SSL（https）とは｜「保護されていない通信」と出るときの対処

自社のサイトをChromeで開いたら、アドレスの横に「保護されていない通信」と出ていた。お客様から「危ないサイトと表示される」と言われた。こうしたきっかけで、SSL（エスエスエル）やhttpsという言葉を調べ始める担当者は少なくありません。

この記事では、SSLとは何か、なぜ「保護されていない通信」と表示されるのか、証明書の種類と有効期間、https化の手順、そして証明書の期限切れを防ぐ方法を、2026年10月時点の情報で整理します。技術の細部より、担当者が何を確かめ、誰に何を頼めばよいかが分かるように書いています。

SSL（https）とは何か

SSLは、ブラウザとサイトのサーバーの間の通信を暗号化する仕組みです。今は後継のTLSという仕組みが使われていますが、慣例でSSLと呼ばれ続けています。SSLを使っているサイトは、アドレスが「http」ではなく「https」で始まります。サイトをhttpsで表示できるようにすることを「SSL化」や「https化」と呼びます。

SSLには、サーバー証明書（SSL証明書）というデータが必要です。JPRSの解説では、サーバー証明書の役割は2つあります。

• 通信の暗号化: フォームに入力した名前や連絡先が、途中で盗み見られたり書き換えられたりするのを防ぐ
• 運営者の確認: そのサイトが、本当にそのドメインの持ち主によって運営されていることを示す

「保護されていない通信」と出る理由

Chromeのヘルプでは、「保護されていない通信」は、そのサイトがプライベートな接続を使っておらず、送受信する情報を第三者に見られたり変えられたりするおそれがある状態だと説明されています。赤い字で「保護されていない通信」や「危険」と出ている場合は、個人情報を入力しないよう案内されています。なお「危険」は、そのサイトが不正なサイトとして検出されたときの表示で、SSLが無いこととは別の問題です。改ざんが疑われる場合はホームページの改ざんへの対処の記事をご覧ください。

SSL化しているはずなのに表示が出るときは、次のどれかであることがほとんどです。

状態	よくある原因	直し方
アドレスが http のまま	http から https への転送の設定が無い	サーバーで https へ自動で転送する設定を入れる
https なのに鍵の印が出ない	ページ内に http で読み込む画像・CSS・スクリプトが残っている（混在コンテンツ）	読み込み先を https か相対パスに書き換える
証明書のエラーの画面が出る	証明書の期限切れ、別のドメインの証明書が使われている	証明書を更新し直す、対象のドメインを確かめる
一部のページだけ出る	古いページや外部のサービスの埋め込みが http のまま	そのページの読み込み先を個別に直す

JPRSの用語辞典では、httpsのページにhttpの読み込みが混ざる状態を「混在コンテンツ」と呼び、鍵の印が出なくなったり警告が出たりすると説明しています。外部から読み込む画像やCSSでも起きます。原因は、ブラウザの開発者ツール（ページの裏側を確かめる機能）のコンソールに出る警告で探せます。

Googleは2025年10月の発表で、2026年10月のChrome 154から「常に安全な接続を使用する」設定を初期状態で有効にする予定と案内しています。有効になると、httpsに対応していない公開サイトを初めて開くとき、利用者に確認の画面が出ます。これから先、httpのままのサイトはさらに不利になると考えておくほうが安全です。

証明書の種類と有効期間

サーバー証明書は、発行するときに何を確かめるかで3種類に分かれます。どれも暗号化の働きは同じです。

種類	確かめること	向いているサイト
DV（ドメイン認証）	申し込んだ人がそのドメインを使っていること	会社の紹介サイト・ブログなど多くのサイト
OV（企業認証）	ドメインに加え、組織が法的に実在すること	組織の実在を示したいサイト
EV（EV認証）	OVと同じ内容を、より厳しい基準で確かめる	金融など、特に高い信頼を求めるサイト

無料で使える証明書として広く使われているLet’s Encryptは、DVだけを発行しています。レンタルサーバーの「無料SSL」の多くもDVです。会社の紹介サイトであれば、DVで足りることがほとんどです。

注意したいのが有効期間です。JPRSの2026年6月の資料によると、証明書の最長の有効期間は業界のルールで段階的に短くなっています。

• 2026年3月15日以降: 最長200日
• 2027年3月15日以降: 最長100日
• 2029年3月15日以降: 最長47日

Let’s Encryptも、標準の証明書の有効期間を、2027年2月に90日から64日へ、2028年2月に45日へ短くすると発表しています。年に1回、手で更新する運用は、もう前提にできません。

https化の手順

これからhttps化する場合は、おおむね次の順で進めます。サーバー会社の管理画面で大半が済みます。

1. 証明書を入れる: サーバーの管理画面で、無料SSLなどを対象のドメインに設定する。「www」の有りと無しの両方を対象にする
2. httpsで開けるか確かめる: アドレスを https に変えて、トップページと主なページを開く
3. httpからhttpsへ転送する: サーバーの設定で、http のアドレスで開かれたら https へ自動で移るようにする
4. サイト内のリンクと画像を直す: ページ内の「http://」で始まる読み込みを https に書き換える。WordPressの場合は、設定画面のサイトのアドレスも https にする
5. フォームと外部の部品を確かめる: 問い合わせフォームの送信先、地図や動画の埋め込みが https で動くか確かめる
6. 期限の管理を決める: 自動更新が有効か、誰が更新の失敗に気付けるかを決める

作業の前には、サイトのバックアップを取っておきます。設定を誤るとサイトが開けなくなることがあるためです。

「保護されていない通信」を消すために担当者がすること

自社で作業しない場合でも、担当者が確かめられることはあります。

• Chromeで自社のサイトを開き、アドレスの左の表示を押して、接続が保護されているかを見る
• http で始まるアドレスを入れて開き、https へ自動で移るかを見る
• スマートフォンのブラウザでも同じように確かめる
• 表示が出るページがあれば、そのアドレスを控えて、制作会社や保守の担当に伝える

証明書の期限切れを防ぐ

証明書の期限が切れると、ブラウザはサイトを開く前に警告の画面を出します。問い合わせフォームも使えない状態になり、気付くまでの間、問い合わせを取りこぼし続けます。

期限切れは、次のような場面で起きやすくなります。

• サーバーやDNSの設定を変え、自動更新が失敗するようになった
• 有料の証明書を手で更新する運用で、担当者が替わって案内メールが届かなくなった
• サーバーの契約を変えたときに、証明書の設定を移し忘れた

防ぐには、自動更新を使うことに加えて、更新が止まっていないかを人が定期的に見ることです。月に1回、ブラウザで証明書の有効期限を確かめるだけでも、切れる前に気付けます。サーバーとドメインの関係はサーバーとドメインの違いの記事に、維持にかかる費用はホームページの維持費の記事にまとめています。

まとめ

SSLは、通信の暗号化とドメインの持ち主の確認のための仕組みです。「保護されていない通信」と出る原因の多くは、証明書が無い、https への転送が無い、ページ内の http の読み込みが残っている、のどれかです。証明書の有効期間は短くなり続けているため、自動更新と人による定期的な確認の両方で、期限切れを防ぐことが大切です。

保守の契約で証明書の管理まで頼むときは、保守契約に含まれるものの記事も参考になります。Lapisデザインラボの月額のサイト保守では、SSL（https）の証明書の管理をお引き受けしています。内容はサイト保守・更新をご覧ください。