常時SSL（https化）とは、サイトの一部だけでなく全ページをhttpsで表示できるようにすることです。SEOに必要かというと、順位そのものを押し上げる力は小さい一方で、2026年10月からはhttpのままのサイトにChromeが訪問前の警告を出すようになるため、集客の入口としては無視できない話になりました。
「うちのホームページ、鍵マークは付いているようだけれど、これで大丈夫なのでしょうか」というご相談をよくいただきます。制作会社に任せきりで、いつ・どこまでhttps化されたのかを把握していない、という会社さんは少なくありません。
この記事では、そもそも常時SSLとは何なのか、GoogleがSEOの観点でどう説明しているのか、2026年10月にChromeで何が変わるのかを、公式情報にもとづいて順番に整理します。あわせて、自社サイトの状態を今日のうちに確かめる手順と、まだhttpのままの場合の移行手順もお伝えします。
専門用語はできるだけ避けて書いていますので、Webの担当者がいない会社でも、どこまで自分で確認できて、どこから業者に頼むべきかの線引きができるところまで進めます。
記事執筆者：認定SEOコンサルタント 三田健司
常時SSL（https化）とは？まずは「鍵マーク」の意味から
httpとhttpsの違いは「通信が暗号化されているか」
ホームページを見るとき、ブラウザとサーバーの間では常にデータのやり取りが行われています。このやり取りの方式がhttpとhttpsで、末尾に「s」が付くほうは通信の中身が暗号化されています。
httpのままだと、やり取りの中身がそのままの文字で流れます。同じWi-Fiにつないでいる第三者や、通信経路の途中にいる誰かが、内容を読み取ったり書き換えたりできてしまう状態です。
ここで見落とされがちなのが「書き換え」のほうです。httpsは内容を盗み見られないだけでなく、途中で書き換えられていないことも守ります。問い合わせフォームがないから関係ない、とは言い切れないのはこのためです。
Google Chromeのセキュリティチームは、httpの通信では攻撃者が移動先を乗っ取り、利用者に意図しないファイルを読み込ませられると説明しています。実際にhttpの通信を悪用して端末を侵害した事例があることにも言及しています。
「常時SSL」はサイト全体をhttpsにすること
ひと昔前は、問い合わせフォームや決済画面など、個人情報を入力するページだけをhttpsにするのが一般的でした。トップページや会社概要はhttpのまま、という作りです。
この「必要なページだけ」という考え方をやめて、サイト内のすべてのページをhttpsで表示できるようにするのが常時SSLです。英語ではAlways-on SSLと呼ばれ、日本語では「全ページSSL化」という言い方をされることもあります。
現在は常時SSLが標準です。一部のページだけhttpsという構成は、かえって設定ミスや表示崩れの原因になりやすく、あえて選ぶ理由はほとんどありません。
SSLとTLS、呼び名が2つあるのはなぜか
技術的な話を少しだけ補足します。通信を暗号化する仕組みは、もともとSSLという名前で作られ、その後にTLSという規格へ引き継がれました。
つまり、いま実際に使われているのはTLSのほうです。技術的な解説でも、HTTPSはTLSというプロトコルによってデータが保護される、という書き方がされています。
それでも商習慣として「SSL証明書」「SSL化」という呼び方が残っているため、サーバー会社の管理画面でもSSLという言葉が使われます。呼び名が2つあるだけで、指しているものは同じだと考えて差し支えありません。
証明書は「このドメインの持ち主です」という書類
httpsで通信するには、サーバーにSSL証明書（サーバー証明書）を入れておく必要があります。証明書は認証局と呼ばれる第三者機関が発行するもので、暗号化に使う鍵と「このドメインの持ち主はこの申請者です」という確認結果がセットになっています。
ブラウザは、アクセスしたサイトの証明書を見て、信頼できる認証局が出したものか、有効期限内か、ドメイン名が一致しているかを確認します。どれか1つでも欠けると、鍵マークが出ないか、警告画面が表示されます。
ここが後半で出てくる「有効期間の短縮」の話につながります。証明書には期限があり、切れたまま放置すると、順位が下がるより先にサイトそのものが開けなくなります。
