httpsとは通信内容を暗号化しセキュリティを向上させたhttpのことで、第三者による情報の盗聴や改ざんのリスクを抑制可能です。Googleなどの検索エンジンもhttps化を推奨しており、対応しているか否かは検索順位にも影響を与えます。

本記事では、httpsの概要やhttpsに変更する方法、初心者がしがちな勘違いについて詳しく解説します。
httpsについて知りたい方、情報漏洩や改ざんを防ぎたい方は、ぜひ参考にしてください。

httpsとは

httpsとは、暗号化通信（SSL）で安全性を向上させたhttpのことです。httpはデバイスやOSに依存せず、Webサイトの閲覧を可能にする規格・ルールです。

例えば、パソコンであってもWindowsやMacなど複数存在しますが、httpという共通ルールを設け同様に表示できる仕組みになっています。httpsはhttpのデータを暗号化したもので、第三者による情報の盗聴や改ざんのリスクを抑制可能です。

暗号化通信（SSL）とは

SSLとは、インターネット上の通信を暗号化し安全性を確保する規格やルール（プロトコル）のことです。
Secure Sockets Layer（セキュア・ソケッツ・レイヤー）の略で、以下の目的で1995年に開発されました。

• セキュリティの確保
• 認証
• データにおける整合性の確保

SSLが注目されている理由の一つがフリーWi-Fiの普及です。フリーWi-Fiに接続すれば、通信料を気にせずインターネットを活用できる一方で、セキュリティが脆弱なものも存在します。SSLで暗号化されていれば、悪意のある第三者が通信内容を盗聴しても、内容を把握できません。
⇒SSLとは？仕組みや役割、メリット・デメリットを簡単に解説

SSLと類似した言葉に「TLS」があります。TLSは、SSLの課題である脆弱性を解決した次世代プロトコルです。

httpsとhttpの違い

httpsとhttpの違いはセキュリティの強度です。どちらも、通信の仕組みである点は変わりません。ただ、httpsは通信が暗号化されているため、安全性が高い傾向があります。
郵便物に例えるのであれば、httpsは封筒に入った手紙で、httpはハガキです。ハガキは外部からも簡単に内容を確認できる一方、手紙は封筒を開封しなければ中身を確認できません。

httpsにおける通信の仕組み

httpsの通信は以下の順に行われます。

1. クライアントがサーバーに要望を送付
2. クライアントが公開鍵付きサーバー証明書を受信
3. クライアントが共通鍵を暗号化しサーバーに送付
4. 共通鍵暗号方式で暗号化通信を行う

順に解説していきます。

クライアントがサーバーにリクエストを送る

httpsの通信を行う場合は、クライアントがサーバーにTLS接続の要望を送ります。TLSとは、インターネット通信でプライバシーとデータの完全性を提供するセキュリティ規格のことです。TLSはWebサイトの閲覧だけではなく、メールやメッセージの暗号化にも利用されています。

クライアントが公開鍵付きサーバー証明書を受け取る

サーバーが要望を受信すると、クライアントに対し公開鍵付きサーバー証明書を送付します。公開鍵付きサーバー証明書とは、Webサイトのドメイン名と通信の暗号化に使用されるキーである公開鍵を含んだ証明書のことです。
クライアント側は、ブラウザに搭載されているルート証明書で署名を確認し証明書を検証します。ルート証明書は、デジタル証明書を発行する認証局が、自身の正当性を証明するために自ら署名・発行したものです。

クライアントが共通鍵を暗号化しサーバーに送る

公開鍵付きサーバー証明書の確認後、クライアントが共通鍵を暗号化しサーバーに送付します。公開鍵により暗号化された共通鍵は、サーバーが持つ秘密鍵でのみ復号化が可能です。

