ホームページのSSL・セキュリティ｜最低限やることと放置のリスク

「保護されていない通信」——自社のサイトを開いたら、アドレスバーにこう出ていた。

お客様からこの相談をいただくことがあります。多くの場合、慌てるほどの事態ではありません。ただし放っておいていい話でもありません。

セキュリティの話は、脅かされると財布を開いてしまいがちな分野です。高額な対策を勧められることもあります。この記事では、煽らずに書きます。中小企業のサイトで本当に必要なのは、そんなに多くありません。

必要なのは「最低限やること」と「放置したときに実際に起きること」を知っておくことです。

SSLは「通信」を守るもので、会社を保証するものではありません

まず、いちばん多い誤解を外しておきます。

SSL（サイトとブラウザの通信を暗号化する仕組み。URLがhttpsで始まり、鍵マークが出ます）が守っているのは、通信の途中で中身を見られないことだけです。

たとえばフォームに入力した名前や電話番号が、途中の回線で盗み見られない。書き換えられない。それがSSLの役割です。

ここが大事なところです。鍵マークは、その会社が信用できるという意味ではありません。詐欺目的で作られたサイトにも、鍵マークは普通に付きます。無料で取得できるからです。

つまりSSLは「あって当たり前の土台」であって、それだけで安全になるものではありません。逆に言えば、無いと目立ちます。

自社サイトを3分で確認する4つの手順

今の状態は、専門知識がなくても確認できます。スマートフォンではなく、パソコンのブラウザで見てください。

2つめと3つめは、見落とされがちです。

トップページはhttpsなのに、古い名刺やチラシに載っているhttpのURLから入ると警告が出る。これは実際にあります。転送の設定が抜けているためです。

3つめは、ページの中に古い画像が混ざっているときに起きます。ページ自体はhttpsでも、中の画像1枚がhttpのままだと、そのページだけ鍵マークが外れます。

有料の証明書は、ほとんどの場合いりません

SSL証明書には無料のものと有料のものがあります。営業を受けて「年数万円の証明書が必要です」と言われた方もいるかもしれません。

結論から書きます。中小企業の一般的なサイトなら、レンタルサーバーに付いている無料のSSLで足ります。

無料と有料で、暗号化の強さ自体は変わりません。違うのは「誰が運営しているか」をどこまで審査するかです。有料の上位の証明書は、運営組織の実在を確認したうえで発行されます。

必要になるのは、たとえば次のような場合です。

自社サイトの中で決済を扱う。金融や医療など、取引先や業界から求められる。大量の個人情報を扱う。このあたりに当てはまらなければ、無料のもので問題ありません。

判断に迷ったら、今の維持費の内訳を見てください。何にいくら払っているかはホームページの維持費・保守費用の相場にまとめています。

本当に危ないのは、SSLより「更新の放置」です

ここからが本題です。

鍵マークは付いている。でも2年前に作ったまま、一度も更新していない。このほうが、はるかにリスクがあります。

WordPressのようなシステムで作られたサイトは、本体とプラグイン（機能を追加する部品）が定期的に更新されます。更新には、見つかった弱点をふさぐものが含まれます。放置すると、その弱点が開いたままになります。

数字で見ておきます。IPA（独立行政法人 情報処理推進機構）の届出状況によると、ウェブサイトの脆弱性に関する届出は2026年第2四半期の3か月で65件、累計では13,599件にのぼります。届け出られたものだけの数です。

これは「よくある」とも「めったにない」とも言えない数字です。大事なのは、当たったときに何が起きるかです。

最後の1つは、被害としては地味ですがいちばん頻度が高いものです。乗っ取られたわけではなく、ただ動かなくなる。そして誰も気づかない。

問い合わせが来ないときに真っ先に疑うべき点は問い合わせフォームの作り方に書きました。

そして、いちど「危険なサイト」と表示されると、復旧そのものより信用を戻すほうに時間がかかります。取引先から「おたくのサイト、警告が出るけど大丈夫？」と連絡が来る状況は、避けたいところです。

