SSLとHTTPSの重要性｜Webサイトのセキュリティ基礎を解説

「会社のホームページを開いたら、ブラウザに『保護されていない通信』と表示された」——そんな経験はありませんか。

2024年6月時点で、Googleの検索結果に表示されるWebサイトの96%がすでにSSL（HTTPS）に対応しています。SSL対応は、もはや「やったほうがいい」施策から「対応していないと問題になる」必須要件へと変わりました。

この記事では、SSL/HTTPSの基本的な仕組みから、SSL証明書の種類と選び方、導入方法まで、Web担当者が押さえておくべきセキュリティの基礎をわかりやすく解説します。

---

SSL/HTTPSとは何か？

SSLとTLSの違いは？

SSL（Secure Sockets Layer）は、インターネット上の通信を暗号化するための技術です。Webサーバーとブラウザの間でやり取りされるデータを暗号化し、第三者による盗聴や改ざんを防ぎます。

技術的には、SSLは2015年に脆弱性が発見されたため、現在はより安全なTLS（Transport Layer Security）という後継技術が使われています。ただし、「SSL」という呼び方が広く浸透しているため、実際にはTLSを使用していても「SSL」や「SSL/TLS」と呼ばれることが一般的です。

HTTPとHTTPSの違いは？

Webサイトにアクセスする際、URLの冒頭に「http://」または「https://」と表示されます。この違いは以下のとおりです。

HTTP（http://）

• 通信内容が暗号化されていない
• 第三者に情報を読み取られる可能性がある
• ブラウザに「保護されていない通信」と警告が表示される

HTTPS（https://）

• SSL/TLSによって通信が暗号化されている
• 送受信されるデータが保護される
• ブラウザに鍵マークが表示される

HTTPSの「S」はSecure（安全な）を意味し、SSL証明書を導入することでHTTPからHTTPSへ移行できます。

---

なぜSSL/HTTPS対応が必要なのか？

セキュリティの向上

SSL対応の最も重要な目的は、通信の安全性を確保することです。

お問い合わせフォームに入力された名前やメールアドレス、ECサイトで入力されるクレジットカード情報など、Webサイトでは多くの個人情報がやり取りされています。SSL未対応のサイトでは、これらの情報が暗号化されずに送信されるため、悪意のある第三者に傍受されるリスクがあります。

SSLを導入すると、送受信されるデータが暗号化され、万が一通信を傍受されたとしても内容を解読できません。

ブラウザの警告表示を回避

Google Chromeをはじめとする主要なブラウザは、SSL未対応のサイトにアクセスした際に「保護されていない通信」という警告を表示します。

この警告は2018年以降、すべてのHTTPページに表示されるようになりました。Chrome以外のブラウザ（Safari、Firefox、Edgeなど）も同様の警告を表示する仕様になっており、SSL未対応のサイトでは訪問者に不安を与えてしまいます。

「保護されていない通信」という警告を見た訪問者が、お問い合わせをためらったり、サイトから離脱したりする可能性は十分に考えられます。

SEO（検索順位）への影響

Googleは2014年にHTTPSをランキング要因として採用することを公式に発表しました。現在、検索結果に表示されるWebサイトの大部分がHTTPS対応しており、SSL対応は検索順位において標準的な要件となっています。

SSL対応によって検索順位が劇的に上がるわけではありませんが、未対応のままでは相対的に不利になる可能性があります。

訪問者からの信頼獲得

アドレスバーに鍵マークが表示されるHTTPSサイトは、訪問者に「このサイトは安全である」という安心感を与えます。逆に、「保護されていない通信」と表示されるサイトは、企業としての信頼性を損なう要因になりかねません。

特にB2Bの取引先や採用候補者など、企業の信頼性を重視する訪問者にとって、SSL未対応は大きなマイナス印象を与えます。

---

SSL未対応サイトが直面するリスクとは？

情報漏洩のリスク

SSL未対応サイトでは、お問い合わせフォームの入力内容やログイン情報が暗号化されずに送信されます。公共のWi-Fiなど、セキュリティが脆弱なネットワーク環境では、第三者に情報を傍受されるリスクが高まります。

訪問者の離脱

「保護されていない通信」という警告を見て不安を感じた訪問者は、サイトから離脱する可能性があります。特にフォームへの入力が必要なページでは、警告によって送信をためらうケースも考えられます。

企業イメージの低下

Webサイトは企業の「顔」として機能します。SSL未対応のサイトを運営していることは、「セキュリティへの意識が低い企業」という印象を与えかねません。取引先や顧客との信頼関係にも影響を及ぼす可能性があります。

