ホームページを開いたら、アドレスの横に「保護されていない通信」と出ている。お客さんに「サイトが危ないと表示される」と言われた。そんなとき、サイトの持ち主がどこから確かめればよいかを、表示の見分け方から証明書の更新まで、6つに分けて整理しました。
ホームページを公開した日にやること、1週間以内にやること、1か月以内にやることでは、SSL（通信を暗号化する仕組み）の確認を「https://で始まり、警告が出ないか」の1行で済ませました。この記事はその1行の先です。私は北海道東川町でWeb制作をしていて、IT/Webの仕事に関わって17年になります。このサイト（kirigishi.co）も、エックスサーバーの無料独自SSLを使っています。細かい手順は公式の案内に譲り、どこを見ればよいかに絞って書きます。
この記事で確認すること
1. まず、どちらの表示かを見分ける
Chromeの公式ヘルプは、アドレスバーの左に出る表示を3つに分けて説明しています。
- 保護された通信：サイトとの間で、安全な接続ができている
- 情報、または保護されていない通信：サイトが暗号化された接続を使っていない。送受信する情報を第三者に見られたり、変えられたりするおそれがある
- 危険：個人情報を入力せず、サイトの利用を控えるよう案内される表示
「保護されていない通信」について、ヘルプは、サイトの所有者がHTTPSを使ってサイトと利用者のデータを守る必要がある、と書いています。見た人の側ではなく、持ち主の側で直す表示です。
httpのままのサイトには、もう一段の変化があります。Chromeのリリースノートによると、Chrome 154から、安全でない（http）接続でサイトに接続するとき、既定で利用者に確認を求めるようになりました。Googleの公式ブログの説明では、対象はHTTPSを使っていない公開サイトで、初めて開く前に利用者の許可を求めます。定期的に訪れているサイトについては、繰り返し警告しないとしています。設定画面では「常に安全な接続を使用する」という項目です。初めてサイトに来た人ほど、ページの前にこの確認を見ることになります。
もうひとつ、アドレスバーの小さな表示ではなく、ページ全体に「この接続ではプライバシーが保護されません」と出ることがあります。こちらはヘルプによれば、原因はサイト、ネットワーク、端末のどれかにあります。
この記事では、主に「保護されていない通信」をサイトの側から追っていきます。
2. SSLが設定されているかを確かめる
最初に見るのは、そのドメインにSSLの証明書が設定されているかです。エックスサーバーでは、サーバーパネルの「SSL設定」で、ドメインごとに無料独自SSLをオンにできます。公式マニュアルでは、無料・無制限で設定でき、追加してからサーバーに反映されるまで最大1時間程度かかると案内されています。
設定した直後にhttpsで開くと、「無効なURLです。プログラム設定の反映待ちである可能性があります」と出ることがあります。公式のよくある質問では、設定から時間が短いときに一時的に出るもので、30分から最大1時間程度待ち、ブラウザのキャッシュを消してから確かめるよう案内しています。設定をやり直す前に、まず待ちます。
もうひとつの条件がDNS（ドメインとサーバーを結びつける設定）です。DNSを自分で変えている場合、「www」ありとなしの両方のAレコードがエックスサーバーを向いている必要があります。ドメインとサーバーを別の会社で契約しているなら、この設定がどちらの管理画面にあるかから確かめます。
サーバーを選ぶ段階で確かめておきたいことはエックスサーバーを事業サイトに使う前に確認したい、5つのことにまとめています。
3. 設定しただけでは、httpsに切り替わらない
つまずきやすいのがここです。エックスサーバーの公式マニュアルは、SSLを設定しても、httpからhttpsへ自動で転送されるわけではないと明記しています。証明書があっても、「http://」で始まるアドレスで開かれれば、暗号化されない接続のまま表示されます。古い名刺やチラシ、他のサイトからのリンクが「http://」のままなら、そこから来た人には「保護されていない通信」と出ます。
転送の設定として、公式マニュアルは2つの方法を案内しています。
- サーバーパネルの「.htaccess編集」で、転送の記述を追記する（既存の記述は消さず、先頭に追記するよう案内されています）
- 「ドメイン設定」で、そのドメインの「HTTPSに転送する」にチェックを入れる（SSLが設定されていないドメインではオンにできません）
WordPressの場合は、管理画面の「設定」→「一般」で、「WordPress アドレス（URL）」と「サイトアドレス（URL）」をhttpsで始まるアドレスに変えるよう案内されています。どちらもサイト全体のアドレスを決める欄です。作業の前にバックアップを取り、慣れていなければ制作者に頼んでください。
