WordPressサイトにSSLが不可欠な理由と、無料でSSL証明書を取得する3つの方法

サイト運営者でなくても、WordPressがWeb上の60%以上のサイトを支える最も人気のあるCMSであることはご存じでしょう。これほど多くのコンテンツを扱う以上、セキュリティは最重要課題の一つです。だからこそ、WordPressを開発するAutomattic社が、Let's Encryptプロジェクトと提携し、WordPress.comの全サイトに無料のSSL(Secure Socket Layer)証明書を提供すると発表したのは、ごく自然な流れといえます。

SSLに馴染みのない方のために簡単に説明すると、SSLはサイトのセキュリティを強化するための仕組みです。導入すると、サイトのURLの「http」の後ろに「s」が付きます。また、サイトを開いた際にブラウザに閉じた南京錠のアイコンが表示されることでも、通信が保護されていることを確認できます。

では、自分でサーバーを用意するセルフホスト型のWordPressサイトはどうでしょうか。サイト運営者はどのようにしてサイトにセキュリティの層を追加すればいいのでしょうか。簡単に実現できる方法はあるのでしょうか。

なぜSSLを使うべきなのか?

SSLやHTTPSがECサイトだけに関係する言葉だった時代は、すでに終わりました。ECサイトには今もセキュリティ対策が必要ですが、今日のようにサイトへの脅威が増加している状況では、一般のサイトにも同様の対策が求められます。適切な知識を持つ人であれば、暗号化されていないサイトとの間の通信を傍受・改ざん・リダイレクトすることさえ可能なのです。

読者側もリテラシーが高まり、暗号化されていないサイトに対して慎重になっています。「怪しいサイトを訪れただけでウイルスに感染した」「ハッキングされた」といった話は、もはや珍しいものではありません。URLに「https」が表示されていれば、訪問者に信頼されるオンライン上の存在となれます。さらに、運営者と読者の双方にとって大きな安心感につながります。

そしてもう一つの重要な理由として、Googleをはじめとする検索エンジンが、https対応のサイトにより高い評価を与えていることが知られています。つまり、SSLで保護されたサイトは検索順位が上がりやすく、結果としてより多くのトラフィックを獲得できるのです。

サイト用の無料SSL証明書を取得する方法

かつて、SSL証明書でサイトを保護する唯一の方法は、有料で購入することでした。それだけでなく、設定作業も決して簡単ではなく、複雑な手順、コードの記述、何度も行き来する認証作業に直面しなければなりませんでした。さらに、URLの変更などを含め、新しい設定に合わせてサイトを再構成する必要もあります。こうした手間を避けるため、多くの人が高額を支払ってでも証明書の設定を専門業者に任せようとしたのも無理はありません。今でもそうしている方は少なくありません。

幸い、現在は状況が大きく改善されています。無料かつ手軽にサイト用のSSL証明書を取得できる方法がいくつかあるのです。以下に主な選択肢を紹介します。

1. 無料SSLが標準搭載されたWebホストを使う

最も簡単なのは、SSLを標準搭載しているホスティング会社を利用することです。この場合、サポートデスクに連絡して証明書を有効化してもらうだけで済みます。自分で作業する場合でも、手順は比較的シンプルで、通常はcPanelから設定できます。

2. Cloud DNSサービスを利用する

もう一つの選択肢は、Cloud DNSサービスの利用です。その多くはSSL証明書をサービスの一部として提供しています。たとえばCloudFlareは、誰でも利用できる無料プランを用意しています。セキュリティの強化に加え、これらのサービスはWebサイトの表示速度やパフォーマンス向上にも役立ちます。

3. Let's Encryptの無料SSL証明書を使う

WordPress.comが採用しているものと同様に、Let's Encryptの無料SSL証明書を利用することもできます。ただし問題点もあります。まず、手動での証明書設定は決して簡単ではなく、技術に詳しくない多くのサイト運営者は尻込みしてしまうでしょう。さらに、Let's Encryptの証明書の有効期限はわずか90日です。無制限に更新はできますが、90日ごとに永遠と更新作業を続けるのは、趣味の時間の過ごし方としては考えものです。

幸い、その悩みを解決してくれるプラグインがあります。

心強い三銃士となる3つのプラグイン

SSL設定における2つの主な課題は、「証明書を取得すること」と「認証後にサイトを調整すること」です。ここでは、この両方の問題を解決するために、3つの無料WordPressプラグインを活用します。

1. WP Encrypt

WP Encryptは、Let's Encryptサービス向けの使いやすいWordPressクライアントです。このプラグインを使えば、サイト用の無料SSL証明書を取得できるだけでなく、有効期限が切れる前に90日ごとに自動更新してくれます。更新忘れの心配が一つ減るわけです。

始め方はとても簡単です。設定ページの各項目に入力し、必要なチェックボックスにチェックを入れるだけ。「Save Changes → Register Account → Generate Certificate」の順にクリックしましょう。

ここまでで、この記事の目標である「サイト用の無料SSL証明書の取得」は達成できました。しかし、もう少し先まで進んでみましょう。

2. Remove HTTP

SSL証明書によって「http」プロトコルが「https」に変わると、サイトのコンテンツに問題が発生することがあります。サイトのURLはhttpsでも、画像・JavaScript・CSSなどのアセットが「http」リンクを参照したままになっているケースがあるからです。この状態だと、混合コンテンツ(mixed content)警告が表示されてしまいます。Remove HTTPは、リンクからすべての「https://」「https://」というプロトコル部分を、データを恒久的に変更することなく取り除いてくれるプラグインです。

設定は一切不要です。プラグインをインストールするだけで、あとは自動的に処理されます。すべてのリンクは「http:」や「https:」を前置きしない「//」のみのプロトコル相対URLへと自動的に変換されます。

3. Really Simple SSL

WP Encryptで証明書を取得したら、Really Simple SSLプラグインを有効化して、残りの作業を任せましょう。このプラグインは次のようなことを行ってくれます。

• ロードバランサーの問題やサーバー変数が設定されていない問題など、WordPressがSSLに関して抱えるほとんどの問題に対応する
• .htaccessまたはJavaScriptを使って、すべての受信リクエストをhttpsへリダイレクトする
• サイトURLとホームURLをすべてhttpsに変更する(他ドメインへのハイパーリンクは変更されない)
• siteurlとhomeurl以外はデータベースを変更しない

ただし、環境によっては手動での設定が必要になる場合もあります。

重要な注意点: Remove HTTPとReally Simple SSLをインストールした後も、サイトが正しく設定されない、あるいはまったく設定できないケースがあります。その場合の第一の選択肢は、WP Encryptの設定ページにある手順(ページ右上のHelpタブをクリック)を参考に、手動で設定を行うことです。あるいは、手動設定を代行してくれるReally Simple SSLのPro版を利用するか、前述の別の2つの方法で無料SSL証明書を取得するのもよいでしょう。

あなたのサイトにはすでにSSLを実装していますか?導入時の体験談や工夫があれば、ぜひ下のコメント欄で共有してください。