ホームページのSSLとセキュリティの基本 ─ 鍵マークが無いと何が起きるか

ブラウザの上のほう、サイトの住所が出ている欄の左側に、小さな鍵マークが付いています。

普段は誰も気にしません。ところが、この鍵マークが無いサイトを開くと、ブラウザが「保護されていない通信」と表示します。見に来た人は、その一言だけで引き返します。

この記事では、鍵マーク（SSL）が実際に何をしているのか、無いとどうなるのか、そして鍵マークだけでは守れない部分までを、制作側の立場から順に説明します。専門用語はそのつど言い換えます。

SSL（鍵マーク）とは何か ─ 封書と葉書のちがい

SSL は、ホームページと訪問者のあいだを行き来する文字を、途中で読めない形に包む仕組みです。

通信は「途中」を必ず通っていく

ホームページを見るとき、画面の文字はどこからともなく現れているわけではありません。サーバー（サイトのデータが置いてある場所）から、回線をいくつも経由して手元の端末まで運ばれてきます。

問い合わせフォームに入力した氏名や電話番号も、同じ道を逆向きに通ります。途中には、契約している回線や外出先の無線LANなど、自社の管理していない場所が必ず含まれます。

葉書と封書のちがい

ここが本題です。SSL が無い状態は、中身が見える葉書で運んでいるのと同じです。SSL がある状態は、封をした封書で運んでいるのと同じです。

• 葉書: 運ぶ途中で誰かの手を経由したとき、中身がそのまま読める状態
• 封書: 途中を経由しても、本来の宛先以外には中身が読めない状態

届く速さも、届く場所も変わりません。変わるのは「途中で中身が見えるかどうか」の一点です。

「SSL」「TLS」「https」は、ほぼ同じ話

呼び方が複数あって混乱しやすいので、表にします。会話の中では、どれも同じことを指していると考えて構いません。

証明書という言葉が出てきました。これは身分証明書に近いものです。包むだけならどのサイトでもできるため、「包んでいるこのサイトは、確かにその住所の持ち主のものだ」という確認を、第三者が付けています。

期限付きなのもこのためです。運転免許証に更新があるのと同じ理屈で、証明書にも有効期限があります。この期限が後の章で問題になります。

鍵マークが無いとブラウザに何が出るか

鍵マークが無いサイトは、ブラウザが自分から「このサイトは保護されていない」と訪問者に伝えます。こちらが何も言わなくても、勝手に伝わります。

見え方は3段階

一番下の「期限切れ」が最も重い状態です。サイトの中身がいくら正常でも、訪問者は本文にたどり着けません。

問い合わせが止まるのはここ

警告がいちばん効いてくるのは、入力する直前です。

会社概要を読むだけなら、表示に気づかない人もいます。しかし氏名・電話番号・メールアドレスを入れる画面で「保護されていない」と出ていれば、手が止まります。

• 見積もりを頼もうとした人が、送信の一歩手前で閉じる
• スマホで見ていた人が、警告の画面から本文に戻れずに離れる
• 採用に応募しようとした人が、経歴に近い情報を入れるのをためらう

問い合わせが来ない原因はいくつもありますが、この「入力の直前でためらわれる」は、直すのが最も簡単な部類です。ほかの原因との切り分けは、問い合わせが来ない5つの原因にまとめています。

信頼の問題でもある

鍵マークは、訪問者が最初に見る「この会社はちゃんとしているか」の材料になります。中身の良し悪しより先に目に入るためです。

順位が上がるかどうかという話も聞きますが、そこは本題ではありません。まず警告が出ない状態にする、それだけで十分に意味があります。

SSLは無料で付けられることが多い

今は、レンタルサーバーの管理画面から数回の操作で、費用をかけずに鍵マークを付けられるのが普通です。

無料の証明書が標準になった

数年前まで、証明書は買うものでした。今は無料で発行され、自動で更新される仕組みが広く使われていて、主要なレンタルサーバーはこれを標準で組み込んでいます。

つまり、新しく作るサイトで鍵マークが無いのは、技術や費用の問題ではありません。設定がされていないだけ、というケースがほとんどです。

無料と有料のちがい

包む強さそのものは、無料でも有料でも変わりません。有料のものは「この住所の持ち主が、確かにこの法人だ」という確認の手間が厚くなります。金融機関やネットショップのように、相手に強い安心を示す必要がある場合に選ばれます。