https化はSEOに必要？Googleが公式に示していること
2014年からランキングシグナル。ただし「非常に軽い」
Googleは2014年8月、公式ブログでHTTPSをランキングシグナルとして使い始めたことを発表しました。SEOの話題としてhttps化が語られるようになったのは、ここが出発点です。
ただし同じ発表の中で、これは非常に軽量なシグナルであり、世界全体の検索クエリのうち1%未満にしか影響しないと明記されています。質の高いコンテンツほどの重みは持たない、とも書かれていました。
つまりhttps化しただけで順位が上がるわけではない、というのがGoogle自身の説明です。「SSL化すれば順位が上がります」という営業トークを聞いたときは、この点を思い出してください。
順位より大きいのは「間接的な影響」
順位への直接の効果が小さいのなら、なぜ必要なのか。答えは、順位以外のところで差が出るからです。
httpのサイトを開くと、Chromeはアドレスバーに「保護されていない通信」と表示します。フォームに文字を入力しようとすると、さらに目立つ警告が出ることもあります。
この表示を見て離脱する人がどれくらいいるかは、調査によって数字に幅があります。ただ、初めて訪れた会社のサイトで「保護されていない」と出れば、問い合わせをためらう人がいることは想像に難くありません。
検索順位が同じでも、たどり着いた先で不安を与えれば問い合わせにはつながりません。SEOの費用対効果を考えるなら、順位の何%という話より、この入口の作りのほうが影響が大きい場面は多いです。
2026年、httpsは「前提条件」になった
Googleは10年以上前から、Chromeでのページ読み込みのうちHTTPSが占める割合を公開しています。2015年ごろは30〜45%程度でしたが、2020年前後には95〜99%の範囲に達し、その後は横ばいが続いていると説明されています。
この数字が意味するのは、httpsはもう差をつける要素ではないということです。ほとんどのサイトが対応しているので、対応していないほうが目立ちます。
SEOの世界には「やって加点されるもの」と「やっていないと減点されるもの」があります。常時SSLは、2026年時点では完全に後者です。
もう一段の対策として「HSTS」も勧められている
Googleが運営する開発者向けサイトweb.devのHTTPS導入ガイドでは、HTTPSサイトはHSTSに対応することが推奨されています。以前はGoogle検索セントラルにも同じ趣旨の記載がありましたが、現在はweb.dev側の記事に統合されています。
HSTSは、一度アクセスしたブラウザに対して「このサイトは次からhttpsで開いてください」と指示する仕組みです。利用者がアドレス欄に「http」と打ち込んでも、ブラウザ側がhttpsで取りにいってくれます。
設定はサーバー側で行う作業なので、自社で触るというより制作会社やサーバー管理者に相談する内容です。常時SSLが済んでいる前提での、もう一段の対策と考えてください。
【2026年10月】Chromeがhttpサイトの前に警告を出す
Chrome 154で「常に安全な接続を使用する」が既定になる
2025年10月28日、Chromeのセキュリティチームが「HTTPS by default」という発表を行いました。2026年10月に公開されるChrome 154から、「常に安全な接続を使用する」という設定を既定で有効にする、という内容です。
この設定が有効になると、Chromeはすべての接続をまずhttpsで試みます。httpsに対応していないサイトへ初めてアクセスしようとしたときは、ページを表示する前に確認を求める画面が出ます。
発表資料に載っている画面では、安全な接続に対応していない旨の警告が出て、サイトへ進むか戻るかを選ぶボタンが表示されています。ページの中身を見る前に、いったん止められる形になります。
2026年4月には一部のユーザーへ先行して適用済み
この変更は、いきなり全員に適用されるわけではありません。段階が2つに分かれています。
まず2026年4月公開のChrome 147で、セーフブラウジングの「保護強化機能」を有効にしている利用者に対して先に適用されました。Googleはこの対象を10億人を超える規模だと説明しています。
