ブラウザのアドレスバーに表示される南京錠マークの本当の意味とは？HTTPS接続とサイトの安全性を徹底解説

ブラウザのアドレスバーに表示される小さな南京錠アイコンは、色が変わったり、別のマークが重ねて表示されたり、テキストメッセージに置き換わったりすることがあります。「普通の南京錠なら安全、警告マークやメッセージが出ていれば危険」というのが一般的な理解ですが、実は話はもう少し複雑です。というのも、この南京錠が示しているのは「そのサイトとの通信がHTTPSで暗号化されているかどうか」だけであり、サイト自体が正規のものであるか、完全に安全であるかまでは教えてくれないからです。

「安全」を示す南京錠が教えてくれること

Chrome/Chromium（）、Firefox（）、Edge（）、Safari（）では、それぞれ少しずつデザインの異なる「安全な接続」アイコンが使われていますが、伝えている内容は基本的に同じです。つまり、そのサイトはSSL証明書を取得しており、送られてくるデータもこちらから送るデータもHTTPSによって暗号化されている、ということです。これにより、通信を盗み見しようとする第三者には、あなたがそのサイトで何をしているのか分からなくなります。クレジットカード番号や個人情報を入力する場面では、特に重要な仕組みです。

ひとことで言えば、通常の南京錠アイコンは「正しいサイトと安全に接続できている」ことを知らせてくれるものです。

「安全」を示す南京錠が教えてくれないこと

SSL証明書について馴染みのない方のために簡単に説明すると、SSL証明書とは「訪問しようとしているサイトが、証明機関（CA）にサイト所有者として登録された人物や企業によって運営されていること」を示すデジタルな証明書です。サイト運営者は、より高額な「EV証明書（Extended Validation／拡張認証証明書）」を購入することで、自分たちが本当に名乗る通りの存在であること（例：Amazon.comはAmazon.com社が所有している等）まで審査を受けることもできます。しかし、ごく普通のSSL証明書であれば、「そのサイトを所有している」という事実以上の何も証明せずに、誰でも無料で取得できるのです。

つまり、あなたとサイトの間の通信が覗き見から守られていたとしても、そのサイトの運営者が怪しい人物であれば、安全に送信されたデータを受け取って好き勝手に利用されてしまう恐れがあります。さらに、たとえサイトが誠実に運営されていても、データを受け取る側のサーバーやシステムが不正アクセスを受けていれば、暗号化された通信にも意味がありません。HTTPSが保護してくれるのは、あくまで「データが転送されている間」だけだからです。データが相手側に届き、セキュリティ対策が不十分なサーバーに保存されれば、そこで漏洩のリスクにさらされることになります。

結論：南京錠が示すのは「安全な接続」であって、「安全なウェブサイト」ではないのです。

その他の南京錠関連アイコンの意味

ほぼすべてのブラウザでは、暗号化された接続を閉じたグレーの南京錠で表していますが、訪問先のサイトで問題が検出された場合には、ブラウザごとに異なるアイコンや警告が表示されます。ここで押さえておきたい主なパターンを紹介します。

Chrome

HTTPページを開いている場合など、何らかの問題があるときには、南京錠の代わりに「保護されていません」（）というメッセージが表示されます。クリックすると詳細情報を確認できます。また、HTTPページ上で入力を始めると警告が赤色に変わり、入力したデータが安全に送信されない可能性があることを強調して知らせてくれます。

Firefox

Firefoxの「保護されていません」の警告は、2種類のシンボルで表されます。南京錠の上に黄色い三角の警告マークが重なったもの（）と、南京錠に赤い斜線が引かれたもの（）です。どちらもサイトが安全でないことを意味しますが、ニュアンスが少し異なります。

• 黄色い三角マーク（）が表示されるケースは2つあります。1つ目は、サイトが部分的にしか暗号化されていない場合（HTTPSを使っているものの、一部のコンテンツがHTTP経由で配信されており、改ざんされる恐れがある状態）。もう1つは、証明機関が信頼できない場合（暗号化は行われているものの、証明書自体が怪しい状態）です。
• 赤い斜線（）は、サイトがHTTPなどの安全でない接続で配信されていることを意味します。この場合は、機密性の高い情報を絶対に入力しないようにしましょう。

警告の詳細を確認したい場合は、南京錠アイコンをクリックすると、Firefoxが詳しい内訳を表示してくれます。

Edge

EdgeがChromiumベースに移行すればこの仕様も変わる可能性がありますが、従来のEdgeでは、接続が保護されているときは白抜きの南京錠（）、サイトがEV証明書を使用しているときは緑色で塗りつぶされた南京錠（）、HTTP接続やHTTPとHTTPSの混在コンテンツなど接続に何らかの問題があるときは「i」マーク（）が表示されます。

Safari

Safariの南京錠アイコン（）もEdgeと同様に、EV証明書が使われているサイトでは緑色（）に変わります。接続が暗号化されていない場合は、代わりに「保護されていません」というメッセージが表示されます。

姿を変え続ける南京錠

長い間、多くのブラウザでは南京錠を緑色で表示し、良いセキュリティ慣行を実践しているサイトであることを他のサイトと区別できるようにしていました。しかし現在では、上位100万サイトの半数以上がHTTPSを採用しており、HTTPSはもはや標準となっています。そのため、南京錠はグレーに変更され、「HTTPSを使っているサイトは特別ではない――ただ標準を守っているだけ」ということを示すようになりました。

今後、Chromeでは南京錠アイコン自体が廃止され、サイトが安全でない場合にのみユーザーへ通知する方式へ移行する可能性もあります。優れたウェブページであれば当然HTTPSを使うべきであり、わざわざ鍵マークで強調する必要はない、という考え方です。仮にサイトが機密情報を一切扱っていなくても、Googleの検索アルゴリズムは暗号化を採用しているサイトを評価するため、SSL証明書を導入することはあらゆるサイト運営者にとってメリットがあります。ユーザーがまず南京錠を意識的に確認することは少ないかもしれませんが、アドレスバーに奇妙な表示や警告メッセージを目にすれば、情報を入力する前に一度立ち止まって考えるようになるはずです。