「保護されていない通信」と出るのはなぜ？ホームページをSSL化する手順

自社のホームページを開いたら、アドレスの横に「保護されていない通信」と出ていた。お客様から「このサイト、大丈夫ですか」と聞かれた。そんなときは、ホームページがSSL化されていないか、設定の一部がうまくいっていません。

ウイルスに感染した、乗っ取られた、という意味ではないので、まず落ち着いてください。ただ、そのままにしておくと、見る人に不安を与え、問い合わせにも響きます。この記事では、表示の理由と、直すための手順、そして「SSL化したはずなのに警告が消えない」ときの探し方を、制作する側の目線で紹介します。

「保護されていない通信」と出る理由

ホームページのアドレスには、「http://」で始まるものと、「https://」で始まるものがあります。最後に「s」が付いているほうは、見ている人とホームページの間のやりとりが暗号化されています。この暗号化の仕組みを入れることを、SSL化（常時SSL化、HTTPS化）と呼びます。

Google Chromeなどのブラウザは、暗号化されていない「http://」のページを開いたときに、アドレスの横へ「保護されていない通信」と表示します。暗号化されていないと、入力した内容を途中で見られたり、書きかえられたりするおそれがあるためです。

なお、今の仕組みは正しくは「TLS」と呼ばれますが、昔からの呼び方で「SSL」と言うのが一般的です。同じものだと考えて大丈夫です。

ブラウザやスマホでの表示と、ほかの警告文

警告の出方は、ブラウザや画面の大きさによって少しずつ違います。「うちのパソコンでは出ないのに、お客様のスマホでは出た」ということもあるので、表示の違いを知っておくと落ち着いて対応できます。

Chromeでは、鍵マークはもう出ない

以前のChromeは、暗号化されたページに鍵のマークを表示していました。Chromiumの公式ブログによると、Chrome 117からは鍵のマークをやめ、設定を表すような中立のアイコンに置きかえています。HTTPSが当たり前になったことと、鍵のマークを「信用できるサイトの印」と受け取る人が多かったことが理由です。

そのため、Chromeで鍵のマークが見当たらなくても、それだけで問題があるわけではありません。アドレスの左のアイコンを押すと、「この接続は保護されています」かどうかを確かめられます。

スマホでは、文字が出ないこともある

スマホのChromeでも、アドレスの左にアイコンが表示されます。画面が狭いため、「保護されていない通信」の文字が省かれ、アイコンだけになることがあります。気になるときは、アイコンを押して中身を確かめます。SafariやEdgeなど、ほかのブラウザでも、言葉や形は違いますが、暗号化されていないページには注意の表示が出ます。

ほかにも出る、主な警告

表示	出る場所	主な原因
保護されていない通信	アドレスの横	SSL化されていない。または、ページの一部が暗号化されていない
この接続ではプライバシーが保護されません	ページ全体（開く前）	証明書の期限切れ、証明書とアドレスが合っていない、証明書が正しく入っていない など
時計が遅れています／進んでいます	ページ全体（開く前）	見ている側の端末の日付と時刻がずれている
赤い警告画面（危険なサイト など）	ページ全体（開く前）	Googleのセーフブラウジングが、危険なサイトと判断している

このうち「この接続ではプライバシーが保護されません」は、アドレスの横の小さな表示よりずっと強い警告で、多くの人はそこで引き返します。自社のサイトで出たら、すぐに証明書の状態を確かめましょう。よくあるのは、自動更新が止まって証明書の期限が切れた場合と、「www」が付くアドレスと付かないアドレスの片方にしか証明書が入っていない場合です。

一方で、ほかの人の端末では出ず、一人の端末でだけ出る場合は、その端末の日時のずれや、ウイルス対策ソフト、社内のネットワークの設定が原因のこともあります。Chromeのヘルプでも、こうした見る側の原因が挙げられています。赤い警告画面は、不正なプログラムを仕込まれたときなどに出るもので、暗号化とは別の問題です。出た場合は、早めに制作会社や管理している会社に相談してください。

そのままにしておくと困る、4つのこと

1. 見る人が不安になる

はじめて見た会社のホームページに「保護されていない通信」と出ていると、問い合わせをためらう人が出てきます。会社の中身とは関係のないところで、印象を下げてしまいます。取引先の担当者が、社内で「この会社に問い合わせてよいか」を判断するときにも、小さな減点になりかねません。

2. お問い合わせフォームの内容が、暗号化されない

名前、電話番号、メールアドレスなど、フォームに入力された内容が、暗号化されないまま送られます。お客様の情報を預かる立場として、避けたい状態です。個人情報の扱いとの関係は、あとの節でくわしく紹介します。

