コラム
まだSSL化していない⁈そのホームページは危険です！

COLUMNコラム

まだSSL化していない⁈そのホームページは危険です！

公開日：2023.01.17
リニューアル

ホームページのURLは「http://～」で始まりますが、「https://～」とＳが付いている場合があります。このＳはhttpにSecure（セキュア）の「S」を追加したものです。ネット犯罪数の増加に伴いSSLの重要性は年々増すばかりですが、URL変更って大変そうだし、別に今まで問題ないからこのままでもいいやと後回しにしている方はぜひこのコラムを読んで至急SSL化しましょう。

「SSL」（「Secure Sockets Layer」の略）とは、インターネット上の通信を暗号化するシステムを指します。サイト訪問者のブラウザとサーバー間の通信を暗号化することで、第三者からの傍受・改ざんなどのリスクを防ぐことができます。

●個人情報の保護

例えば「お問い合わせフォーム」から個人情報をWebサイトに送った場合、サーバーへの通信を暗号化し、悪意のある第三者が情報を盗めないようにすることが、SSLといいます。

●SSL化していないとどうなる？

SSL化していないと大きなリスクが生じます。いくつかご紹介いたします。

～個人情報の漏えいリスクの上昇～

サーバーへの通信を暗号化せず何の保護もない状態になり、悪意のある第三者がその情報を読み取るのが容易になります。会員IDやパスワード、またはクレジットカード情報が漏えいしたりすると大変な問題に発展します。

～サイトのなりすまし～

SSLサーバー証明書が導入されたサイトではブラウザの鍵マークからサイトの運営者や組織名を確認できますが、SSL化していないと悪意ある第三者が勝手に有名なWebサービスやネットバンクなどのサイトを本物そっくりに作ったページにアクセスを誘導し、IDやパスワード・個人情報や決済情報などをなりすましサイトに盗まれてしまう恐れがあります。

～サイト自体が表示されなくなる～

ブラウザによっては、SSL化されていないと、「安全なサイトではありません」などの警告が出てサイト自体が表示されない場合があります。

～検索順位が下がる～

Googleの検索エンジンには「SSL化されているサイト＝安全性が高い」と認識されます。そのため、SSL化されているWebサイトの方が上位に表示され、SSL化に対応していないWebサイトの順位は下がります。

SSL化までの基本的な流れ

実際にWebサイトの常時SSL化対応にはどのような設定が必要なのでしょうか。ここからは、常時SSL化対応の手順をご紹介いたします。

●サーバーを確認

レンタルサーバーの種類によっては、HTTPS通信に変更できないものがあるため、Webサイトのサーバーが常時SSL化に対応しているかどうかを確認します。

●SSLサーバー証明書の申請

SSLを取得するには証明書の申請が必要です。まず、SSLサーバー証明書の申請書である「CSR（Certificate Signing Request）」を作成しましょう。CSRの作成はサーバーによって異なるため、自分のWebサーバーに合わせてアプリケーションを選ぶ必要があります。

●サーバー証明書の申し込み

Webサイトの運営者の実在性を確認し、ブラウザとWebサーバー間で通信データの暗号化を行うためのサーバー証明書を申し込みます。

●認証手続き

次に認証手続きを行います。この手続きでは、ドメイン名の登録情報や電話などによる認証があります。

●サーバー証明書のインストール

認証手続きが完了したら、サーバー証明書をインストールして、設定を行えば完了となります。

【SSL証明書は3種類】

■ドメイン認証SSL

認証レベル：★

年間費用：比較的安い（無料の場合もある）

・ドメイン認証SSLは厳格な審査が不要で、証明書の発行が早いのが特徴

・個人および個人事業主でも登録でき、3種類の中で最も安価なSSL

■企業実在認証SSL

認証レベル：★★

年間費用：高い（毎年5～8万円程度）

・法人のみが登録できるのが企業実在認証SSL

・組織名が表示された証明書が発行されるため、安心かつ安全なサイトであることをアピールできる

■EV認証SSL

認証レベル：★★★

年間費用：かなり高い（毎年数十万円程度）

・3種類の中で最も厳格な審査が行われる高額なSSL

・組織の活動実態や登録された住所の正確性などの物理的な確認も行われる

サイト分析の有効活用

Webサイトは、さまざまな経由でユーザーがアクセスします。常時SSL化をすることで、Googleアナリティクスでリファラー情報を確認できるようになります。

【リファラー情報とは】

リファラー情報とは、あるWebページのリンクをクリックして、別のページに移動したときのリンク元のページの情報です。つまり「直前に見ていたページのURL」のことです。

【HTTPでは受け取れない】

WebサイトがHTTPSであれば「〇〇検索から来たユーザー」としてアクセスログに残り、自社Webサイトの分析データとして蓄積させることができますが、HTTP (非SSL)サイトではSSL化されたサイトからのアクセスがあった場合、リファラー情報が暗号化により受け取れなくなるため、どこからWebサイトを訪問したのかが不明瞭になってしまうのです。

近年はスマートフォンの利用者が急激に増え、ユーザーを守るためのSSL対応のサイトが増えています。ホームページを運営する以上、訪問数などの集計や解析は必須の作業ですが、SSL化されていないとアクセス解析が困難になるなどの問題が起きてしまいます。少しでも楽に集計できるよう常時SSL化をしましょう。