サイトのセキュリティを強化！SSL対応のメリットデメリット

GW中にこのブログや整体院のサイトを常時SSL化（https対応）しました。

とはいえ･･･「SSLって何？」という方がほとんどだと思います。

すご〜く簡単に書くと、常時SSL化するということは「このサイトに訪問した人（つまりあなた）の個人情報がしっかり守られる」ということを意味します。

最近はインターネットで個人情報の漏洩が問題になることがよくありますが、それを未然に防ぐための対策の一つですね。

この記事を公開している時点では、整体院のサイトでSSL化しているところはほとんどありません。しかし、整体院は患者さんの体の悩みという重要な個人情報を扱うので、本当はできるだけ早急にSSL化しておくべきだと思います。

記事冒頭の画像のようにURLが表示されている横にグリーンで「保護された通信」とでているかどうかで簡単に判断できます。

整体院だけでなくデリケートな内容のサイトを閲覧するときや、ショッピング、問合せフォームを使う場合は必ずチェックする習慣をつけることをお勧めします。

せっかくなのでSSL対応する必要性についてもう少し詳しく書きました。もし興味がある方は目を通してみてください。インターネット偏差値（？）が少しあがると思います。

そもそもSSLとは何か？

SSLというのはSecure Socket Layerの略で、TLS（Transport Layer Serurity）とも呼ばれます。厳密に言うとSSLとTLSは違うのですが普通の人は違いを気にする必要はありません。

SSLは次の2つの役割を提供します。

• ブラウザとサーバーの通信（例えばフォームを送信）した内容を暗号化して盗聴を防ぐ
• 通信相手の正当性（例えばフィッシングサイトかどうか）を確認する

SSL対応しているかどうかはURLを見るとこで見分けることができます。

• URLが「http://〜」で始まる→SSL未対応
• URLが「https://〜」で始まる→SSL対応

sがあるかどうかがポイントですね。そのため、SSLのことをHTTPSと呼ぶこともありますが、同じ意味と解釈してもらってOKです。

実際にはブラウザのアドレスバーに明示されます。例えばChrome（Google製のブラウザ。国内シェア1位 2017年 ウェブレッジ調べ）だと次のように表示されます。

他のブラウザでもたいては鍵マークが表示されて一目でSSL対応かどうか分かるようになっています。ページを開いたら一度はアドレスバーを見るようにしましょうね。

safariの場合　MacのためのSafari: 「Safari」を使用して暗号化された Web サイトを識別し、詐欺 Web サイトを避ける

常時SSLとは？

常時SSLというのはサイト内の全ページをSSL化することです。

昔はユーザーの情報をやり取りする部分（ログイン画面や問合せフォーム）のみSSL化しているケースが多かったのですが、その場合それ以外のページを閲覧した情報は盗聴可能でした。

しかし、プライバシーが重要視される現在では、あらゆる情報を暗号化した方がよいという風潮になってきており、大企業のサイトやショッピングサイトでは常時SSL化が進んでいます。

SSL化さていると何が安心なのか？

先ほども書きましたが、まず通信内容の秘密が守られます。

そのため、フォームで名前や住所、カード番号などの個人情報を送信した場合に内容が第三者に漏洩する心配がなくなります。

もう一つは、今見ているサイトが信頼できるかどうかの目安となります。

以前、銀行やネットショッピングサイトをそっくり真似した「なりすましサイト」に誘導し、カード情報やパスワードを盗む「フィッシング」が問題となりました（今でもあります）。

しかし、SSL化するためには第三者機関であるSSL認証局が発行したサーバー証明書が必要で、一定の審査（証明書の種類によって審査の難易度は変わる）があります。そたのめ、フィッシングサイトで証明書を取得することは難しいです。つまりHTTPS化しているサイトはなりすましサイトの可能性が低く、信頼できるサイトであるといえます。

特に金融機関や大手企業はもっとも信頼性の高い証明書を取得しており、下図のようにアドレスバーに企業名が表示されます。

このようなサイトは、まずフィッシングサイトの可能性はありません。

重要な個人情報を送る場合は、必ずアドレスバーを見てSSL対応かどうかチェックする習慣をつけましょう。それだけで、情報漏洩する確率がグンと下がります。

SSL化とGoogleの関係

ここからはWebサイト運営者の人にしか関係のない話なので、そうでない方は読む必要はないと思います。逆に、サイトを運営している人にはよく読んでほしい情報です。

2014年にGoogleは「HTTPS をランキング シグナルに使用します」と発表しました。

これはSSL化しているかどうかを検索順位の評価項目の一つに加えるということです。検索順位に与える影響はわずかだと思いますが、SEO対策としてやっておいた方がベターです。

それよりも気になるのはGoogleが「いずれChromeで全てのHTTPページに警告を表示する」と言っていることです。

Google Chrome、HTTPページに対する警告を強化 – ITmedia エンタープライズ

文章だけではピントこないと思うので画像付きで説明しますね。

現在のChromeではSSL未対応（http://〜）の場合、アドレスバーには次のように表示されます。

一方、HTTPS未対応のページで入力フォームに入力すると次のように表示されます。

これは「保護されていない通信」がグレーなので気づかないかもしれません。

ついでに、SSL通信に問題がある場合（SSL証明書の有効期限切れなど）はこんな風に表示されます。

これは赤字でかなりインパクトがあります。こういう表示があると何だか不安になりますよね。

ここで話を最初に戻すと、「全てのHTTPページに警告を表示する」というのは、SSL対応していないサイトはすべて3番目の赤字のように表示される可能性があると言うことです。実際、現在のChromeでは裏ワザ（アドレスバーにchrome://flagsと入力）で次のような設定が出てきます。

ここで「HTTPには常に「危険」の指定を付ける」を選ぶとSSL化していないサイトは次の様に表示されてしまいます。

もしこの表示がデフォルトになると、SSL化されていないサイトは内容とは無関係に「このサイトは信用できるのかしら？」と思われてもおかしくありません。人によってはサイトを見るのをやめてしまう可能性もあります。

本当にこの設定がデフォルトになるかどうかわかりませんが、Googleは「HTTPS Everywhere」を掲げてその実現に向けていろいろな施策を進めているので実施する可能性は高いと思います（さすがに赤文字ではなくもっと控えめな表示になるかも知れませんが･･･）。

この他にもサイトのSSL化は、サイトの表示速度が速くなったり、サイトを管理しているCMS(WordPressなど）がハッキングされにくくなるというメリットもあります。

以前はSSL化することに対するデメリットが色々ありましたが、一番の問題であった証明書の価格も非常に安くなっています。サイト運営者の方は是非SSL化を検討してみてください。

結局、それはサイトを訪れるユーザーのためでもありますからね。