WordPressサイトの「保護されていない通信」警告を修正する方法｜SSL・HTTPS設定の完全ガイド

Googleはユーザーを保護するため、ウェブサイト運営者にセキュリティベストプラクティスを優先するよう促す施策を段階的に強化してきました。その代表例の一つが「保護されていない通信」という警告表示です。この警告が出るということは、そのサイトにSSL証明書が導入されていないことを示しています。

サイト運営者であれば、訪問者にとって最良の環境を提供したいはずです。そのためには、WordPressサイトに最適なセキュリティ対策を講じることが欠かせません。

自サイトで「WordPress サイトが保護されていません」という警告が表示されているなら、この記事が解決の手助けになります。訪問者とそのデータを守る、安全なサイト作りを目指しましょう。

要点（TL;DR）： SSL証明書をインストールし、サイトをHTTPSへリダイレクトし、すべての内部リンクをセキュアなリンクに置き換え、Google Search Consoleを更新すれば、「保護されていない通信」の問題は解決できます。作業を始める前に、必ずサイト全体のバックアップを取っておきましょう。

「保護されていません」と表示される理由

この警告が表示される原因は、サイトにSSL証明書が存在しないか、インストール時に正しく設定されていないかのどちらかです。SSL証明書を導入すると、ユーザー体験とセキュリティレベルが大幅に向上します。逆に言えば、SSLに問題があると、Googleは「保護されていません」という警告を出してくるのです。

訪問者が目にするのは、主に次のような画面です：

理想的には、あなた自身にも訪問者にも、次のように表示されるべきものです：

サイトにSSL／HTTPSを設定すると、大きなメリットが2つ得られます。第一に、サイトへのすべてのトラフィックが暗号化され、プライバシーとセキュリティの面で大きな利点があります。第二に、「保護されていません」という警告が、安心感のある緑色の鍵マークに変わります。

WordPressの「保護されていません」警告を修正する手順

ここでは、作業を個別のステップに分解してご紹介します。全体の所要時間は数時間程度なので、このページをブックマークして、少しずつ進めるのがおすすめです。

この後の内容はやや技術的に感じられるかもしれませんが、焦る必要はありません。手順に丁寧に従えば、誰でも警告を解消できます。万が一に備えて、作業前に必ずサイトのバックアップを取りましょう。

1. まずSSLの事前チェックを行う

ホスティング業者や開発者が、サイト公開時にSSL証明書を設定してくれているケースもあります。まずはシークレットモード（プライベートブラウジング）で自分のサイトを開き、SSL証明書がすでに導入済みかどうかを確認しましょう。

サイトのURLが www.mybizsite.com の場合、URLの先頭に「https://」を付けて https://www.mybizsite.com とブラウザのアドレスバーに入力します。

「https://」を付けると、ブラウザはサイトのセキュア版への接続を試みます。緑色の鍵マークが表示されればラッキーです。SSL証明書の新規インストールは不要なので、混合コンテンツ（Mixed Content）問題の解消へ進みましょう。

2. サイトをバックアップする

修正作業に取り掛かる前に、必ずWordPressサイト全体の完全バックアップを取得してください。特に大きな変更を加える場合は、事前のバックアップが鉄則です。

バックアップにはBlogVaultの利用をおすすめします。万が一作業に失敗しても、ワンクリックでサイトを復元できます。

サイトをBlogVaultと連携させると、リアルタイムバックアップも有効にできます。リアルタイムバックアップなら、サイトへの変更が自動的に保存されるため、ちょっとしたミスで作業内容を失う心配がなく、常に直近の正常なバージョンに戻せるのが魅力です。

3. SSL証明書をインストールして接続を暗号化する

SSL証明書のインストールはハードルが高いと感じる人が多いですが、昔ならいざ知らず、今は多くの作業を代行してくれるプラグインがあり、格段に簡単になっています。

ただし、それでも一定の工程が必要です。以下の記事の手順に従って、慎重に進めてください。SSL証明書のインストールに関する必要情報がすべて網羅されています：

• SSL証明書の選び方
• 独自証明書のインストール方法
• SSL証明書の検証方法

証明書の種類や購入場所について疑問があれば、その記事で全て解説しています。証明書のインストールが完了したら、この記事に戻って残りのステップを進めましょう。

重要：証明書をインストールしただけでは不十分です。

4. HTTPからHTTPSへのリダイレクトを設定する

次のステップでは少し専門用語が登場しますが、サイト運営者として知っておくべき重要な知識です。HTTPとHTTPSの違いを理解しておくと役立ちます。

次に、サイト上のすべてのページが安全に配信されるようにします。つまり、すべての訪問者がSSL版のサイトにアクセスできる状態にするということです。これを実現するのが、HTTPからHTTPSへのリダイレクトです。