設定が済んだら、「http://」で始まるアドレスを入力して開き、「https://」に切り替わるかを見ます。公式マニュアルも、この方法で確認するよう書いています。wwwありとなしの両方で試しておくと安心です。
4. httpsなのに警告が出るときは、ページの中身を見る
アドレスはhttpsで始まっているのに、警告が出る。この場合は、ページの中で読み込んでいるものが原因のことがあります。
エックスサーバーの公式マニュアルとよくある質問によると、画像、JavaScript、CSSなどを「http://」で始まるアドレスから読み込んでいると、「保護されていない通信」などの警告が出る場合があります。アクセス解析のタグやブログパーツのように、外部のサーバーから読み込んでいるものも、SSLで接続できる必要があります。直し方は、「http://」で始まる参照先を「https://」に変えるか、相対パス（ドメインを省いた書き方）にすることです。
WordPressなら、httpsにする前に書いた記事を疑います。本文に入れた画像やリンクのアドレスが、当時の「http://」のまま残っていることがあります。トップページだけで判断せず、古い記事も何本か開いて、アドレスバーの表示を確かめます。
5. 証明書には期限がある。自動更新が止まる条件
SSLの証明書には有効期限があります。エックスサーバーの無料独自SSLは、発行日から90日間です。公式マニュアルによると、期限の30日前・25日前・20日前に自動で更新が行われ、失敗するとメールで知らせが届きます。
ふだんは任せておける仕組みですが、マニュアルには自動で更新できない場合も書かれています。
- ネームサーバーまたはDNSの設定が、エックスサーバーを向いていない
- そのドメインに、リダイレクト（別のアドレスへの転送）の設定がある
マニュアルは、どの種類の転送がこれに当たるかまでは書いていません。3の転送を入れたあとに更新失敗のメールが届いたら、この条件を疑い、サーバー会社に確認してください。
前者は向き先を直し、後者は更新が終わるまで一時的にリダイレクトを無効にしたうえで、サーバーパネルの「SSL設定」から手動で「更新」を押します。「更新」のボタンが出ていなければ、自動更新は済んでいます。
見落としやすいのは、失敗の知らせがメールで来ることです。エックスサーバーからのメールを受け取るアドレスを、いま誰が見ているか。担当が替わって、誰も開かない受信箱になっていないかを確かめておきます。
サーバーを移すときも注意が要ります。公式マニュアルには、移転前にエックスサーバー側でSSLを設定しておく手順があり、SSLを設定する前にネームサーバーを切り替えると、一時的にサイトが正しく表示されない可能性があると書かれています。移転全体の段取りはWordPressのサーバー移転で、事前に確認しておくことにまとめています。
6. 相談するときに伝えること
1〜5を見ても分からないときは、制作者やサーバー会社に相談します。次の4点があると、切り分けが早くなります。
- どの表示か：アドレスバーの「保護されていない通信」か、ページ全体の警告か。画面の写真があると確実です
- どのアドレスで開いたか：httpか、httpsか。wwwありか、なしか
- どこで出るか：特定のページだけか、全ページか。自分のパソコンだけか、別の端末や回線でも出るか
- 最近変えたこと：サーバーの移転、ドメインやDNSの設定、プラグインの追加、外部サービスのタグの貼り付け
SSLは、設定、転送、ページの中身、更新のどこで止まっているかで、直す場所が変わります。
「保護されていない通信」が消えない、自分のサイトのSSLがどうなっているか分からない、という方は、サーバーやドメインの設定も含めて、ホームページの制作や保守をご相談ください。ホームページ制作のお問い合わせ
確認日：2026年11月10日。仕様は変更される場合があります。作業前に公式サイトの最新情報をご確認ください。
参考にした公式の案内
- 無料独自SSL設定（エックスサーバー マニュアル）
- Webサイトの常時SSL化（エックスサーバー マニュアル）
- SSLページへのアクセスで鍵マークが正常に表示されません（エックスサーバー よくある質問）
- SSLページが表示されず「無効なURLです。」と表示されます（エックスサーバー よくある質問）
- サイトの接続が安全かどうかを確認する（Google Chrome ヘルプ）
- Chrome の安全性とセキュリティを管理する（Google Chrome ヘルプ）
- Chrome 154 リリースノート（Chrome for Developers）
- HTTPS by default（Google 公式ブログ・英語）