つまり、2026年10月を待たずに、すでに一部の訪問者にはこの警告が出ている可能性があります。「まだ先の話」ではなく、もう始まっている変更として受け止めたほうが安全です。
毎回は出ない。ただし「初めての訪問者」には出る
警告が出る条件には配慮がされています。Googleは、利用者が定期的に訪れているサイトについては警告を繰り返さない、と説明しています。
警告が出るのは、新しく訪れるサイト、あるいはしばらく訪れていないサイトに限られます。Chrome 141で行われた小規模な試験では、警告を見る回数は利用者の中央値で週1回未満、95パーセンタイルでも週3回未満だったと報告されています。
ここが中小企業にとって厄介なところです。自社の社員や常連客は警告を見ないため気づきにくい一方で、検索から初めて来た見込み客は、まさに警告が出る条件に当てはまります。
なお、192.168.から始まるようなプライベートなアドレスや社内のイントラネットは、今回既定になる版の対象外だと説明されています。対象は公開されているサイトです。
いま自分で警告を体験しておく方法
この設定は、今日から自分で有効にできます。Chromeの設定を開き、「プライバシーとセキュリティ」から「セキュリティ」に進むと、「常に安全な接続を使用する」という項目があります。
Google自身も、サイト運営者やIT担当者に対しては、移行が必要なサイトを洗い出すために今のうちにこの設定を有効にすることを強く推奨しています。自社サイトだけでなく、取引先や協力会社のサイトの状態も一度に見えるようになります。
ちなみに、利用者はこの設定をオフに戻すこともできます。ただし、訪問者がわざわざ設定を変えてくれる前提でhttpのまま放置するのは、別の話です。
自社サイトの状態を確かめる4つの手順
手順1｜httpのURLを開いて、httpsに切り替わるか見る
いちばん簡単な確認方法です。ブラウザのアドレス欄に、自社ドメインの前に「http://」を付けて入力し、そのまま開いてみてください。
開いたあとにアドレスが「https://」に変わっていれば、httpからhttpsへの転送が設定されています。ここまでできていれば、常時SSLの土台はできていると考えて構いません。
httpのまま表示されてしまう場合は、転送が設定されていないか、そもそもhttps化されていません。トップページだけでなく、会社概要や問い合わせページなど、代表的なページを2〜3ページ試してみてください。
手順2｜鍵マークと証明書の有効期限を確認する
アドレスバーの左端にあるアイコンをクリックすると、接続の状態が表示されます。「この接続は保護されています」と出れば、証明書が有効に働いています。
そこからさらに証明書の詳細を開くと、発行元と有効期間を見ることができます。有効期間の終わりが近い場合、自動更新になっているかを確認しておいたほうがよいサインです。
この確認はスマートフォンでも可能ですが、証明書の詳細まで見るならパソコンのほうが分かりやすいです。
手順3｜「混在コンテンツ」が残っていないか
ページ自体はhttpsなのに、そのページの中で読み込んでいる画像やデザインのファイルがhttpのまま、という状態があります。これを混在コンテンツと呼びます。
混在コンテンツがあると、鍵マークが出なかったり、画像が表示されなかったり、レイアウトが崩れたりします。https化の作業でいちばんつまずきやすいのがここです。
見つけ方は少し専門的です。パソコンのChromeでページを開き、キーボードのF12キーを押すと開発者向けの画面が出るので、「Console」というタブに「Mixed Content」という警告が出ていないかを見ます。
ここは無理に自分で判断しなくて構いません。制作会社には「混在コンテンツが残っていないか確認してほしい」と伝えれば通じます。言葉が通じるだけで、話が早く進みます。
手順4｜サーチコンソールのプロパティを確認する
意外と見落とされるのがここです。サーチコンソールには「ドメイン」と「URLプレフィックス」という2種類のプロパティがあり、URLプレフィックスで登録した場合、httpとhttpsは別のサイトとして扱われます。
過去にhttpのURLでプロパティを作ったまま、https化のあとに追加していないと、データがまったく増えていないように見えます。「サーチコンソールに何も出ない」というご相談の原因が、これだったケースは何度もありました。
