SSL化したのに「保護されていない通信」が出る原因は？解決に向けたチェックリストと対処法を解説

5月 12, 2026

セキュリティ

Webサイトのセキュリティ向上に欠かせないSSL化ですが、証明書を導入しただけでは「保護されていない通信」という警告が消えないケースは珍しくありません。

せっかく手間をかけてHTTPS化したにもかかわらず、ブラウザのアドレスバーに警告が表示されたままでは、訪問者に不安を与えてしまい、サイトの信頼性にも大きな影響を及ぼします。

この記事では、SSL化後に警告が出る主な原因から、具体的な調査方法、そして問題を確実に解消するための対処法までを詳しく解説します。

目次 [ close ]

SSL化後に「保護されていない通信」が表示される正体

SSL証明書をサーバーにインストールし、URLを「https://」で始めたとしても、ブラウザがサイトを完全に安全だと判断しない場合があります。

この時、多くの場合で発生しているのが「ミックスコンテンツ（混在コンテンツ）」と呼ばれる現象です。

ミックスコンテンツとは、HTTPSで保護されたページの中に、一部の画像やスクリプトなどの要素がHTTPのまま読み込まれている状態を指します。

ブラウザは、ページ内に一つでも保護されていない要素が含まれていると、ユーザーに対して警告を表示する仕組みを持っています。

つまり、証明書自体に問題がなくても、ウェブサイトの構成データが一部古いプロトコルのまま残っていることが原因です。

この警告を無視し続けると、ユーザーが個人情報を入力するのをためらうだけでなく、将来的にコンテンツが表示されなくなるリスクもあります。

Googleなどの主要なブラウザは、セキュリティ強化のために、完全に保護されていないサイトに対してより厳しい制限を課す傾向にあります。

そのため、SSL化した後には必ず「鍵マーク」が正しく表示されているかを確認し、不備がある場合は速やかに対処する必要があります。

警告が出る主な原因：なぜ「保護」されないのか

「保護されていない通信」が出る原因は多岐にわたりますが、まずは代表的なものを特定することが解決の第一歩です。

1. 内部リンクやリソースのURLがHTTPのまま

最も多い原因は、HTMLソースコード内に記述された画像（imgタグ）や外部スクリプトのパスがhttp://で始まっていることです。

背景画像やアイコン、JavaScriptファイルなど、細かなパーツが一つでもHTTPのままであれば、サイト全体としての完全な保護は成立しません。

特に、以前の環境からそのまま移行した古い記事や、手動でパスを記述したテンプレートファイルなどは見落としがちです。

2. 外部サービスの読み込みコードが古い

自サイトのファイルだけでなく、外部から読み込んでいるWebフォント、広告、SNSのウィジェットなどが原因になることもあります。

外部サービスの読み込み用タグが古いバージョンのままだと、そのサービス自体がHTTP経由でデータを配信している場合があります。

最新の外部サービスであればHTTPSに対応していることがほとんどですが、数年以上前に取得したコードをそのまま使い続けている場合は注意が必要です。

3. 常時SSL（301リダイレクト）の設定漏れ

サーバーに証明書を入れて「https://」でアクセスできるようになったとしても、元の「http://」でアクセスできてしまう状態は好ましくありません。

ユーザーや検索エンジンがHTTPの方へアクセスした際に、自動的にHTTPSへ転送される設定がなされていないと、警告が表示される場面が残ります。

これを解決するには、サーバー側の設定ファイルである.htaccessなどを用いて、恒久的な転送処理を行う必要があります。

4. SSL証明書の有効期限切れや不整合

まれに、導入したSSL証明書そのものに問題があるパターンも存在します。

例えば、無料のSSL（Let’s Encryptなど）を使用している場合、自動更新が何らかの理由で失敗し、期限が切れている可能性があります。

また、証明書の発行対象ドメインと、実際にアクセスしているドメインが一致していない場合（wwwの有無など）も警告の対象となります。

原因を特定するためのチェックリスト

どこに問題があるのかを見つけるために、まずはブラウザの標準機能を活用して現状を把握しましょう。

デベロッパーツール（検証機能）での確認手順

Google Chromeなどのブラウザで、対象のページを開き、キーボードの「F12」キーまたは右クリックから「検証」を選択してください。

表示されたパネルの中から「Console（コンソール）」タブをクリックします。

ここに黄色や赤色の警告メッセージが表示されており、その中に「Mixed Content」という単語が含まれていないかを確認してください。

