ホームページのSSL化は必要？863サイト中『13.2%』がhttpのままだった調査と確かめ方

SSL化（https）とは？何を守り、何を守らない？

SSL化とは、ホームページの URL を http:// から https:// に変え、閲覧する人のブラウザとサーバーの間の通信を暗号化することです。いま https で使われている仕組みは TLS で、SSL はその前の世代の名前ですが、「SSL化」という言い方が広く残っています。

暗号化していない通信の危うさについて、Google の Chrome セキュリティ チームは、リンクが https を使っていないと、攻撃者が移動先を乗っ取り、攻撃者の用意した内容を読み込ませることができ、マルウェアや標的型の攻撃、だます手口にさらされる、と説明しています（出典：Google『HTTPS by default』2025年）。

出典：Chromium Blog『A secure web is here to stay』（2018年2月8日）、Google『HTTPS by default』（2025年10月28日）

一方で、https が示すのは通信の経路が守られていることだけです。サイトの運営者が信頼できるかどうか、サーバーの中のデータが安全かどうかまでは示しません。鍵のマークは「最低限の条件を満たしている」という意味で受け取るのが正確です。

SSL化していないと何が起きる？ブラウザ・集客・法令の3つの面

ブラウザ：警告が出る

Chrome は2018年2月、2018年7月の Chrome 68 から、すべての http のサイトを「not secure（保護されていない）」と表示すると発表し、その通りアドレス欄に警告を出すようになりました（出典：Chromium Blog『A secure web is here to stay』2018年）。

さらに Google は2025年10月28日、2026年10月の Chrome 154 のリリースで「Always Use Secure Connections」の設定を初期状態で有効にすると発表しました。この設定では、https でない公開サイトに初めてアクセスする前に、Chrome が利用者の許可を求めます。警告が出るのは、新しく訪れるサイトか、最近訪れていないサイトだけとされています（出典：Google『HTTPS by default』2025年）。

集客：初めての人ほど止まる

警告の対象が「初めて、または久しぶりに訪れるサイト」であることは、集客の面で重い意味を持ちます。検索結果や地図、SNS のリンクから初めて訪れる見込み客の前に、ページより先に確認の画面が出るためです。常連の人には出ず、新しいお客様にだけ出るので、持ち主が自分のパソコンで見ても気づきにくい問題です。

同じ発表の中で Google は、Chrome での https の利用が2015年ごろの30〜45%から、2020年ごろには95〜99%の範囲になったと説明しています。訪れる人の多くは、警告の出ないサイトに慣れている状態です。

法令：個人情報を受け取るなら安全管理措置

問い合わせフォームで氏名や電話番号を受け取るサイトは、個人情報保護法の安全管理措置にも関わります。個人情報保護委員会のガイドライン（通則編）は、技術的安全管理措置として「情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用しなければならない」と定め、手法の例示に「個人データを含む通信の経路又は内容を暗号化する」を挙げています（出典：個人情報保護委員会『個人情報の保護に関する法律についてのガイドライン（通則編）』2016年（平成28年）11月、2026年（令和8年）6月一部改正）。

例示は「この方法でなければならない」という意味ではありませんが、フォームの送信内容を暗号化しない理由を説明するのは難しくなります。自社の扱いが法令に沿っているかの個別の判断は、弁護士など専門家に確認してください。プライバシーポリシーの考え方はホームページのプライバシーポリシーは必要？で扱っています。

SSL化しているサイトはどれくらい？863サイトの実態

暖簾AIは2026年10月15日に、ある事業者団体の公開名簿に載る遺品整理・片付けなどの事業者のサイト1,061件を機械的に取得し、トップページを取得できた863件を集計しました。

暖簾AIの調査（2026年10月、中小事業者のサイト863件）では、https で表示されたのは749件（86.8%）、http のままだったのは114件（13.2%）でした。https のサイトのうち54件（863件中の6.3%）は、ページの中で http の画像・スクリプト・スタイルシートを読み込んでいました。このような「混在コンテンツ」があると、https にしていても警告が出ることがあります（次の章で説明します）。

地域別の https の割合は次の通りで、最も低い中部でも8割を超えています。

出典：暖簾AI調べ（2026年10月、中小事業者のサイト863件）

集計の外にも、https に関わる問題がありました。名簿の1,061件のうち9件は、サーバー証明書の検証に失敗したり、暗号化の接続が成立しなかったりして、トップページを取得できませんでした。ブラウザで開くと警告の画面になる状態です。

この調査は、1つの業種の事業者団体の名簿から抽出したため、全業種の平均とは異なる可能性があります。判定はトップページのみ・機械的なもので、下層ページの設定は含みません。

