のドメイン、サーバー、証明書、フォーム、管理者を整理しておくと対応範囲を判断しやすくなります。クラウドシードのサービス案内を参照し、個別の調査・対応可否は現状を共有したうえで確認してください。