3. 開く前に、警告が出るようになる

Googleは、2025年10月の公式ブログで、2026年10月のChrome 154から、「常に安全な接続を使用する」という設定を、すべての利用者で最初から有効にすると発表しています。この設定が有効になると、SSL化されていない公開のホームページをはじめて開くときに、ページの前に警告が表示され、開いてよいかを利用者に確かめるようになります。

同じ発表では、それに先立つ2026年4月のChrome 147で、「保護強化機能（強化されたセーフブラウジング）」を使っている人に向けて、先に有効にするとしています。よく訪れるサイトで警告が何度も出ることはないとされていますが、はじめて訪れる人こそ、問い合わせにつながる大切なお客様です。アドレスの横の小さな表示とは違い、ホームページにたどり着く前に引き返す人が増えるおそれがあります。

4. 検索での評価にも関わる

Googleは2014年に、HTTPSかどうかを、検索の順位を決める材料の一つに加えると発表しました。ただし、そのときから「ごく軽い要素」とされており、今のGoogleの説明でも、HTTPSにしただけで順位が直接上がるわけではないとしています。

そのうえで、安心して使えるホームページは、Googleが評価したい方向と合っている、とも説明しています。順位のためというより、見る人が安心して問い合わせできる状態にするために、済ませておくものだと考えてください。

自社のホームページを確かめる方法

次の3つを確かめてみましょう。パソコンでもスマホでもできます。

• アドレスが「https://」で始まっているか：アドレスの欄を押すと、全体が表示されます。
• 「http://」で開いたとき、自動で「https://」に変わるか：アドレスの「https」を「http」に打ちかえて開いてみます。「www」がある場合とない場合の両方で試すと確実です。
• トップ以外のページでも、警告が出ないか：お問い合わせ、会社概要、お知らせなど、いくつかのページを開いて確かめます。

トップページは大丈夫でも、ほかのページで警告が出ることがあります。これは、ページの中に「http://」で読み込んでいる画像などが残っているときに起こります。次の節で、原因の探し方を紹介します。

httpsなのに警告が出るとき（混在コンテンツ）

アドレスは「https://」なのに、「保護されていない通信」と出る。あるいは、トップページでは出ないのに、一部のページでだけ出る。このとき、もっとも多い原因が混在コンテンツです。

混在コンテンツとは

ホームページは、1枚のページの中で、文章のほかに、画像、動画、文字の形（フォント）、デザインの設定、動きを付けるプログラムなど、たくさんのファイルを読み込んで表示しています。ページそのものは「https://」でも、その中の一部を「http://」で読み込んでいると、暗号化されたものと、されていないものが混ざった状態になります。これを混在コンテンツと呼びます。

家にたとえると、玄関には鍵をかけたのに、窓が一つ開いている状態です。開いている窓から、中のものを書きかえられるおそれがあります。

どんなところに残りやすいか

• 昔書いたお知らせやブログの記事：SSL化の前に入れた画像が、「http://」のアドレスのまま残っています。
• ほかのサイトから読み込んでいる部品：地図、動画、アクセス解析、外部のフォームなどの埋め込みのコードが古いままになっています。
• デザインの設定ファイルの中：背景の画像などの読み込み先が、「http://」で書かれています。
• リンクの付いたファイル：カタログのPDFなどへのリンクが「http://」のままになっています。

なお、今のブラウザは、画像や動画などは、自動で「https://」に読みかえて表示しようとします。一方で、プログラムやデザインの設定ファイル、埋め込みの枠などは、安全のために読み込みを止めてしまいます。そのため、「表示が崩れた」「地図が出なくなった」という形で気づくこともあります。

パソコンのブラウザで、原因を探す方法

原因のファイルは、ブラウザに備わっている「開発者ツール」で探せます。むずかしそうに聞こえますが、見るだけなら壊れる心配はありません。パソコンのChromeを例に紹介します。

1. 警告が出ているページを開きます。
2. ページの上で右クリックして「検証」を選ぶか、キーボードの「F12」を押します。画面の横か下に、開発者ツールが開きます。
3. 上に並んでいる中から「Console（コンソール）」を選びます。
4. そのままページを読み込み直します。
5. 「Mixed Content」から始まる、黄色や赤の文が出ていないかを見ます。文の中に、「http://」で始まるファイルのアドレスが書かれています。それが直すべきものです。

見つかったアドレスを控えて、制作会社に伝えるだけでも、修正はずっと早く進みます。スマホのブラウザには、こうした道具は基本的に備わっていないので、パソコンで確かめてください。

直し方

見つかったファイルの読み込み先を「https://」に直します。自社のサーバーにあるファイルなら、多くはアドレスの「http」を「https」に書きかえるだけで済みます。ほかのサイトから読み込んでいる部品で、そのサイトが「https://」に対応していない場合は、別の部品に置きかえるか、自社のサーバーに置き直します。直したら、もう一度コンソールを開き、「Mixed Content」の文が消えたかを確かめます。