複雑に聞こえるかもしれませんが、WordPressでは2つの方法で実現できます：

• プラグインを使う方法
• プラグインを使わない方法

強くおすすめしたいのは、Really Simple SSLのようなプラグインを使ってHTTPからHTTPSへリダイレクトする方法です。手動で強制リダイレクトを設定すると、WordPressのコアファイルを直接編集することになり、予期しない不具合が起こりかねません。コアファイルはなるべく触らないのが賢明です。

どちらの場合でも、HTTPからHTTPSへの強制リダイレクトを解説した詳細ガイドをご用意していますので、そちらを参考にステップバイステップで進めた後、この記事に戻ってください。

強制リダイレクトが正しく機能していない場合、「混合コンテンツ」の問題が発生します。以下のようなチェックツールを使えば、簡単に確認できます：

• https://www.jitbit.com/sslcheck/
• https://www.sslchecker.com/insecuresources
• https://www.ssllabs.com/ssltest
• https://www.whynopadlock.com/

5. 内部リンクをすべてHTTPS版に検索・置換する

混合コンテンツとは、セキュアなURLと非セキュアなURLが混在して配信されている状態のことです。つまり、SSL証明書は導入済みでも、古いページの一部がまだHTTPのURLで配信されている状態を指します。

これはWordPressのテーマや画像で非常によくある問題です。

この対応も、プラグインを使う方法と使わない方法の2通りがあります。

• プラグインを使う方法
• プラグインを使わない方法

混合コンテンツの手動修正は、データベースのエントリを直接書き換えるため危険を伴います。操作を誤ると、サイト全体が崩壊する恐れもあります。作業前にBlogVaultで必ずフルバックアップを取りましょう。

リスクは最小限に抑えられますが、プラグインで混合コンテンツを修正する方が常に安全です。WPBeginnerの記事では、SSL Insecure Content Fixerプラグインの使い方を紹介しています。

それでも手動で行いたい場合は、以下の手順をおすすめします：

• 再度バックアップを取る： フルバックアップが必要な場面といえば、まさに今こそです。
• HTTPのURLをリストアップする： WhyNoPadlockなどでHTTPのURLを特定し、リストを作成します。
• Better Search Replaceをインストール： プラグインを使ってHTTPリンクを検索し、HTTPSに置き換えます。

「検索」欄にHTTPのURLを入力し、「置換」欄に同じURLのスキームをHTTPSに変更したものを貼り付けて実行します。

この方法の最大の難点は、プラグインを使うとはいえ、URLごとに一件ずつ手作業で置き換える必要がある点です。

6. Google Search ConsoleとAnalyticsを更新する

SSL証明書の導入とHTTPS配信の確認が完了したら、次はGoogleにその旨を伝えましょう。この対応を怠ると、Google Search Consoleは今後アクセスが減っていくHTTP版のデータを収集し続けることになります。

Google Search Consoleにアクセスし、HTTPS版の新しいプロパティを追加しましょう。

続いて、HTTPS版のURLに更新したサイトマップファイルを再送信します。

Search Consoleにリンクの否認（ディスアボウ）ファイルがある場合は、Google Disavow Toolを開いてHTTP版を選択し、ファイルをダウンロードして新しいプロパティにアップロードします。

その後、古いプロパティは完全に削除しましょう。

完了したら、Google Analyticsに移動し、プロパティとビューを更新します。AnalyticsがSearch Consoleと連携済みであれば、プロパティ設定 ＞＞ デフォルトのURL ＞＞ プルダウンから 「https://」 を選択するだけです。

ビュー側も同様に行います。ビューの設定 ＞＞ ウェブサイトのURL ＞＞ プルダウンから 「https://」 を選択してください。

以上で、WordPressの「保護されていません」警告の修正は完了です。

なぜサイトにSSLを導入すべきなのか？

重要なのは、未知の領域に足を踏み入れる際の多少の戸惑いよりも、この作業によって得られるメリットの方がはるかに大きいという点です。

具体的には、次のようなメリットがあります：

• サイトセキュリティの向上： HTTPSでサイトを配信するということは、SSL/TLS接続経由でサイトの情報を暗号化し、WordPressサイトを保護することを意味します。簡単に言えば、仮にハッカーが通信を傍受しても、機密情報を復号して内容を読むことはできません。
  
  金銭取引が発生するECサイトにとっては極めて重要です。取引データが暗号化されていなければ、ハッカーに決済情報を盗まれる可能性があります。
  
• Chromeの警告が消える： Chromeはブラウザ市場で73%超のシェアを持っています。Chromeの警告は、トラフィックの大部分に影響を与えます。いくつかの技術的な問題を解消すれば、「保護されていません」の問題は恒久的に取り除けます。
  
  ただし、この問題はFirefoxなど他の主要ブラウザにも及びます。Google Search Consoleからの警告通知を受け取ることもあるでしょう。恒久的な解決のためには、この記事の手順通りに進めることをおすすめします。
  