コンソール画面には、具体的にどの画像やファイルが「HTTP」で読み込まれているのか、そのURLが一覧で表示されます。

このリストを確認することで、修正すべき箇所をピンポイントで特定することが可能になります。

外部チェックツールの活用

個別のページだけでなく、サイト全体の状態を把握したい場合は、オンラインのSSLチェックツールを利用するのも有効です。

「SSL Check」などのキーワードで検索すると、ドメインを入力するだけで証明書の状態やミックスコンテンツの有無を判定してくれるサービスが見つかります。

これらのツールは、サーバー側の設定ミスや中間証明書の不足など、目に見えにくい問題を指摘してくれることがあります。

「保護されていない通信」を解消する具体的な対処法

原因が特定できたら、次はいよいよ修正作業に移ります。

手順1：HTMLソース内のURLを一括置換する

サイト内の画像やリンクがHTTPになっている場合、これらをすべてHTTPSに書き換える必要があります。

WordPressを利用している場合は、データベース内のURLを安全に置換できるプラグインを使用するのが最も効率的です。

例えば、「Search-Regex」などのプラグインを使えば、http://example.comをhttps://example.comへ一瞬で変換できます。

ただし、データベースの操作はリスクを伴うため、必ず事前にバックアップを取得してから実行するようにしてください。

手順2：.htaccessによる常時SSL化の設定

どのURLからアクセスしても自動的にHTTPSへ誘導するために、サーバーの.htaccessファイルを編集します。

以下のコードをファイルの先頭付近に追記することで、HTTPへのアクセスをHTTPSに転送（301リダイレクト）できます。

Apache Conf

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

この設定を行うことで、検索エンジンの評価もHTTPS側のURLに統合されるため、SEOの観点からも非常に重要です。

設定を保存した後、ブラウザで「http://」から始まるURLを入力し、自動的に鍵マーク付きのURLに切り替わるかテストしてください。

手順3：WordPressの基本設定を変更する

WordPressを使用している場合、管理画面の設定も確認が必要です。

「設定」メニューの「一般」を開き、「WordPress アドレス (URL)」と「サイトアドレス (URL)」の項目をチェックしてください。

ここがhttp://のままになっていると、サイト内で生成される内部リンクが常にHTTPになってしまいます。

両方の項目をhttps://から始まるURLに修正し、保存ボタンをクリックしましょう。

この操作により、ログイン画面からログアウトされることがありますが、再度ログインし直せば問題ありません。

手順4：テーマやプラグインのパスを確認する

データベース内の置換だけでは解決しないのが、テーマファイル（PHPやCSS）に直接書き込まれたURLです。

特に自作テーマやカスタマイズを加えたテーマでは、ヘッダーやフッターのテンプレートにHTTPのリンクがハードコーディングされていることがあります。

CSSファイル内で読み込んでいるWebフォントや背景画像のURLも、忘れずにHTTPSへ修正しましょう。

もし、どうしても修正箇所が見つからない場合は、すべてのURLを相対パス（/images/sample.jpgなど）に変更するのも一つの手です。

手順5：外部リソースをHTTPS化または代替する

外部から読み込んでいるバナー広告やブログパーツがHTTPSに対応していない場合、それが原因で警告が消えないことがあります。

そのサービスがHTTPS版の読み込みコードを提供しているかを確認し、あれば最新のコードに張り替えてください。

もし提供されていない場合は、セキュリティ上のリスクとなるため、そのパーツの使用を停止するか、別の代替サービスへの移行を検討する必要があります。

現代のウェブ標準において、HTTPSに対応していない外部サービスは信頼性が低いと判断せざるを得ません。

ミックスコンテンツ解消のための高度なテクニック

大規模なサイトや、手動での修正が困難な場合には、以下の方法も検討に値します。

CSP（Content Security Policy）の活用

ブラウザに対して、HTTPのリソースを自動的にHTTPSで読み込むよう指示を出すことができます。

HTTPレスポンスヘッダーにContent-Security-Policy: upgrade-insecure-requestsを追加することで、一時的にミックスコンテンツの問題を回避できます。