SSL化の6つの手順

1. サーバーに証明書を入れる

SSL化には「SSL証明書」が必要です。多くのレンタルサーバーでは、管理画面から無料の証明書を設定できます。まず、今使っているサーバーが対応しているかを確かめます。「www」の付くアドレスと付かないアドレスの両方で使えるようにしておきます。

2. 「https://」で表示を確かめる

証明書が入ったら、「https://」のアドレスでホームページを開き、正しく表示されるかを確かめます。この時点で、前の節で紹介したコンソールも見ておくと、あとの作業が楽になります。

3. 古いアドレスから転送する

「http://」で開いた人が、自動で「https://」に移るように設定します。この設定をしないと、暗号化されていないページが残り続けます。検索の評価を引き継ぐためにも必要な作業です。

4. ページの中の「http://」を直す

ページの中で読み込んでいる画像や、ページどうしのリンクに「http://」が残っていると、警告が消えません。すべて「https://」に直します。

5. 外部の登録先を直す

Googleビジネスプロフィール、SNSのプロフィール、求人サイトなど、ホームページのアドレスを載せているところを直します。名刺やパンフレットは、次に刷るときに直せば十分です。

6. 証明書の期限を確かめる

証明書には期限があります。自動で更新される設定になっているかを確かめておきます。

SSL化のあとに済ませたい、検索まわりの設定

見た目の警告が消えても、検索エンジンへの伝え方が済んでいないと、古い「http://」のページが検索結果に残ったり、評価が分かれたりします。Googleの検索の公式ガイドでも、アドレスが変わるときの手順として、次のような作業が挙げられています。

301リダイレクト（ずっと移った、という転送）

手順3の転送は、「このページは、ずっとこちらに移りました」と伝える「301リダイレクト」という形で設定します。一時的な転送の形にしてしまうと、検索エンジンに「そのうち戻るのかもしれない」と受け取られることがあります。また、「http://」から「https://www.」へ、さらに別のアドレスへ、と何回も転送を重ねず、1回で移るようにしておくのが望ましいとされています。

Search Consoleに「https://」を登録する

Search Console（サーチコンソール）は、Googleが無料で提供している、検索での状態を確かめる道具です。登録のしかたには、ドメイン全体をまとめて登録する「ドメイン」と、アドレスの始まりを指定して登録する「URLプレフィックス」の2種類があります。

• ドメインで登録している場合：「http://」も「https://」も、「www」の有無も、まとめて含まれます。追加の登録はいりません。
• URLプレフィックスで登録している場合：「http://」と「https://」は別のものとして扱われます。「https://」のアドレスで新しく登録し直します。

サイトマップを出し直す

サイトマップは、ホームページにどんなページがあるかを検索エンジンに伝える一覧です。中に書かれたアドレスを「https://」に直し、Search Consoleから新しいサイトマップを送ります。

内部リンクと、正規のアドレスの指定

ページどうしのリンク（内部リンク）は、転送に頼らず、すべて「https://」のアドレスに書きかえます。また、ページの中に「このページの正しいアドレスはこれです」と示す指定（canonical）を入れている場合は、その中身も「https://」に直します。ここが「http://」のままだと、検索エンジンが迷ってしまいます。

アクセス解析の設定

アクセス解析の道具に、ホームページのアドレスを登録している場合は、そこも「https://」に直しておきます。

SSL証明書の種類と、無料と有料の違い

SSL証明書は、「このアドレスのサーバーと、正しく暗号化してやりとりしている」ことを、発行する機関が保証するものです。どこまで確かめてから発行するかによって、大きく3つの種類があります。

種類	発行する前に確かめること	主な費用
DV（ドメイン認証）	申し込んだ人が、そのドメインを使う権利を持っていること	無料のものと有料のものがある
OV（組織認証）	ドメインに加えて、申し込んだ組織が実在すること（登記などで確認）	有料
EV（より厳しい組織認証）	業界で決められた、より厳しい基準で組織の実在を確認	有料で、もっとも高い

暗号化の強さは、どれも変わらない

大事なのは、どの種類でも、やりとりを暗号化する働きは同じだということです。違うのは、「発行する前に、申し込んだ相手をどこまで確かめたか」です。

無料の証明書の代表は、非営利の団体が発行する「Let's Encrypt」です。発行するのはDVだけで、有効期間は90日と短く、自動で更新して使う前提になっています。多くのレンタルサーバーの「無料SSL」は、こうした仕組みを使っています。

有料の証明書を考えるのは、どんなときか

以前は、EVの証明書を入れると、アドレスの欄が緑色になったり、会社名が表示されたりしました。しかし、Chromeは2019年のChrome 77で、この特別な表示をアドレスの横からなくし、アイコンを押したときの詳しい情報の中に移しています。今では、見た目だけでDVとEVの違いに気づく人はほとんどいません。