アクセス解析への影響

HTTPSのサイトからHTTP（SSL未対応）のサイトへアクセスがあった場合、リファラー（参照元）情報が正しく取得できないことがあります。これにより、Google Analyticsなどのアクセス解析で流入元を正確に把握できなくなる場合があります。

---

SSL証明書の種類は？DV・OV・EVの違い

SSL証明書には、認証レベルの異なる3つの種類があります。どの種類を選んでも暗号化の強度に違いはありませんが、「何を証明するか」が異なります。

ドメイン認証（DV：Domain Validation）

特徴

• ドメイン（URL）の所有権のみを確認して発行される
• 発行が早く、数分〜数時間で取得可能
• 費用が安い（無料のものもある）

適したサイト

• 個人ブログ、趣味のサイト
• 情報提供が中心のコーポレートサイト
• お問い合わせフォーム程度の個人情報を扱うサイト

DV証明書は、「このドメインは申請者が管理している」ことを証明しますが、運営者が誰かまでは確認しません。そのため、フィッシングサイト（詐欺サイト）でも取得できる点には注意が必要です。

企業認証（OV：Organization Validation）

特徴

• ドメインの所有権に加え、企業・組織の実在性を確認して発行される
• 登記情報や電話確認などの審査がある
• 発行まで数日〜1週間程度かかる
• DV証明書より費用が高い（年間数千円〜数万円）

適したサイト

• 企業の公式サイト
• 会員登録やログイン機能のあるサイト
• ある程度の個人情報を扱うサイト

OV証明書は、「このサイトは実在する企業・組織が運営している」ことを証明できます。証明書の詳細情報を確認すると、企業名や所在地などが表示されます。

拡張認証（EV：Extended Validation）

特徴

• 最も厳格な審査を経て発行される
• 企業の登記情報、所在地、運営責任者などを詳細に確認
• 発行まで1〜2週間程度かかる
• 費用が高い（年間数万円〜十数万円）

適したサイト

• ECサイト（オンラインショップ）
• 金融機関、保険会社のサイト
• クレジットカード情報など機密性の高い情報を扱うサイト

EV証明書は、最も信頼性の高い証明書です。以前は、ブラウザのアドレスバーに企業名が緑色で表示される仕様でしたが、現在の主要ブラウザではその表示がなくなり、証明書の詳細を確認しないと区別がつきにくくなっています。それでも、決済を扱うサイトや金融機関では、EV証明書の導入が推奨されています。

---

無料SSLと有料SSLの違いは？

無料SSL（Let’s Encrypt）

Let’s Encrypt（レッツ・エンクリプト）は、米国の非営利団体ISRGが運営する無料のSSL証明書サービスです。FacebookやCisco、Googleなどの大手企業が支援しており、2021年時点で10億件以上の証明書を発行しています。

メリット

• 費用がかからない
• 発行が早い（数分〜数時間）
• 多くのレンタルサーバーで簡単に設定できる

デメリット

• 有効期限が90日と短い（自動更新の設定が必要）
• DV証明書のみ（OV・EVは取得できない）
• サポートがない（トラブル時は自己解決が必要）

多くのレンタルサーバーでは、Let’s Encryptの自動更新機能が標準で提供されており、一度設定すれば手間なく運用できます。

有料SSL

有料のSSL証明書は、DigiCertやGlobalSign、GMOグローバルサインなどの認証局から購入します。

メリット

• OV・EV証明書を取得できる
• 有効期限が1年〜と長い
• サポートを受けられる
• サイトシール（信頼性を示すマーク）を利用できる

デメリット

• 費用がかかる（年間数千円〜数十万円）
• 発行に時間がかかる（特にOV・EV）

どちらを選ぶべきか？

暗号化の強度は無料SSLも有料SSLも同じです。選択の基準は「何を証明したいか」と「サポートの必要性」です。

無料SSL（Let’s Encrypt）が適しているケース

• 情報発信が中心のコーポレートサイト
• お問い合わせフォーム程度の個人情報を扱うサイト
• コストを抑えたい場合

有料SSL（OV・EV）が適しているケース

• 企業の実在性を証明したい場合
• ECサイトで決済情報を扱う場合
• 金融・医療など信頼性が特に重要な業種

一般的な中小企業のコーポレートサイトであれば、Let’s Encryptなどの無料SSLで十分なケースがほとんどです。

---

SSL証明書の導入方法は？

SSL証明書の導入は、サイトの運用環境によって手順が異なります。

レンタルサーバーを利用している場合

多くのレンタルサーバーでは、管理画面から数クリックでSSLを有効化できます。

1. サーバーの管理画面にログイン
2. SSL設定のメニューを開く
3. 無料SSL（Let’s Encrypt）を選択して有効化
4. 数分〜数時間で設定完了