中小企業の会社サイトや、問い合わせフォームだけのサイトであれば、無料の証明書で不足はありません。

「SSLオプション 月◯円」と言われたら

見積書や保守の請求に、SSL の項目が別立てで載っていることがあります。それ自体が悪いわけではありません。設定と見張りの手間に対する費用なら、筋は通っています。

聞いておくとよいのは、次の2つです。

1. その費用は「証明書そのものの代金」なのか、「設定・監視の作業代」なのか
2. 更新は自動か、手作業か。手作業なら誰がいつやるのか

保守費に何が含まれているかの読み方は、ホームページの維持費・管理費の記事で細かく説明しています。サーバーとドメインそのものの仕組みは、ドメインとサーバーの基礎が土台になります。

証明書の更新切れで起きること

証明書には有効期限があり、期限が切れると、サイト全体が警告画面に置き換わります。中身が壊れたわけではないのに、誰も本文を読めなくなります。

期限は思ったより短い

証明書の有効期限は、ドメインのように年単位ではありません。近年は短くする方向で運用されていて、数か月ごとの更新が前提になっています。

そのため、手作業での更新は現実的ではなくなりました。今は自動で更新される設定にしておくのが標準です。

切れたときに起きること

• サイトを開くと、本文の代わりに警告画面が出る
• 「安全ではありません」と表示され、進むかどうかを訪問者が選ばされる
• 検索から来た人は、ほとんどがそこで戻る
• 問い合わせフォームは、事実上止まる

ドメインの更新切れがサイトとメールを同時に止めるのに対して、証明書の更新切れはサイトの見え方だけを止めます。ただし、訪問者から見た印象の悪さは、こちらのほうが強く出ます。

「誰が更新しているのか」が分からない問題

更新切れの本当の原因は、技術ではなく担当の空白です。

• 制作会社に任せているつもりだったが、保守契約には含まれていなかった
• サーバーは自社契約、設定は制作会社、という分かれ方で、どちらも見ていなかった
• 担当者が辞め、通知メールが誰も見ていないアドレスに届き続けていた

ドメインの更新切れと、まったく同じ構図です。人の真面目さではなく、仕組みで防ぐしかありません。通知先を個人ではなく複数人が見られるアドレスにする話は、ドメインとサーバーの基礎にも書いています。

SSLだけでは足りない ─ もう4つの守り

鍵マークは「通る道」を守る仕組みで、サイトそのものや日々の運用の守りは別に必要です。

ここが誤解されやすいところです。SSL を付けたからといって、サイトが丸ごと安全になるわけではありません。中小事業者のサイトで実際に困りごとになりやすい4つを挙げます。

1. お問い合わせフォームの迷惑投稿対策

フォームを公開すると、自動で送られてくる宣伝の投稿が届くようになります。SSL があっても、これは止まりません。別の話だからです。

放っておくと、本物の問い合わせが埋もれます。これが一番の実害です。

• 確認の仕組み（人が操作していることを確かめる部品）をフォームに入れる
• 届いたメールを、担当者が複数人で見られる宛先に振り分ける
• 件数が増えてきたら、フォームの項目や送信先の設定を見直す

フォームそのものの作り方は、問い合わせが増えるホームページの作り方に書いています。

2. 古い仕組みを放置しない

WordPress（お知らせや記事を自分で更新できる仕組みの代表格）などを使っている場合、本体や追加機能には更新が出ます。更新は、見つかった不具合を直したものです。