• サイト表示速度の改善： 新しいHTTP/2プロトコルは、従来のHTTP接続よりはるかに高速です。そしてHTTP/2はSSL接続を前提としています。つまり、SSL証明書の導入はサイトの読み込み速度を大きく向上させるかもしれません。
  
  「かもしれません」と述べたのは、すべてのホスティング業者がHTTP/2を自動的に提供しているわけではないからです。GTMetrixなどでパフォーマンスを測定する前に、まずホスティング業者にHTTP/2が有効になっているか確認しましょう。
  
• SEOトラフィックの増加： Google Search Centralの記事によると、HTTPSはGoogleの検索結果順位に影響する要素（ランキングシグナル）です。Google自身がSEOでの上位表示とトラフィック増加の方法を語っているのですから、従わない手はありません。Google公式だけでなく、独立系のSEOブログによる多数の分析レポートも、同じ結論に達しています。
  
• ブランドの信頼性向上： 有名SSL証明書ベンダーのGlobalSignによると、オンラインユーザーの77%が個人情報の漏洩や悪用を懸念しています。サイトに緑色の鍵マークが表示されるだけで、ブランドの信頼性は高まります。
  
  ECサイトにとってはもはや必須と言えます。「保護されていません」という警告が出ているネットショップを誰も信用しません。金融機関や大手モールではEV（Extended Validation）SSL証明書を採用する例もありますが、ポートフォリオサイトのようなシンプルなサイトでも、ブランド信頼性のためにSSLを導入すべきです。
  
• リファラルトラフィックの可視化： SEOと同様、こちらは純粋なセキュリティ目的というよりマーケティング上の理由です。しかしHTTPSは、リファラル（参照元）トラフィックをより正確に把握するのに役立ちます。多くのマーケターが見落としている点として、Google AnalyticsではHTTPSからHTTPサイトへの参照元データは記録されません。つまり、HTTPサイトがHTTPSサイトから参照トラフィックを受けた場合、そのデータは「ダイレクトトラフィック」として計上されます。
  

これは分析結果を著しく歪め、誤ったマーケティング判断につながる恐れがあります。Google Analyticsでダイレクトトラフィックが増え、参照元トラフィックが減っている理由にお悩みなら、これが大きな要因かもしれません。

次にやるべきこと

身をもって体感された方も多いと思いますが、WordPressの「保護されていません」問題の解決には、思っている以上に多くの工程があります。SSL証明書を正しく導入することは、サイトセキュリティへの確かな第一歩です。しかし、それだけでは十分ではありません。

MalCareへの登録を強くおすすめします。MalCareは総合的なWordPressセキュリティプラグインで、サイトのマルウェアを自動スキャンします。感染やハッキングの被害を受けても、MalCareならワンクリックでマルウェアを除去できます。

さらに、高度なWordPressファイアウォールがハッカーや悪質ボットからサイトを守ります。強力な学習アルゴリズムを備えたファイアウォールは、MalCareが保護する25万件以上のサイトから検出された悪意あるIPを自動的にブロックします。

よくある質問（FAQ）

なぜWordPressサイトが「保護されていません」と表示されるのですか？

サイトにSSL証明書がないか、SSL証明書の設定に不備があるため、Googleが「保護されていません」と判定しています。このChromeエラーを解消する最も簡単な方法は、SSL証明書をインストールすることです。ただし、包括的なセキュリティのためには、WordPressセキュリティプラグインの導入もおすすめします。

WordPressサイトを安全にするにはどうすればよいですか？

当ガイドに従ってSSL証明書を正しくインストールし、Google Search ConsoleとAnalyticsをサイトのHTTPS版に更新します。しかしこれはWordPressを安全にするための出発点にすぎません。サイトのハッキングを本気で防ぎたいなら、今すぐMalCareを導入しましょう。

「保護されていません」と表示されるサイトを閲覧するのは安全ですか？

結論から言えば安全ではありません。特に、決済情報などの金銭関連データを扱うECサイトでは顕著です。SSL証明書のないサイトはハッキングされやすく、深刻な被害をもたらします。単に閲覧しただけで、気づかないうちにマルウェアがPCにダウンロードされるケースもあります。

WordPressサイトはハッキングされる可能性がありますか？

はい。実際、インターネット上のあらゆるサイトは何らかの形でハッキングされ得ます。完璧なサイバーセキュリティは存在しません。WordPressは非常に人気の高いサイト構築プラットフォームであり、毎日多くのハッカーがWordPressサイトへの攻撃を試みています。ただし、WordPressサイトを確実に守る方法は存在します。

WordPress上のサイトの安全性はどのくらいですか？

WordPressサイトの安全性は、講じているセキュリティ対策次第です。徹底的なWordPressセキュリティ監査を実施し、当記事で提案している必要な対策を講じることをおすすめします。