SSL/HTTPS
SSL/HTTPSえすえすえる・えいちてぃーてぃーぴーえす
SSL/HTTPSとは、サイトと訪問者のあいだでやり取りされる情報を暗号化し、接続先が本物のサイトであることを証明する仕組みのこと。現在のブラウザは未対応のサイトに「保護されていない通信」と表示するため、集客の巧拙以前に、信用を落とさないための前提条件になっています。
技術の話に見えて、実際に削られているのは「信用」
SSLは通信を暗号化する技術の総称で、HTTPSはその暗号化を使ったWebの通信方式です。厳密には現在使われているのはSSLの後継であるTLSですが、実務では「SSL化」「常時SSL」という呼び方が定着しています。仕組みとしては、サイト運営者が認証局から証明書を取得してサーバーに設置し、訪問者のブラウザがその証明書を検証したうえで暗号化された通信を始める、という流れです。暗号化によって通信の途中で内容を盗み見られることを防ぎ、証明書によって「接続した先が偽サイトではない」ことを確かめる。この2つがセットになっている点が要点です。
中小企業にとって重要なのは、技術的な中身よりも表示のされ方です。Chromeは2018年7月のバージョン68以降、HTTPのページすべてに「保護されていない通信」と表示するようになりました。パスワードやクレジットカードの入力欄がある場合は、さらに強い警告が出ます。訪問者の多くは技術的な意味を理解していませんが、「危険かもしれない」という印象だけは正確に受け取ります。問い合わせフォームの直前でこの表示に気づけば、送信をためらうのは自然な反応です。会社の実態がどれほど誠実でも、最初の画面で不安を渡してしまえば、その先の説明は読まれません。
検索面での扱いも押さえておく価値があります。Googleは2014年、HTTPSをランキングの軽い評価要素のひとつとして使うと公表しました。あくまで軽い要素であり、HTTPS化しただけで順位が上がるものではありません。ただし現在では大半のサイトが対応済みであるため、対応していないこと自体が例外的な状態になっています。さらに、ブラウザの新しい通信方式（HTTP/2やHTTP/3）は実質的にHTTPSを前提としており、未対応のままでは表示速度の面でも不利になります。かつては証明書の費用が導入の壁でしたが、Let's Encryptのように無償で発行できる仕組みが広く普及し、多くのレンタルサーバーが管理画面から数クリックで設定できるようになりました。費用でも難易度でもなく、単に手を付けていないだけという状態が、いま最も損をしています。
警告表示は、まだ何も伝えていないうちに信用を1段下げる。
顧客心理の視点で見ると、SSL/HTTPSは「安心を足す施策」ではなく不安を発生させないための土台です。訪問者は、鍵マークが表示されていることに気づいて安心するわけではありません。ふだんは何も感じず、警告が出たときだけ強く反応します。つまりこの施策の効果は、プラスを生むというより、無自覚に発生していたマイナスを止めることにあります。とくに影響が出るのは、初めて訪れた会社のフォームに社名・氏名・電話番号を入力する場面です。相手をまだ信用しきれていない段階で「保護されていない通信」と表示されれば、入力の手が止まります。顧客は理由を説明してくれないまま離れるため、社内では「問い合わせが少ない」としか見えず、原因が警告表示にあることに誰も気づかないまま何年も過ぎることがあります。フォームの文言を練り直す前に、まずブラウザが何と表示しているかを自分の目で確認する。順番としてはこれが先です。
仕組み化の視点では、SSL/HTTPSは「一度やって終わり」ではなく期限のある設備として扱います。証明書には有効期限があり、切れた瞬間にサイト全体が強い警告画面に置き換わります。何年も安定して動いていたサイトが、ある朝突然開けなくなる。この事故の大半は、担当者の異動や退職で更新作業の引き継ぎが漏れたことが原因です。だから設計すべきは、証明書を入れる作業ではなく更新が自動で回り、失敗したら人に通知が届く状態のほうです。具体的には、自動更新に対応したサーバーや発行元を選ぶ、更新の成否をメールで受け取る宛先を個人ではなく共有アドレスにする、有効期限を社内カレンダーに登録しておく。この3点で、属人的な記憶に頼らない運用になります。あわせて、HTTPでアクセスされたときにHTTPSへ自動転送する設定と、ページ内の画像やスクリプトがHTTP参照のまま残っていないか（混在コンテンツ）の確認も、移行時に一度で済ませておきます。
