サイトを HTTPS にする：初心者のための「鍵マーク」入門

HTTP と HTTPS：一文字がすべてを変える

ブラウザがサーバーにページを要求するとき、両者は HTTP という言葉で会話します。単なる HTTP では、両者の間を流れるものすべて（ページ、入力したフォーム、パスワード）が平文で送られます。経路上にいる誰でも（カフェの Wi-Fi、通信事業者、悪意ある中継者）が読んだり書き換えたりできるのです。

HTTPS の S はセキュアの意味です。会話は暗号化されます。訪問者とあなたのサーバーには読めるままですが、その間にいる誰にとっても解読できなくなります。鍵マークは、この暗号化が有効であり、サーバーが名乗っている通りの相手であることを示しているだけです。

なぜ会社紹介サイトでも必須になったのか

「うちのサイトは事業を紹介しているだけで、隠すものは何もない。」その通りです。それでも、今日 HTTPS を欠かせないものにしている理由が三つあります。

証明書：あなたのサイトの身分証明書

HTTPS で会話するには、サーバーに証明書が必要です。認定された機関が発行する小さなファイルで、mycompany.jp が確かに正しいサーバーから配信されていることを証明します。10 年前は証明書は高価で、毎年手作業で更新するものでした。Let's Encrypt（2016 年）の登場以降、証明書は無料になり、数秒で発行され、3 か月ごとにサーバー自身が自動で更新するようになりました。

具体的に、認証機関が確認するのはただ一点です。ドメイン名が、証明書を申請しているサーバーを確かに指しているかどうか。だからこそ、ドメイン名が正しく設定される前に、サイトを HTTPS にすることはできないのです。

サイトを HTTPS にする三つのステップ

ホスティングをご自身で管理している場合、手順はどの事業者でも同じです。

1. 証明書を取得する。ほとんどのホスティング会社では、管理画面のチェックボックス一つ（「SSL」「Let's Encrypt」）で済みます。ご自身で管理するサーバーなら、Certbot のようなツールがコマンド一つで行ってくれます。

2. HTTP を HTTPS にリダイレクトする。このステップがないと、サイトは二つのバージョンで存在し、「https://」を付けずにアドレスを入力した訪問者は保護されていない方に行き着きます。恒久的なリダイレクト（301 コード）で問題は解決し、Google に重複コンテンツと見なされることも防げます。

3. 「混在コンテンツ」を追い出す。保護されたページが「http://」で画像やスクリプトを読み込んでいると、ブラウザは鍵マークを外します。他のサイトから来るものも含め、すべてのリソースが HTTPS でなければなりません。

Leopar があなたのためにすること

Leopar では、この三つのステップはあなたにとって存在しません。サイトが公開された時点で HTTPS は自動的に有効になり、証明書は手を触れずに更新され、HTTP から HTTPS へのリダイレクトも設定済みです。サイトは保護されたリソースだけを読み込むように作られているので、追いかけるべき混在コンテンツもありません。

別の場所で登録済みのドメインをそのままお使いですか？　A レコードがあなたのサーバーを指した時点で証明書が発行されます。変更が必要なのはその一行だけで、私たちからお送りします。伝播が完了するまでの間も、サイトはテスト用アドレスで HTTPS のままご覧いただけます。

よくある質問

HTTPS にするとサイトは遅くなりますか？
いいえ。暗号化の負荷は最新のサーバーでは無視できるほどで、しかも HTTPS は、保護された通信でしか動かないより速いプロトコル（HTTP/2、HTTP/3）への扉を開きます。実際には HTTPS のサイトの方が速いのです。

サイトは HTTPS なのに鍵マークが出ません。なぜですか？
ほぼ例外なく混在コンテンツが原因です。画像、フォント、スクリプトのどれかがまだ「http://」で読み込まれています。ブラウザのコンソール（F12）を開けば、どれかがわかります。

無料の証明書は有料のものより安全性が低いのですか？
いいえ。暗号化は同一です。有料の証明書は事務的な保証（企業の実在確認）を追加しますが、ブラウザ上で目に見える効果はもうありません。

証明書の期限が切れるとどうなりますか？
ブラウザが全画面の警告ページを表示し、ほとんどの訪問者は引き返します。だからこそ、更新は手動ではなく必ず自動でなければならないのです。