古いまま何年も放置すると、直っているはずの不具合が自分のサイトにだけ残り続けます。更新は面倒ですが、面倒さは作り方で変えられます。

どの作り方が合うかは、Wix・STUDIO・WordPress比較で整理しています。更新を誰がやるのかは、保守契約の中身とセットで決まります。

3. 管理画面のパスワードを使い回さない

サイトの管理画面、サーバー、ドメインの管理画面。それぞれにログインの情報があります。

ここで多いのが、ほかのサービスと同じパスワードを使っている状態です。どこか1か所で漏れたときに、まとめて影響が出ます。

• サイト・サーバー・ドメインで、それぞれ別のパスワードにする
• 二段階の確認（ログイン時にスマホへ届く番号も入れる仕組み）を、使えるところは入れる
• 辞めた担当者のアカウントは、その都度消す
• パスワードを付箋やメールの本文で共有しない

難しい技術は要りません。決め事の話です。

4. 控え（バックアップ）があるか

最後がこれです。何かあったときに元に戻せるかどうかは、控えがあるかどうかだけで決まります。

• どこに控えが取られているか（サーバーの中だけか、別の場所にもあるか）
• どのくらいの頻度で取られているか
• 戻すのは誰の作業か。追加の費用が要るのか

保守契約に「バックアップ」と書いてあっても、範囲はさまざまです。言葉だけで安心せず、上の3つを聞いてください。維持費の内訳の読み方は、ホームページの維持費・管理費の記事にまとめています。

5つの守りを表にすると

右の列を見て、空欄になっている行が無いかを確かめてください。空欄の行が、いちばん危ない行です。

今日できる5分の点検

自社のサイトを開いて、鍵マークと問い合わせページを見るだけで、この記事の要点はほぼ確認できます。

自分で見る3点

1. 鍵マーク: 自社サイトを開いて、住所欄の左に鍵マークが出ているか
2. 問い合わせページ: フォームのページでも、同じように鍵マークが出ているか
3. 古い住所でも開けるか: 住所の頭を http のまま開いたとき、自動で https に切り替わるか

2つめを分けて書いたのには理由があります。トップページだけ包まれていて、下層のフォームのページが抜けている作りが、稀にあります。いちばん大事なページが抜けている、という状態です。

3つめも補足します。古い作りのサイトでは、包まれた状態と包まれていない状態の両方が残っていることがあります。検索結果や名刺の QR コードから古いほうを開いた人にだけ、警告が出ます。自分がいつも使っているリンクからは気づけません。

制作会社・保守先に聞く3つの質問

1. 証明書の更新は自動ですか。通知はどのアドレスに届いていますか
2. お問い合わせフォームの迷惑投稿対策は入っていますか
3. バックアップはどこに、どのくらいの頻度で取られていますか。戻すときは誰の作業になりますか

3つとも、答えられて当然の内容です。濁されたり、話が長くなって結局答えが出ない場合は、そこが見直しのきっかけになります。

分からないときは

「自分のサイトがどうなっているか分からない」という方は多いです。恥ずかしいことではありません。契約のときに説明されないまま進むのが普通だからです。

LIT STUDIO は札幌の Web 制作スタジオで、AI との共同開発でホームページと業務アプリを作っています。今のサイトの状態を見るところからでも、お気軽にご相談ください。作り直す前提の話はしません。

まとめ ─ 持ち帰りチェックリスト

仕組みの細かいところは忘れて構いません。次の項目だけ持ち帰ってください。

• 自社サイトの問い合わせページに鍵マークが出ているか、今すぐ見る
• 鍵マークが無いなら、費用ではなく設定の問題。制作会社かサーバーに聞けば済む
• 証明書の更新は自動か。通知は複数人が見られるアドレスに届いているか
• 迷惑投稿対策・古い仕組みの更新・パスワード・控えは、SSL とは別の話
• 個人情報の取り扱いの決まりは、個人情報保護委員会の公開資料で確認する

鍵マークは、訪問者が最初に見る「この会社はちゃんとしているか」の材料です。中身の良し悪しより先に目に入ります。5分で終わる点検なので、今日のうちに一度、自社のサイトを開いてみてください。