ただし、これはあくまで「ブラウザ側での自動解釈」を期待するものであり、根本的な解決（ソースコードの修正）を推奨します。

HSTSの設定

HSTS（HTTP Strict Transport Security）は、ブラウザに対して「今後このサイトには常にHTTPSでアクセスすること」を強制する仕組みです。

一度HTTPSでアクセスしたユーザーに対して、次回以降はHTTPでの接続を試みることすらさせないため、中間者攻撃などを防ぐ効果があります。

ただし、設定を誤るとサイトに全くアクセスできなくなるリスクがあるため、十分な検証が必要です。

まずは有効期限（max-age）を短く設定してテストを行い、問題がないことを確認してから期間を延ばしていくのが定石です。

SSL化後の運用で気をつけるべきポイント

一度「保護されていない通信」を解消しても、その後の運用で再発させないための注意が必要です。

新しい記事を投稿する際、外部の古いブログから画像をコピー＆ペーストすると、URLがHTTPのまま紛れ込むことがあります。

また、ウィジェットやサイドバーのリンクを追加する際にも、常にHTTPSを意識することが大切です。

定期的にデベロッパーツールのコンソールをチェックする習慣をつけることで、早期に異常を発見できます。

Google Search Consoleからの通知にも注意を払い、インデックスされているURLが正しくHTTPSになっているかを確認しましょう。

SSL証明書の更新についても、サーバー会社が提供する自動更新機能が正常に稼働しているか、半年に一度程度は確認することをおすすめします。

セキュリティの維持は、サイト運営における「終わりのないタスク」であることを認識しておく必要があります。

よくある質問（FAQ）

質問	回答
「保護されていない通信」を放置するとSEOに影響しますか？	はい、GoogleはHTTPSをランキングシグナルとして採用しており、警告が出る状態は検索順位にマイナスの影響を与える可能性があります。
証明書は入れたのにスマホだけで警告が出ます。なぜですか？	中間証明書が正しくインストールされていない可能性があります。PCブラウザでは補完されても、一部のモバイル端末ではエラーになることがあります。
ブラウザのキャッシュを消しても解決しません。	キャッシュではなく、実際のソースコード内にHTTPの記述が残っているはずです。デベロッパーツールでソースを確認してください。

上記のように、特定の環境だけで発生するトラブルも存在するため、多角的なチェックが欠かせません。

もし自力での解決が難しい場合は、利用しているサーバーのサポート窓口や、Web制作の専門家に相談することも検討してください。

セキュリティの問題を放置することは、サイトの価値を損なうだけでなく、最悪の場合はブラウザによってサイト自体がブロックされる事態にもなりかねません。

まとめ

SSL化したにもかかわらず「保護されていない通信」が表示される原因のほとんどは、ページ内に残ったHTTPリソース、すなわちミックスコンテンツにあります。

まずはブラウザのデベロッパーツールを活用して、具体的にどのファイルが原因となっているかを正確に特定しましょう。

その上で、データベース内のURL置換、.htaccessによるリダイレクト設定、WordPressの基本設定の変更といった対策を一つずつ実行してください。

全ての要素が正しくHTTPS化されれば、アドレスバーには信頼の証である「鍵マーク」が表示されるようになります。

ウェブサイトの安全性を確保することは、訪問者の個人情報を守るだけでなく、運営者自身の社会的信用を守ることにも繋がります。

この記事で紹介したチェックリストと対処法を参考に、エラーのない完璧なSSL化を実現させましょう。

正しく設定された安全なサイト運営は、長期的な検索流入の安定と、高いコンバージョン率を維持するための強固な基盤となります。