共通鍵暗号方式で暗号化通信を行う

共通鍵をクライアントとサーバーの双方が所有したら、共通鍵暗号方式で通信が行われます。共通鍵暗号方式は、暗号化と復号に同じ鍵を使う暗号方式です。

httpsサイトのメリット

httpsサイトには以下のメリットが存在します。

• データの盗聴や改ざんの防止
• SEOへの効果
• Webサイトの高速化
• ログ解析精度の向上

ここからは、上記それぞれのメリットについて詳しく解説します。

データの盗聴や改ざんの防止

httpsはCookieも含め通信が暗号化されるため、盗聴や改ざんを防止可能です。Cookieとは、Webサイトにアクセスした際に以下の情報が記録されるファイルのことです。

• 流入したサイトの履歴
• 入力した情報
• ID
• 利用したデバイス

httpsサイトであれば、流入者の情報を騙し取り悪用するフィッシング詐欺を防止可能です。ユーザーは個人情報やクレジットカード情報の入力を安心して行えるでしょう。

SEOへの効果

検索結果の上位に表示されるためのSEOにも効果があり、GoogleやYahoo!でのアクセス数向上が期待できます。2024年にGoogleは、Webサイトがhttps化されているか否かを検索結果の順位に反映させると発表しました。
検索順位は、アクセス数に大きな影響を与えます。どんなに良いコンテンツを作成しても、アクセスがなければ期待する効果を得られません。Webサイトの効果を高めるためには、https化が必要です。

Webサイトの高速化

通信の高速化を実現するための技術である「HTTP/2」をサポートしてるhttpsサイトでは、読み込み速度の高速化も可能です。ページの読み込み速度は、ユーザーの離脱率にも影響があります。

ログ解析精度の向上

httpsサイトであれば、解析ツールからユーザーの行動記録データであるリファラー情報を入手可能です。ユーザーのデータを分析し、PDCAサイクルを回せば成果の最大化が期待できます。

httpsサイトに変更する方法

httpsサイトへの変更ステップは以下の通りです。

1. サーバーの確認とCSRの作成
2. SSLサーバー証明書の取得とインストール
3. リダイレクト設定やリンクの置き換え

ここからは、上記の各ステップについて詳しく解説します。

サーバーの確認とCSRの作成

まず、利用しているレンタルサーバーがhttpsに対応しているかを、規約やサービス提供者に確認します。一部のレンタルサーバーはhttpsに対応しておらず、利用するサーバーの変更が必要なケースもあります。

CSR（証明書署名要求）も作成しましょう。CSRとは、https化に必要なSSLサーバー証明書を発行するための署名要求のことで、以下の情報が含まれています。

• デジタルID（公開鍵）
• 会社名や部署名、住所などの認証情報

CSRを認証機関に提出し、公開鍵と認証情報が結びついた正式なデジタル証明書を取得します。

SSLサーバー証明書の取得とインストール

次に、サイト運営者の確認と通信データの暗号化を行う機能を備えた電子証明書である、SSLサーバー証明書を取得・インストールします。「共有SSL」と「独自SSL」の2種類が存在しますが、https化には独自SSLが必要です。
独自SSLには、以下3種類があり認証の厳格度と取得コストが異なります。

• ドメイン認証型（DV）
• 企業認証型（OV）
• EV認証型

インストール方法は、レンタルサーバーにより異なるため、マニュアルやヘルプページを確認ください。

リダイレクト設定やリンクの置き換え

元のURLから別ページに転送するリダイレクト設定やリンクの置き換えを行います。リダイレクト設定をすれば、httpの古いURLをブックマークしているユーザーなどに対しても、新たなhttpsサイトを表示可能です。

リンクの置き換えも忘れずに行いましょう。httpsへ移行しても、HTMLやCSSで記述したリンクが自動変更されるわけではありません。
最後に、エラー表示されるページはないかなど、Webサイト全体を確認したら完了です。