そのため、会社案内や問い合わせを受けるのが中心のホームページであれば、無料のDVで十分なことがほとんどです。取引先や社内の決まりで、組織の確認がされた証明書を求められている場合や、ネットでの決済を扱う場合などは、有料のOVやEVも検討します。

証明書の期限は、短くなっていく

証明書の決まりをつくる業界団体（CA/ブラウザフォーラム）は、2025年に、証明書の最長の有効期間を、2026年3月から段階的に短くし、2029年3月には47日にすることを決めています。これまでのように「1年に1回、手で更新する」やり方は、続けにくくなります。有料の証明書でも、自動で更新できる仕組みがあるかを確かめておきましょう。

費用の考え方

費用は、今のサーバーとホームページの作りによって変わります。

状況	費用の考え方
サーバーに無料の証明書があり、ページ数が少ない	設定と確認の作業費だけで済むことが多い
ページ数が多い、古い作りのページが混ざっている	ページの中の修正に、手間がかかる
外部の部品を多く埋め込んでいる	部品ごとに、対応しているかの確認と置きかえが必要になる
サーバーが古く、SSL化に対応していない	サーバーの引っ越しが必要になる

一般的な会社のホームページであれば、無料の証明書で、暗号化の役目は果たせます。有料の証明書を選ぶと、証明書の費用が毎年かかります。

サーバーの引っ越しが必要なほど古い場合は、スマホへの対応なども済んでいないことが多いものです。SSL化だけを直すか、この機会に作り直すかは、ホームページのリニューアルを考えたい6つのサインを目安にしてください。作り直す場合の費用は、ホームページのリニューアル費用の相場と内訳で紹介しています。

個人情報を預かる会社として

お問い合わせフォームや採用の応募フォームで、名前や電話番号を受け取っている会社は、個人情報保護法の対象になる「個人情報取扱事業者」にあたることがほとんどです。会社の大小は関係ありません。

個人情報保護法の第23条では、預かった個人データが漏れたり、なくなったりしないように、「必要かつ適切な措置」をとることを求めています。これを「安全管理措置」と呼びます。

個人情報保護委員会のガイドライン（通則編）では、この安全管理措置の一つ、技術的な対策の手法の例として、「個人データを含む通信の経路又は内容を暗号化する」ことが挙げられています。ガイドラインの例は、すべてをそのとおりに行うことを求めるものではなく、会社の規模や扱う情報に合わせて選ぶものです。それでも、フォームで個人情報を受け取るホームページを、暗号化しないまま使い続ける理由は、ほとんどありません。

あわせて、次のことも見直しておくと安心です。

• フォームの送り先：フォームの内容が届くメールアドレスを、退職した人のものや、個人のアドレスにしていないか。
• プライバシーポリシー：受け取った個人情報を何に使うか、問い合わせ先はどこかを、ホームページに載せているか。
• フォームの仕組み：古いプログラムのまま、何年も手が入っていないものを使っていないか。

ガイドラインは見直されることがあるので、くわしくは個人情報保護委員会のホームページで最新のものを確かめてください。

済ませたあとに、気をつけること

• 証明書の期限切れ：期限が切れると、「この接続ではプライバシーが保護されません」という、より強い警告が出ます。自動更新の設定と、サーバーの契約の更新日を確かめておきます。
• あとから足したページ：新しく足したページや画像に「http://」が混ざると、そのページだけ警告が出ます。埋め込みのコードを貼るときは、「https://」になっているかを見る習慣をつけましょう。
• サーバーの引っ越しやドメインの変更：引っ越し先でも証明書の設定が必要です。作業の順番を間違えると、しばらく警告が出ることがあります。
• 管理する人が分からなくなる：サーバーの契約先と管理画面の情報は、社内で分かるようにしておきます。くわしくは、ドメインとサーバーとは？で紹介しています。

こうした点検を社内で続けるのがむずかしい場合は、公開後の手入れを任せる方法もあります。費用の目安は、ホームページの維持費・管理費の相場を参考にしてください。

まとめ

「保護されていない通信」は、ホームページのやりとりが暗号化されていないときに出る表示です。見る人の不安につながり、Chromeでは2026年10月のChrome 154から、はじめて開く前に警告が出るようになります。多くのサーバーでは無料の証明書を使えるので、証明書の設定、301リダイレクト、ページの中の修正の順に進めれば直せます。

「https://」なのに警告が消えないときは、混在コンテンツを疑い、パソコンのブラウザのコンソールで「Mixed Content」の文を探します。SSL化のあとは、Search Console、サイトマップ、内部リンクの直しまで済ませておきましょう。制作会社に頼む場合は、今のサーバーの契約先が分かるものを用意しておくと、話が早く進みます。