サイトに「保護されていない通信」と表示されるのはなぜ？
サイトに「保護されていない通信」と表示される理由：原因と対処法 | We.Inc
ブラウザーがサイトを「保護されていない通信」と表示する理由を解説します。HTTPSがない、証明書の期限切れや不一致、混合コンテンツなどです。原因ごとに対処し、貼り付けたHTMLからhttp://のリンクを検出できます。
サイトに「保護されていない通信」と表示されるのはなぜ？
ページが暗号化されたHTTPS接続で配信されていないと、ブラウザーは「保護されていない通信」と表示します。原因はたいてい次の3つのどれかです。サイトにSSL証明書がない、証明書の期限が切れているかドメインと一致しない、HTTPSのページが一部のファイルをまだhttp://で読み込んでいる。それぞれの対処法を以下で説明します。
よくある原因と最初に確認すること
- すべてのページで「保護されていない通信」と表示され、アドレスがhttp://で始まる
- 証明書がない、またはHTTPSへのリダイレクトがない
- ホスティング会社でSSLを有効にし、http://をhttps://へリダイレクトする
- 接続についての全画面の警告
- 証明書の期限切れ、または別の名前に対して発行されている
- 更新するか、example.comとwww.example.comの両方を含めて再発行する
- 1ページだけ鍵マークがない
- 混合コンテンツ：そのページのファイルがhttp://で読み込まれている
- そのファイルのアドレスをhttps://に変更する（下のスキャナーを使用）
- フォームのページだけに警告が出る
- フォームの送信先がhttp://のアドレス
- フォームのactionをhttps://のアドレスに向ける
HTTPSはWebの転送プロトコルを暗号化したもので、SSL（正確にはTLS）証明書は、そのドメインが接続の所有者であることを証明するファイルです。Chromeのヘルプページによると、「保護されていない通信」のサイトでは接続のプライバシーに問題があり、訪問者が送受信する情報を第三者に見られる可能性があります。原因は順番に確認しましょう。まず証明書、次にリダイレクト、最後に混合コンテンツです。
- 先頭にhttps://を付けてサイトを開きます。ブラウザーが拒否する場合、証明書がない、期限が切れている、または別の名前用のものです。
- https://では開けるのに、http://のままでもリダイレクトされずに表示される場合は、ホスティング側で恒久的なリダイレクトを追加します。
- HTTPSで表示されるページで鍵マークがない場合は、そのページのソースを表示して上のスキャナーに貼り付けます。
- 指摘された各アドレスをhttps://に変更（またはファイルを削除）して公開し、ページを再読み込みします。
- ほとんどのホスティングサービスやWebサイトビルダーは無料の証明書を発行し、自動で更新します。期限が切れた場合は、ドメインがまだそのホストを指しているか確認しましょう。
- 訪問者はどちらも入力するので、wwwなしのドメインとwww付きの両方をカバーしましょう。
- 古いブログ記事にはhttp://のアドレスから画像を埋め込んでいることがよくあります。コンテンツ内で"http://"を検索し、まとめて更新しましょう。
- Strict-Transport-Securityヘッダーは、すべてのページがHTTPSで動作するようになってから追加してください。追加後はブラウザーがhttp://への切り替えを拒否するためです。
よくある質問
「保護されていない通信」のサイトにアクセスするのは危険ですか？
情報を読むだけのページならリスクは低いですが、そこに入力した内容（パスワード、カード番号、問い合わせフォームのメッセージ）は途中で読まれたり改ざんされたりする可能性があります。だからブラウザーは警告し、訪問者は離脱します。
SSL証明書の有効期間はどのくらいですか？
発行元によって異なります。無料の非営利認証局であるLet's Encryptによると、標準の証明書の有効期間は90日で、だからこそ自動更新が重要です。有料の証明書にはそれぞれ独自の条件があります。
「保護されていない通信」は検索順位に悪影響がありますか？
Googleは引用できるような重み付けを公表していないため、推測はしません。実際の損失は、警告を見て何も読まずに離脱してしまう訪問者です。
なぜ1ページだけに警告が出るのですか？
そのページはほぼ確実に、画像、スクリプト、フォント、埋め込み動画、フォームの送信先など、何かをhttp://で読み込んでいます。ソースをスキャナーに貼り付けてアドレスを見つけましょう。