エックスサーバー、さくらインターネット、ロリポップなど、主要なレンタルサーバーでは無料SSLが標準で利用可能です。

SSL導入後に必要な作業

SSL証明書を導入しただけでは完了ではありません。以下の作業も必要です。

HTTPからHTTPSへのリダイレクト設定
「http://」でアクセスされた場合に「https://」へ自動転送する設定を行います。これにより、古いリンクからのアクセスも自動的にHTTPSへ誘導されます。

内部リンクの修正
サイト内のリンクが「http://」のままになっている場合、「https://」に修正します。画像やCSS、JavaScriptファイルへのリンクも対象です。

混合コンテンツの解消
HTTPSのページ内にHTTPで読み込まれる画像やスクリプトがあると「混合コンテンツ」となり、ブラウザで警告が表示されたり、コンテンツがブロックされたりします。すべてのリソースをHTTPSで読み込むよう修正が必要です。

外部ツールの設定変更
Google AnalyticsやGoogle Search Consoleなどの外部ツールに登録しているURLを、HTTPSに更新します。

制作会社に依頼する場合

SSL導入は専門的な知識が必要な作業も含まれます。社内に対応できる担当者がいない場合は、Webサイトを制作した会社や、サーバーの保守を依頼している会社に相談することをおすすめします。

---

まとめ

SSL/HTTPSは、Webサイトの通信を暗号化し、訪問者の情報を保護するための技術です。2024年現在、Googleの検索結果に表示されるWebサイトの96%がHTTPS化しており、SSL対応はWebサイト運営の必須要件となっています。

SSL未対応のサイトは、ブラウザに「保護されていない通信」と警告が表示され、訪問者に不安を与えます。また、SEOにも悪影響を及ぼす可能性があり、企業としての信頼性を損なう要因にもなりかねません。

SSL証明書には、DV（ドメイン認証）・OV（企業認証）・EV（拡張認証）の3種類があり、暗号化の強度は同じですが、「何を証明するか」が異なります。一般的なコーポレートサイトであれば、Let’s Encryptなどの無料SSLで十分対応できます。

自社のサイトがまだSSL対応していない場合は、早めの対応をおすすめします。レンタルサーバーを利用していれば、管理画面から簡単に設定できるケースがほとんどです。

この記事からわかるQ&A

SSL対応していないと検索順位は下がりますか？

Googleは2014年からHTTPSをランキング要因として採用しています。現在はWebサイトの大部分がHTTPS対応しているため、SSL未対応のままでは相対的に不利になる可能性があります。

無料SSLと有料SSLで暗号化の強度は違いますか？

暗号化の強度は同じです。無料SSL（Let's Encryptなど）も有料SSLも、同等の暗号化技術を使用しています。違いは「何を証明するか」と「サポートの有無」にあります。

SSL証明書の有効期限が切れるとどうなりますか？

ブラウザに「この接続ではプライバシーが保護されません」などの警告が表示され、訪問者がサイトにアクセスできなくなる可能性があります。有効期限前に更新が必要です。

お問い合わせフォームがあるサイトはSSL対応が必須ですか？

必須といえます。フォームに入力された個人情報（名前、メールアドレスなど）を保護するためにも、SSL対応が強く推奨されます。また、SSL未対応だとブラウザに警告が表示され、送信をためらう訪問者も出てきます。

自社のサイトがSSL対応しているか確認する方法は？

URLが「https://」で始まっているか、またはブラウザのアドレスバーに鍵マークが表示されているかで確認できます。「http://」で始まっている場合や「保護されていない通信」と表示される場合は、SSL未対応です。

引用・参考資料

• Google透明性レポート「ウェブ上でのHTTPS暗号化」（https://transparencyreport.google.com/https/overview）
• Google Search Central「HTTPS をランキング シグナルに使用します」（https://developers.google.com/search/blog/2014/08/https-as-ranking-signal）
• Google Chromeヘルプ「サイトの接続が安全かどうかを確認する」（https://support.google.com/chrome/answer/95617）
• Let’s Encrypt公式サイト（https://letsencrypt.org/ja/）
• DigiCert「What’s the difference between DV, OV & EV SSL certificates?」（https://www.digicert.com/difference-between-dv-ov-and-ev-ssl-certificates）