AI活用の視点では、移行後の点検と監視を軽くできます。サイト内のリンクやリソースの記述を渡して、HTTPのまま残っている箇所を洗い出させる、リダイレクト設定の記述に誤りがないか確認させる、といった使い方です。証明書の期限やサイトの応答状態は無料の監視サービスで自動チェックし、異常時にチャットへ通知する形にしておけば、担当者が毎日見に行く必要はありません。ARGASのような追跡の仕組みを併用していれば、移行の前後で問い合わせ数や離脱の傾向が変わったかを実データで確認できます。点検と監視は自動化し、人は表示の見え方を自分の目で確かめることに時間を使う。この分担が現実的です。
図解：訪問者に何が見えているか／移行の4手順
上段は、同じ内容のサイトでもHTTPとHTTPSで訪問者の画面がどう違うかの対比です。下段は、対応していない場合に踏む4つの手順を並べています。
事例で見る：国内・海外
Chromeの表示変更と無償証明書の普及 ── 「例外的な状態」の側が入れ替わった
HTTPSが一般化した背景には、ブラウザ側の方針転換があります。Googleは2014年に、HTTPSを検索順位の軽い評価要素として使うと公表しました。さらにChromeは2018年7月のバージョン68以降、HTTPのページすべてに「保護されていない通信」と表示する方式へ変更しています。それまでは対応しているサイトに安全の印を出す形でしたが、以降は対応していないサイトに警告を出す形へ反転しました。同じ時期に、非営利団体ISRGが運営するLet's Encryptが無償の証明書を自動発行する仕組みを広く提供し、多くのレンタルサーバーやホスティング事業者がこれを標準機能として組み込みました。費用と手間という2つの導入障壁が下がった一方で、未対応のサイトには明確な警告が出るようになった。この2つが重なったことで、HTTPSは「対応すると有利になるもの」から「対応していないと目立つもの」へ位置づけが変わりました。個別企業の改善率などの数値は出典によって幅があるため、ここでは扱いません。
問い合わせが伸びない製造業のサイト ── 原因はフォームの文言ではなかった
たとえば、部品加工を手がける地方の製造業が、10年以上前に制作した会社サイトを使い続けている場合を考えます。展示会で名刺交換した相手が後日サイトを見に来る、という流れが主要な導線です。担当者は「問い合わせが少ない」という課題を、フォームの項目数や見出しの言い回しの問題として捉えていました。しかし実際にスマートフォンで自社サイトを開くと、アドレス欄には「保護されていない通信」と表示されています。相手は会社の技術力を検討する前に、まず「このサイトは大丈夫なのか」という別の判断を挟まされている状態でした。ここでの対応は難しいものではありません。契約中のサーバーの管理画面で証明書を有効化し、全ページをHTTPSに切り替え、旧URLからの自動転送を設定する。あわせて、本文に残っていたHTTP参照の画像を修正します。作業自体は数時間規模で、費用も無償の証明書であれば発生しません。文言の改善はその後に着手すれば十分です。これは特定企業の実績ではなく、制作から年数が経ったサイトで実際に起きやすい代表的なパターンとして示しています。
現場での使い方：5ステップ
- 自社サイトを訪問者と同じ画面で開くPCとスマートフォンの両方で、アドレス欄の表示を確認する。「保護されていない通信」が出ていれば、そこが最優先の課題。
- 契約中のサーバーで証明書を有効化する多くのレンタルサーバーは無償証明書に対応しており、管理画面から設定できる。まず自社の契約内容を確認する。
- 一部ではなく全ページをHTTPSにするフォームだけ対応しても、他のページで警告が出れば同じこと。常時HTTPSにしたうえで、HTTPからの自動転送を設定する。
- 混在コンテンツを潰す本文中の画像・スクリプトにHTTP参照が残ると、鍵マークが出ない。移行直後に全ページを開いて表示を確認する。
- 自動更新と期限監視をセットにする証明書は期限切れでサイト全体が警告画面になる。自動更新を有効にし、通知先は担当者個人でなく共有アドレスにする。
関連用語
まとめ：説得を始める前に、不安を渡さない状態にする
SSL/HTTPSは、通信を暗号化し、接続先が本物であることを証明する仕組みです。対応していないサイトはブラウザに「保護されていない通信」と表示されるため、内容を読んでもらう前の段階で信用が削られます。訪問者は理由を告げずに離れるので、社内からは原因が見えません。無償の証明書と自動設定が普及したいま、費用も難易度も導入の壁にはなりません。全ページをHTTPSにし、自動転送と混在コンテンツを片付け、更新が自動で回る状態まで作れば作業は完了です。点検と監視は自動化し、人は訪問者と同じ画面を自分の目で確かめる。不安の材料が消えてはじめて、顧客は本題の判断に集中できます。
