「保護されていない通信」と表示されるホームページは、何を失っているか

「保護されていない通信」とは何の警告か

この表示を出しているのは、ホームページではなく閲覧している側のブラウザです。ChromeやSafariが、開こうとしているページの通信を調べ、暗号化されていなかった場合にアドレス欄へ注意書きを出します。

つまり、これはサイトが攻撃を受けているという意味ではありません。「このページとやりとりする内容は、途中で他人に読まれうる状態です」という、通信の作りについての告知です。ホームページ側の落ち度というより、対応がまだ済んでいない、というだけの話です。

ただし、見た人にとってはそこまで読み取れません。警告が出ているという事実だけが残ります。ここが厄介なところです。

httpとhttpsの違い（暗号化とは）

URLの先頭にあるhttpとhttps。末尾のsが1文字あるかないかの差ですが、中身はまったく違います。

httpは、送る内容をそのままの文字で運びます。フォームに入れた名前も電話番号も、経路の途中で覗けば読めてしまいます。一方のhttpsは、送る前に内容を錠のかかった箱に入れて運び、受け取った側だけが開けられるようにします。この錠の役目を果たすのがSSL証明書と呼ばれるもので、サイト全体をこの方式で運ぶことを常時SSLと呼びます。

「うちは会社案内だけで、個人情報は扱っていない」という声をよくいただきます。ですが、警告はページの中身を見て出るわけではありません。フォームがあろうとなかろうと、httpのままなら同じように表示されます。

商売の側から見た3つの実害

技術的な安全性の話は上のとおりですが、事業として気にすべきなのは、むしろ次の3つです。

① 初めて見た人が、そこで引き返す

ホームページを開いた人の多くは、載っている情報を読む前に、まず画面全体の印象で「まともな会社かどうか」を判断します。その最初の1〜2秒に、赤い警告や「保護されていない通信」の文字が視界へ入る。ここで戻るボタンを押した人は、何も残さずに消えるので、失ったこと自体に気づけません。

② スマートフォンでは、より強く出ることがある

ブラウザの警告の出し方は年々きつくなってきました。以前は小さな鍵マークが消えるだけでしたが、いまは文字で明示されます。特にフォームへ文字を打ち込もうとした瞬間に警告が重なると、入力の途中で手が止まります。問い合わせが減っているのに理由が分からない、という相談の裏にこれが潜んでいることがあります。

③ 名刺やチラシからの流入で、いちばん損をする

検索から来た人は、まだ比較の途中です。しかし名刺やチラシに載せたURLを、わざわざ手で打って開いてくれた人は、すでに関心を持っている見込み客です。その人に最初に見せる画面が警告付きだと、対面で積み上げた印象をそこで削ることになります。いちばん失いたくない相手に、いちばん効いてしまうのがこの問題の性質です。

https化すると検索順位は上がるのか

「https化するとSEOに強くなる」と説明されることがありますが、期待しすぎない方が現実的です。https化だけで順位が上がったと分かる形の例を、私は確認できていません。順位を動かしているのは中身と使いやすさで、https化はその手前にある前提条件です。

ですので、https化は順位を上げるための手ではなく、対応していないことによる不利をなくすための最低条件と考えてください。やっても大きく伸びませんが、やっていないと確実に減点されます。この種の項目は、悩む時間の方がもったいないので、さっさと済ませてしまうのが得策です。

自社サイトを1分で確かめる手順

専門の道具は要りません。次の順で見てください。

• スマートフォンかパソコンのブラウザで、自社のホームページを開く
• アドレス欄の左端を見る。鍵マーク、または何も出ていないなら対応済み。「保護されていない通信」や「情報」「!」マークが出ていれば未対応の可能性が高い
• URLの先頭を確かめる。https:// で始まっていればひとまず問題なし。http:// なら未対応
• トップページだけでなく、問い合わせページと、写真の多い下層ページも同じ手順で見る（ページごとに状態が違うことがあるため）
• アドレス欄に http:// と手で打ち替えて開き直す。httpsのページへ自動で切り替われば、転送設定まで入っている

最後の1つまで確認できていれば、この件は片付いています。

対応の進め方と、つまずきやすい箇所

作業そのものは、多くの場合それほど大がかりではありません。レンタルサーバーを使っているなら、管理画面から無料のSSL証明書を有効にするだけで済むこともあります。費用も、中小企業や店舗のサイトであれば無料の証明書で足りるのが一般的です。

ただし、次の2つで止まることがあります。

• 混在コンテンツ：ページ本体はhttpsになったのに、中で読み込んでいる画像やファイルがhttpのまま残っている状態です。1つでも残っていれば警告は消えません。古いサイトほど起きやすく、該当箇所を1つずつ書き換える必要があります
• 転送設定の抜け：httpからhttpsへ自動で送る設定を入れないと、同じ内容のサイトが2つ並存している状態になります。検索エンジンの評価が2つに割れるうえ、古いリンクを踏んだ人は警告付きの方を見ることになります

証明書の設定と転送設定はひと組だと覚えておくと、依頼するときに話が早くなります。

当社のサイトがどうなっているか

参考までに、いま読んでいただいているこのサイトの状態を書いておきます。

• 全ページ https で配信しています。アドレス欄に警告は出ません
• 証明書の更新は自動で続きます。期限が近づくたびに人が手を動かす作りにはしていないので、うっかり切らすということが起こりません
• http で開かれた場合は https へ転送します。古いリンクからでも、警告のない方へ届きます

当社がお作りするお客様のサイトも同じ作りです。SSL証明書の費用を別途いただくことはありませんし、更新期限の管理をお客様にお願いすることもありません。この種の「気づかないうちに切れて、ある日警告が出る」類の作業は、事業者側で持つべきものです。

実際に聞かれた質問

地味な割に、効きが早い

「保護されていない通信」は、地味な割に効きが早い項目です。

• 出しているのはブラウザ：ページが攻撃されているのではなく、通信が暗号化されていないという告知
• 中身は関係ない：フォームが無くても、会社案内だけでも同じように出る
• 実害は離脱：引き返した人は何も残さないので、失ったことに気づけない
• 名刺・チラシからの流入で最も損をする：関心を持ってくれた相手にこそ効いてしまう
• 検索順位は上がらないが、放置は減点：悩む時間の方がもったいない
• 証明書と転送設定はひと組：片方だけでは警告が消えない、評価が割れる

まずは自社のサイトを開いて、アドレス欄の左端を見てみてください。確認は1分で終わります。