安全性の高いサイト（httpsサイト）を見分ける方法

安全性の高いhttpsサイトを見分ける主な方法は以下の通りです。

• アドレスバーを確認する
• SSLサーバー証明書を確認する

アドレスバーを確認する

簡単にhttpsサイトを見分ける方法はアドレスバーの確認です。httpsサイトは、URLが「https://」から始まります。また、ブラウザによってはhttpsサイトの場合、アドレスバーに鍵マークが表示されます。

SSLサーバー証明書を確認する

運営者の情報を閲覧できるSSLサーバー証明書を確認する方法も効果的です。Google ChromeでSSLサーバー証明書を確認する手順は以下の通りです。

1. アドレスバーの左端にある「サイト情報を表示」をクリック
2. 「この接続は保存されています」をクリック
3. 「証明書は有効です」をクリック

上記手順で進めると以下のポップアップが表示されます。

発行先（上記であれば、sms-datatech.co.jp）がサイト運営者です。

httpのサイトにアクセスした場合の対処法

httpのサイトにアクセスした場合の対処法は、状況により異なります。ここからは、閲覧のみと情報入力をした場合にわけ、対処法を解説します。

閲覧のみの場合

閲覧のみの場合、基本的に大きな問題はありません。サイトの閲覧に関する情報は残りますが、クレジットカード情報や個人情報などが抜き取られる心配はないでしょう。

情報入力をした場合

個人情報などを入力した場合は、迅速な対応が必要です。クレジットカード情報やID・パスワードなどの認証情報は、即時変更すると良いでしょう。誰かが情報を盗み取り、不正利用する可能性があります。
Googleなどの一般的な検索サービスやブラウザでは確認できないダークウェブでは、個人データを売買するサイトが存在します。ダークウェブ上で情報が流出すれば、大きな被害を被るでしょう。

不正サイトへのアクセス以外にも、近年のサイバー攻撃や詐欺の手法は多様化しており、情報漏洩を100％防ぐことは不可能です。漏洩した際に、すぐ気づき対策ができるようにする必要があります。
情報漏洩監視ツール「ダークウェブアイ」を利用すれば、以下の機能によりダークウェブへの情報の漏洩状況を一元管理できます。

• ダークウェブからの情報探索
• 会社メール・ID・PW漏洩の即時アラート
• 対策状況の管理

情報漏洩の早期発見による迅速な対応で、リスクを最小化することが可能です。

初心者がしがちなhttpsサイトに関する勘違い

httpsサイトに詳しくない方の中には、以下の勘違いをしている人も少なくありません。

• httpsのサイトであれば安全
• httpsのサイトであればハッキングされない

ここからは、上記について詳しく解説します。

httpsのサイトであれば安全

詐欺サイトにはhttpsであるものも多く存在するため、必ずしも安全とはいい切れません。通信が暗号化されていても、アクセスしたサイト運営者に問題があれば、情報を不正利用されるリスクがあります。
近年の詐欺やサイバー攻撃には、巧妙化されたものが多いため注意が必要です。

httpsのサイトであればハッキングされない

httpsのサイトであっても、ハッキングされる可能性はあります。httpsで通信内容は暗号化されますが、ホームページ自体がハッキングされれば無意味です。

まとめ

httpsとは通信内容を暗号化しセキュリティを向上させたhttpのことで、第三者による情報の盗聴や改ざんのリスクを抑制可能です。また、SEOやWebサイトの高速化にも効果があります。
httpサイトでは通信内容が暗号化されないため、情報を入力した場合はパスワードを変更するなどの対応が必要です。また、httpsサイトであっても、ハッキングにより情報が盗まれるリスクは存在します。

情報盗聴の完全な防止は困難なため、漏洩した際にすぐ気づき迅速な対応が重要です。情報漏洩監視ツール「ダークウェブアイ」は、会社のドメイン情報を入れるだけで「いつ」「どこから」「どんな情報が」漏れてしまったのか、一瞬で分かります。
自社情報が漏洩していないか不安な方は、まず自社の漏洩状況を確認してみてはいかがでしょうか？