すべてのページを編集せずに混合コンテンツを直せますか？
部分的には可能です。Content-Security-Policyのディレクティブupgrade-insecure-requestsは、すべてのリソースをHTTPSでリクエストするようブラウザーに指示します。ただし相手のサーバーもHTTPSに対応している場合にしか効果がないため、アドレス自体を直すのが確実な方法です。
原因1：証明書がない、またはリダイレクトがない
- すべてのページでアドレスバーにhttp://と表示される場合、サイトは暗号化なしで配信されています。ホスティングまたはビルダーの管理画面でSSLを有効にしましょう。ほとんどの場合、数分で無料の証明書が発行されます。
- https://で表示できるようになったら、すべてのhttp://リクエストを恒久的な（301）リダイレクトでそちらへ転送し、古いリンクやブックマークからも安全なページに届くようにします。
原因2：証明書の期限切れまたは不一致
- 証明書には有効期限があり、対象となる正確な名前が記載されています。期限が切れた場合や、www.example.comにアクセスしたのに証明書にexample.comしか記載されていない場合、ブラウザーは小さなラベルではなく全画面のエラーを表示します。
- アドレスの横のアイコンをクリックして証明書の日付と名前を確認し、ホスティング会社で更新または再発行しましょう。
原因3：混合コンテンツ
- MDNは混合コンテンツを、安全に読み込まれたページが一部のリソースをHTTPで取得している状態と定義しています。ブラウザーは画像、音声、動画を自動的にHTTPSへアップグレードしようとし、http://を使うスクリプト、スタイルシート、iframe、フォントはブロックします。
- ブロックされたファイルがあるとページの一部が壊れ、アップグレードされたファイルは相手のサーバーがHTTPSに対応していないと気づかないうちに読み込みに失敗します。どちらにしても、アドレスをhttps://に変更しましょう。
ブラウザーが自動で直すhttp://ファイルとブロックするファイル
MDNの混合コンテンツのリファレンスに基づいています。アップグレード可能なリクエストはブラウザーがHTTPSに書き換え、リストのそれ以外はブロックされます。
ブラウザーによる混合コンテンツの扱い（MDN）
- <img src>, <audio src>, <video src>, <source>
- 自動的にhttps://へアップグレード
- http://93.184.215.14/のようにアドレスがIPのみの画像
- アップグレードされずにブロック
- <img srcset>または<picture>内の画像
- ブロック
- <script src>, <link href> スタイルシート, <iframe src>
- ブロック
- Webフォント、fetch()とXMLHttpRequestの呼び出し、<object data>
- ブロック
HTTPSが動作したら役立つ2つのヘッダー
ホスティングまたはCDNで追加します。1つ目はすべてのリクエストをアップグレードするようブラウザーに求め、2つ目は今後このドメインではHTTPSのみを使うよう指示します。
すべてのリクエストをアップグレード
古いアドレスを修正するまでの応急処置です。HTTPSでも提供されているファイルにしか効果がありません。
Strict-Transport-Security（HSTS）
max-ageの単位は秒で、31536000は1年です。これを受け取ったブラウザーでは、訪問者が証明書エラーを無視して進めなくなるため、先にテストしてください。
混合コンテンツスキャナー
ページのHTMLを貼り付けてください（ページを右クリックし、「ページのソースを表示」を選んでコピー）。スキャンはブラウザー内で実行され、何もアップロードされません。
ページのHTML
http://のアドレスが{n}件見つかりました。
貼り付けた内容にhttp://のアドレスは見つかりませんでした。
アドレス
場所
どうなるか
アップグレード可能：ブラウザーが自らhttps://を試し、サーバーがHTTPSに対応していなければファイルが表示されません
HTTPSのページではブロックされます：https://に変更してください
フォームがデータを暗号化せずに送信します：actionをhttps://に変更してください
無料で始める · クレジットカード不要
関連: ガイド｜Webマーケティングと集客を学ぶ
製品
ご利用いただける方
機能
リソース
会社情報
サイトマップを見る