ブラウザに「保護されていない通信」と出たら

ご自身のサイトを、ブラウザのシークレットウィンドウ（プライベートウィンドウ）で開いて、アドレスバーの左端を見てください。そこに保護されていない通信（英語表示なら Not secure）と出ていれば、訪れた人にも、同じ場所に同じ言葉が見えています。その表示を出しているのはブラウザで、サイトではありません。

この表示が何を伝えているのか、自分のアドレスを1分で確かめる方法、そしてサーバーの種類ごとに誰が直すのかを、順に説明します。

ブラウザが実際に伝えていること

この警告は、訪問者の端末とサイトのあいだの通信についてのもので、それ以外のことは何も言っていません。よくある原因は3つです。

• 通信が暗号化されていない。 ページが http のまま送られているので、そこに入力したものは、中身が見える状態で流れます。
• 証明書の期限が切れている。 証明書には必ず終了日があり、その日を過ぎています。
• 証明書が別の名前のものになっている。 その違いが www であることは、とても多いです。yourbusiness.com.au を対象にした証明書が www.yourbusiness.com.au を含んでいない、あるいはその逆、ということが起きます。

この表示が述べているのは、通信のことだけです。サイトが乗っ取られたという知らせではありませんし、ウイルスの警告でもありません。マルウェアや詐欺が疑われるページについては、ブラウザは赤い全画面の別の警告を出しますし、文言も違います。

侵入されたと受け取ると、対応を間違えます。本当の直し方はサーバー会社側の設定なのに、サイトを止めてしまう、といったことが起こります。

鍵マークを探すのはやめる

Chrome は、アドレスバーの鍵マークを設定アイコンに変えました。Firefox と Safari には、今も鍵マークが出ます。どちらにしても、確かめるべきものは鍵マークではありません。

代わりに見るのは2つです。アドレスの横に出る保護されていない通信という言葉と、この接続ではプライバシーが保護されないと告げる全画面の表示です。深刻なのは全画面のほうです。訪問者が、自分でその先へ進む操作をしなければ、サイトにたどり着けないからです。

1分でできる確認

まずはパソコンでやってみてください。これは自分のサイトで試す価値のある3つの確認のうちの1つです。

1. シークレットウィンドウを開きます。初めて訪れた人と同じ状態で見るためです。
2. www を付けないアドレスを、手で打ち込みます。yourbusiness.com.au という形です。
3. アドレスバーの左端を読みます。保護されていない通信のような言葉が出ていれば、それが問題です。何も出ていないのが、望ましい状態です。
4. 今度は先頭に www. を付けて、もう一度打ち込みます。証明書は、片方だけを対象にしていることがあるからです。
5. 3回目は http:// から始めて打ち込み、どこにたどり着くかを見ます。

手順5には、知っておきたい落とし穴があります。今のブラウザは、安全なほうのアドレスを自分から試します。そのため https:// にたどり着いたことでわかるのは、安全なほうが動いている、ということだけです。サーバー会社がリダイレクトしている証拠にはなりません。リダイレクトが設定されているかどうかは、サーバー会社に確認してください。

手順2と手順4は、スマートフォンでも繰り返してください。同じ言葉が、ずっと狭い場所に出ます。

最後に、Google ビジネス プロフィールに載せているサイトのリンクと、お客様に送っている予約用のリンクをタップしてください。人が実際に使うのは、そちらのアドレスです。ついでに営業時間が今も合っているかも確かめておく価値があります。

もっと細かく知りたいときは、無料の SSL Server Test（ssllabs.com/ssltest）が、証明書の期限と、対象になっている名前をすべて表示してくれます。