最低限やること5つ

全部をやる必要はありません。この5つで、起きやすい事故のほとんどは防げます。

4つめには補足があります。バックアップは「取れているか」より「戻せるか」です。取っているつもりでも、いざ戻そうとしたら中身が空だった。この話は実際に聞きます。一度だけ、戻す練習をしておいてください。

3つめのパスワードは、地味ですが効きます。管理画面のIDが「admin」のまま、パスワードを他のサービスと同じにしている。これだけで入られる可能性が上がります。

そして5つめが、いちばん抜けます。

「制作会社に任せている」が、いちばん危ない思い込みです

更新を誰がやるのか。ここを決めていない会社が、とても多いです。

お客様は「制作会社がやってくれているはず」と思っている。制作会社は「契約に入っていないので触っていない」と思っている。両者の認識がずれたまま、2年が過ぎます。

確認するのは1点だけです。保守契約に、システムの更新が含まれているかどうか。

月額を払っていても、中身がサーバー代だけというケースがあります。見積書の保守の欄に何が書いてあるかは、ホームページ制作の見積書の読み方で確認してください。

自社で更新する場合も、それ自体は難しくありません。管理画面にログインして、更新ボタンを押すだけです。ただし更新して表示が崩れることがあるので、バックアップを取ってから行ってください。

公開後に何をどう見ていくかはホームページ公開後の最初の3ヶ月にやることにまとめています。

※自社サイトが今どういう状態か分からない場合も、無料でご相談いただけます。確認すべき点をお伝えします。

検索の評価にも関係します（ただし過度な期待はしないでください）

SSLは検索にも関係します。ただし、ここを過大に言う情報が多いので、正確に書きます。

Googleは2014年に、HTTPSをランキングシグナルの1つとして使うと発表しています。また、同じ内容のページがhttpとhttpsの両方にある場合、httpsのページを優先して正規のURLとして選ぶと説明しています。

ただしSSLを入れたら順位が上がる、という話ではありません。あくまで土台の1つです。順位が動かない原因は、たいてい別のところにあります。

なお、httpからhttpsへ切り替えるときは転送の設定が必要です。ここを間違えると、それまでの評価が引き継がれません。リニューアルと同時に行う場合は、ホームページ制作でよくある失敗とトラブルもあわせてご覧ください。

よくある質問

参考情報

• 安全なウェブサイトの作り方｜IPA 独立行政法人 情報処理推進機構
• ソフトウェア等の脆弱性関連情報に関する届出状況［2026年第2四半期］｜IPA
• 情報セキュリティ安心相談窓口｜IPA
• HTTPS でサイトを保護する｜Google 検索セントラル
• 国民のためのサイバーセキュリティサイト｜総務省

関連記事

• ホームページの維持費・保守費用の相場｜月額の内訳と抑え方
• ホームページのドメイン・データ・著作権は誰のもの？｜制作会社を変えるときに困らないために
• ホームページ公開後の最初の3ヶ月にやること｜見るべき数字と更新の回し方
• ホームページ制作の見積書の読み方｜項目別チェックと相見積もりの比べ方
• ホームページ制作でよくある失敗とトラブル｜契約前に防ぐチェックリスト

まとめ

SSLは、通信の途中を守るものです。鍵マークが付いていても、サイト自体が安全という意味ではありません。そして無料のもので足りる会社がほとんどです。

今日できるのは、4つの確認です。httpsで開くか。httpから転送されるか。警告が出るページがないか。証明書が自動更新になっているか。

そのうえで、本当に効くのは更新を止めないことです。本体とプラグインを月1回。パスワードは使い回さない。バックアップは戻せるかまで確認する。

最後に、誰がやるのかを決めてください。「制作会社がやってくれているはず」と「契約に入っていないので触っていない」が、いちばんよくあるすれ違いです。

保守契約の中身を一度見返すだけで、この記事の大半は済みます。