WordPressのSSL化（https化）の手順と「保護されていない通信」の直し方

「保護されていない通信」と出る理由

Chrome では、https のページでも、アドレスの横に鍵の印が出ないことがあります（鍵の印は、別の形の印に変わりました）。鍵の印が無いことだけで、異常とは決められません。アドレスの横の印を押して、接続についての警告が出ていないかを見ます。

作業の前に確かめること

• バックアップ：ファイルとデータベースのバックアップを取ります（更新の前に確かめること）。
• 今の設定を控える：「設定」→「一般」の「WordPress アドレス (URL)」と「サイトアドレス (URL)」を、そのまま控えておきます。うまくいかないときに、元に戻す手がかりになります。
• ほかの人も作業していないか：サイトを作った会社や、サーバーを管理している方がいる場合は、SSL化の作業を進めてよいかを確かめます。

SSL化の手順

1. サーバーで証明書を使えるようにする

多くのレンタルサーバーでは、管理画面から、無料の SSL の証明書を使えるように設定できます。無料の証明書を使えるサーバーなら、証明書を買わずに進められます。サーバー会社の案内に沿って、そのドメインの SSL を有効にします。

• 設定してから使えるようになるまで、時間がかかることがあります。
• ドメインの向き先（DNS）が、そのサーバーになっていないと、証明書を出せないことがあります。
• 設定が済んだら、ブラウザで https://（サイトのアドレス）/ を開き、警告の画面が出ずにページが開くか、開いた後もアドレスが https:// のままかを確かめます。http:// に戻される場合や、確かめられない場合は、サーバー会社に確かめてから2へ進みます。

2. WordPressのアドレスを https にする

https で開けるようになったら、WordPressに、サイトのアドレスが https だと伝えます。切り替え方は、次のどちらかです。

• サイトヘルスのボタンを使う：「ツール」→「サイトヘルス」に「サイトで HTTPS を使用していません」と出ていて、項目を開くと「サイトを更新して、HTTPS を使用する」のボタンがある場合は、それを押すと、2つのアドレスを https に切り替えられます。WordPressが https で使えると確かめられないときは、このボタンの代わりに「サイトの HTTPS サポートについて、Web ホストの管理者に相談してください。」と出ます。その場合は、1の証明書の設定が済んでいるかを、もう一度確かめます（サイトヘルスの記事の「PHP・サーバー」）。
• 「設定」→「一般」で変える：「WordPress アドレス (URL)」と「サイトアドレス (URL)」の、最初の http:// だけを https:// に変えて保存します。ドメイン名や、うしろのフォルダの名前はそのままにします。2つのアドレスが初めから違っている場合も、同じにそろえる必要はありません。保存すると、ログインし直しになることがあります。

2つの欄が灰色で変えられない場合は、wp-config.php などで、アドレスが決められていることがあります。サイトヘルスの説明を見るか、サイトを作った会社などに確かめます。

WordPress 5.7 以降は、この切り替えで自分のサイトのアドレス（http → https）が変わると、記事の本文などに残っている、自分のサイトの http:// のアドレスを、表示するときに https に置き換える仕組みが働きます。ただ、ほかのサイトの画像や、テーマ・プラグインの設定の中に書かれたアドレスなどは、置き換わらないことがあります（下の4）。

3. http で開かれたら https へ転送する

アドレスを https にしても、http:// のアドレスで開かれることがあります（古いリンクやブックマークなど）。サーバーの設定で、http:// で開かれたら https:// へ転送するようにします。

• まず、http:// のアドレスで開いて、すでに https:// へ転送されるかを確かめます。すでに転送される場合は、新しく足さずに、どこで転送しているか（サーバーの設定・.htaccess・プラグイン）を確かめます。
• レンタルサーバーの管理画面に、「常時SSL化」などの、https へ転送する設定が用意されていることがあります。サーバー会社の案内にある方法で設定します（リダイレクトが多すぎるときの記事の「主なレンタルサーバーの案内」）。
• 転送の設定が、いくつかの場所にあって、転送先や条件が食い違うと、「リダイレクトが繰り返し行われました」と出て、ページが開かなくなることがあります（リダイレクトが多すぎるときの記事の「サーバーの転送の設定が二重になっていないかを確かめる」）。Cloudflare などの CDN を使っている場合は、その設定も関係します。

4. http の読み込みが残っているとき（混在コンテンツ）

ページを https で開いても、その中の画像・CSS・スクリプトなどを http:// で読み込んでいると、ブラウザが警告を出したり、その読み込みを https に切り替えたり、止めたりします。止められると、見た目がくずれたり、一部の機能が動かなくなったりすることがあります。どう扱われるかは、読み込むものやブラウザによって違います。

1. どこが http か見つける：パソコンの Chrome などで開発者ツール（F12 キー）を開いてから、ページを読み込み直します。「Console」に「Mixed Content」と出ていれば、http で読み込もうとしたアドレスが書かれています。
2. アドレスがどこに書かれているか確かめる：記事の本文、ウィジェット、テーマの設定（ロゴや背景の画像など）、「追加 CSS」、プラグインの設定、ページ作成のプラグインが作った CSS、テーマのファイルなどです。見つかったところで、http:// を https:// に直します。
3. ほかのサイトの読み込み：ほかのサイトの画像や部品を http:// で読み込んでいる場合は、相手が https に対応していれば、アドレスを https に変えます。対応していない場合は、その読み込みを外すか、別のものに替えます。

直った後に確かめること

• http:// のアドレスで開いて、同じページの https:// に転送されるか（トップだけでなく、記事のページも。すべてトップに移ってしまわないか）
• トップ・記事・お問い合わせなどのページで、アドレスの横の印を押して、接続の警告が出ていないか。画像や見た目がふだんどおりか。スマートフォンでも確かめます
• ログイン、管理画面、お問い合わせフォームの送信が、ふだんどおり動くか
• Google Search Console や Google アナリティクスを使っている場合は、登録しているアドレスが https のサイトに合っているか

自分で進めるのが難しいとき

次のような場合は、無理に作業を進めず、ご相談ください。

• サーバーの証明書の設定の場所が分からない
• https に切り替えたら、ログインできない・ページが開かない
• どこが http のまま残っているのか見つからない
• wp-config.php やデータベースを触ってよいか判断がつかない

WP-ingでは、WordPressの不具合の修理を承っています。状況を確かめて、作業の前に料金をご案内します。直らなければ料金はいただきません。お支払いは、直ったことを確かめていただいてからです。

よくある質問

SSL化のプラグインは使ったほうがよいですか？

SSL化のためのプラグインは、なくても進められます。サーバーの設定とWordPressの設定で、SSL化できることが多くあります。プラグインを使う場合も、サーバーの転送の設定と食い違わないように気をつけます。プラグインを止めると転送や置き換えも止まることがあるため、後で止めるときも、表示を確かめながら進めます。

SSL化すると、検索の順位は下がりますか？

Googleの案内では、http から https へのアドレスの変更も「サイトの移転」として扱われ、301 などの恒久的な転送を使えば、評価（PageRank）が失われることはないとされています。ただ、移転の後、しばらく検索の表示が変わることはあります。転送が正しく動いているかを、上の「直った後に確かめること」で確かめておきます。