よくある原因は4つ

1. 更新が止まっている。 証明書はふつう、自動で更新されるように設定されています。カードの有効期限が切れた、設定が変わったなどの理由で更新に失敗しても、それを知らせるものは何もありません。期限の日まではサイトは動き、その日が来ると、全員に一斉に警告が出ます。
2. http で開いたまま、リダイレクトされない。 安全なほうは問題なく動いていても、古いリンク、印刷済みの名刺、掲載サイトの情報は、いまも http のアドレスを指しています。
3. ドメインを別のサーバー会社に移して、証明書が元のまま置き去りになっている。 証明書はドメイン名ではなく、サーバー契約に紐づいています。移した先で新しく発行し直す必要があり、それがすぐに終わるとは限りません。
4. 安全なページの中に、安全でないものが混ざっている。 http のアドレスから読み込まれた画像、フォント、地図などです。今のブラウザは、ページ全体について警告を出す代わりに、その部品の安全なほうを試し、無ければ読み込みを止めます。症状として出るのは、写真が表示されない、フォームが出てこない、といったことです。

誰が直すのか、サービス別

サイトが Wix、Squarespace、Shopify、GoDaddy のサイトビルダーにある場合、証明書を発行するのも更新するのもサービス側で、それはすでに払っているプランに含まれています。買うものも、入れるものもありません。そのサービスのヘルプで SSL を検索して、そこの設定を確かめてください。設定が正しそうなら、サポートに一文で伝えます。打ち込んだアドレス、ブラウザに出ていた言葉そのまま、そして今日の日付です。ドメインをつないだのがこの1〜2日のことなら、証明書はまだ準備中かもしれません。どれくらいの時間を見ているかは、そのサービスのヘルプページに書かれています。

サイトが自分のサーバー契約で動いている場合（WordPress に多い形ですが、WordPress に限りません）、証明書は Let's Encrypt のことがよくあります。Let's Encrypt は発行も更新も無料なので、更新が止まっていても、支払い漏れではありません。サーバーの管理画面にログインして、SSL または Let's Encrypt を探してください。証明書を新しく発行し直すボタンを用意しているサーバー会社は、多くあります。見当たらなければ、これはサイトを作った人に頼む仕事です。

どちらなのかわからない場合、それはふつうの答えです。サーバー会社とは、毎年サーバー代を請求してくるところです。その請求書を探してください。

どちらの場合も、リダイレクトも直しに含めるよう頼んでください。http のアドレスは、www が付いていても付いていなくても、すべて https のほうへ送られるようにします。それが無いと、誰かが古いリンクを使った時点で、警告がまた出ます。

気にしなくていいもの

• 自分のパソコンやスマートフォンだけに出る警告。 モバイル通信の2台目で確かめてください。そちらで出なければ、原因は手元の環境にあります。端末の日付がずれていると、どの証明書も期限切れに見えます。ウイルス対策ソフトや、公共Wi-Fiのログイン画面でも、同じことが起きます。
• テスト用やプレビュー用のアドレスに出る警告。 サーバー会社はプレビューに一時的なアドレスを使いますが、それは人に伝えるアドレスではありません。確かめるのは、名刺に印刷しているアドレスのほうです。
• http:// から始まる古いブックマーク。 それで安全なほうが開くなら、手元では何も壊れていません。そうなったのがサーバー会社のリダイレクトによるものか、ブラウザによるものかは、サーバー会社に聞く話です。

検索で https はどう効くのか

Google は2014年に、https を検索順位の判断材料として扱うと発表し、そのときこれを影響の小さいものだと説明しています。ですから、これを直す理由として、検索は小さいほうです。大きいほうは、はっきりしています。あの言葉はアドレスのすぐ横にあって、訪れた人は全員それを読めます。

次にやること

アドレスを4通り打ち込んでください。www を付けたもの、付けないもの、http:// から始めたもの、そしてスマートフォンで1回。それぞれ1行ずつ書き留めます。打ち込んだもの、見えた言葉そのまま、今日の日付です。

その4行を、サーバー会社か、サイトを管理している人に送ってください。「サイトに保護されていないと出ています」と伝えるより、事実を短く並べたほうが、良い答えが返ってきます。

返事が来ないとき、あるいはサイトがどのサーバー会社にあるのか誰も答えられないとき。そういう仕事こそ、私たちが引き受けます。