自分のサイトは https？どう確かめる？

次の4つを、パソコンとスマホの両方で確かめます。

1. アドレス欄を見る：Chrome でトップページを開き、アドレス欄に「保護されていない」などの警告が出ていないかを見ます。
2. http で開いてみる：アドレス欄に http:// から始まる自分の URL を手で入れて開きます。https:// に自動で切り替われば転送が設定されています。http のまま開く場合は、https があっても使われていない状態です。
3. 下のページも見る：問い合わせフォーム、料金、会社概要など、トップ以外のページも同じように確かめます。フォームのページだけ http というサイトもあります。
4. 混在コンテンツを探す：https なのに警告が出るときは、ページのソースを表示し、src="http:// や href="http:// を検索します。画像や読み込みファイルの URL が http で書かれていれば、それが原因の候補です。

混在コンテンツについて、web.dev は「ページの最初の HTML が安全な HTTPS 接続で読み込まれるものの、他のリソース（画像、動画、スタイルシート、スクリプトなど）が安全でない HTTP 接続で読み込まれる場合」と定義しています。画像などの受動的な混在でも「ほとんどのブラウザではアドレスバーにページが安全でないことが示されます」とし、スクリプトなどの能動的な混在は、ほとんどのブラウザが初期設定でブロックすると説明しています（出典：web.dev『混合コンテンツとは』2019年）。ブロックされると、ボタンやフォームが動かなくなることがあります。

http から https へはどう切り替える？手順と注意点

Google は、http から https への変更を「URL の変更を伴うサイト移転」の例として扱っています（出典：Google 検索セントラル『URL の変更を伴うサイト移転』2026年）。次の順で進めます。

1. 証明書を設定する：契約しているサーバーやホームページ作成サービスの管理画面に、SSL（https）の設定項目があるかを確かめます。無料で使える証明書を用意しているサービスもあります。
2. https で全ページが開けるか確かめる：トップだけでなく、フォームや下のページも開きます。
3. サイトの中の URL を https に直す：ページ同士のリンク、画像、読み込むファイルの URL を https に揃え、混在コンテンツを無くします。WordPress なら、一般設定にあるサイトの URL も https に変えます。
4. http から https へ転送する：Google は「元の URL から新しい URL へのサーバーサイドの永続的なリダイレクト」（301）を勧め、「リダイレクトをできるだけ長く保持します」としています。
5. canonical とサイトマップを直す：各ページの canonical や、XMLサイトマップに書いた URL を https に揃えます。
6. Search Console で確かめる：Google は「Search Console で新旧の両サイトを確認」するよう書いています。登録の仕方はSearch Consoleの登録方法を参照してください。
7. 外に出ている URL を直す：Googleビジネスプロフィール、SNS のプロフィール欄、名刺やチラシの QR コードなど、自分で管理できる場所の URL を https に変えます。

Google は「移転中は、検索でのコンテンツ掲載順位が一時的に変動することがあります」とも書いています。切り替えは、問い合わせの多い時期を避けて行うと落ち着いて確かめられます。

証明書の期限と暗号の設定、運用で気をつけることは？

https は一度設定すれば終わりではありません。サーバー証明書には有効期間があり、更新されないと、ブラウザは開く前に警告の画面を出します。先に書いた通り、暖簾AIの調査では名簿の1,061件のうち9件が証明書や暗号化の接続の不備で取得できませんでした。

• 証明書が自動で更新される設定になっているかを、サーバーの管理画面で確かめる
• 証明書の更新のお知らせが届くメールアドレスが、今も読まれているかを確かめる
• サーバーを移したり、作成サービスを変えたりしたら、https の設定と転送が引き継がれたかを確かめる
• 制作会社に任せている場合は、証明書の更新が契約の範囲に入っているかを確かめる

暗号の細かな設定については、IPA（情報処理推進機構）が CRYPTREC で作成した『TLS暗号設定ガイドライン』を公開しています。最新版は第3.1.1版（2025年4月25日公開）で、TLS サーバーの構築者・運営者向けに「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」の3つの設定基準を示し、特段の要求がなければ推奨セキュリティ型の採用を勧めています（出典：IPA『TLS暗号設定ガイドライン』2025年）。レンタルサーバーやホームページ作成サービスでは、この設定は提供する会社が行うため、利用者が確かめるのは主に上の4点です。

暖簾AIの無料診断は、URL を入れるとサイトを診断します。https とあわせて、検索とAI検索の基本設定を確かめたいときに使えます。