ドメインプロパティで登録していれば、httpもhttpsもwwwの有無もまとめて扱えます。これから登録するならDNSでの所有権確認が必要になりますが、ドメインプロパティのほうが管理は楽です。
まだhttpのサイトをhttps化する5つのステップ
ステップ1｜サーバーの無料SSLを有効にする
国内の主要なレンタルサーバーは、無料で使えるSSL証明書を標準で用意しています。管理画面からドメインを選んで有効化するだけ、というところがほとんどです。
設定してから実際に使えるようになるまで、数十分から数時間かかることがあります。この待ち時間の間は鍵マークが出ないことがありますが、慌てて何度も設定し直さないでください。
作業を始める前に、サイトのバックアップを取っておきます。サーバーの自動バックアップがあるかどうか、いつの時点まで戻せるのかも、このタイミングで確認しておくと安心です。
ステップ2｜サイト内のURLをhttpsに書き換える
WordPressの場合は、管理画面の「設定」から「一般」を開き、「WordPress アドレス」と「サイトアドレス」の2か所をhttpsに変更します。ここを直さないと、サイト全体の挙動がおかしくなります。
次に、記事の本文に直接書き込まれている画像やリンクのURLです。長く運用しているサイトほど、httpのURLが本文中に残っています。
1ページずつ直すのは現実的ではないので、データベースの一括置換で対応するのが一般的です。ここは失敗するとサイトが表示されなくなる作業なので、自信がなければ制作会社に依頼してください。
ステップ3｜httpからhttpsへ301リダイレクトを設定する
ここが、SEOの観点でいちばん大事なステップです。httpのURLにアクセスした人と検索エンジンを、httpsの同じページへ恒久的に転送する設定を入れます。
この「恒久的な転送」が301リダイレクトです。Googleは、301で正しく転送していれば、元のURLに集まっていた評価を新しいURLへ渡すと説明しています。
設定を飛ばすと、httpとhttpsの両方で同じページが表示できる状態になります。中身が同じページが2つあるのと同じで、どちらを検索結果に出すかをGoogleが判断することになり、意図しないほうが選ばれる場合があります。
転送はトップページだけでなく、すべてのページで1対1に対応させます。httpの下層ページがすべてhttpsのトップページに飛ばされる、という設定は避けてください。
ステップ4｜外部サービスの設定を直す
サイト側の作業が終わっても、外側に散らばっている設定が残ります。ここを忘れると、数字が取れなくなったり、広告のリンク先が余分な転送を挟むようになったりします。
確認する場所は、GA4のデータストリームのURL、サーチコンソールのプロパティ、Googleビジネスプロフィールのウェブサイト欄、リスティング広告のリンク先、各SNSのプロフィールに書いたURLです。
紙の資料も忘れがちです。名刺やチラシに載せたQRコードがhttpのURLを指している場合、刷り直しは難しくても、転送が効いていれば実害は出ません。だからこそステップ3が重要になります。
ステップ5｜内部リンクとサイトマップを見直す
サイト内のリンクがhttpのURLのままだと、クリックのたびに1回余分な転送が挟まります。動作としては問題ありませんが、表示が少し遅くなり、管理も分かりにくくなります。
あわせて、canonicalタグ、OGP（SNSでシェアされたときの情報）、XMLサイトマップに書かれているURLも、httpsに揃っているかを確認します。WordPressのプラグインで自動生成している場合は、ステップ2でアドレスを直した時点で自動的に切り替わっていることが多いです。
最後に、新しいサイトマップをサーチコンソールから送信します。これで、httpsのURLを一覧としてGoogleに渡したことになります。
よくある不安と、証明書の「有効期間短縮」
一時的に順位や表示回数が動くことはある
https化は、サイト内のすべてのURLが変わる大きな変更です。Googleが新しいURLを見つけ直し、評価をまとめ直すまでには時間がかかります。
そのため、移行の直後に順位や表示回数が上下することはあります。どのくらいで落ち着くかはサイトの規模や更新頻度によって変わるため、期間を確約することはできません。
大切なのは、動いたときに慌てて別の変更を重ねないことです。何をしたから何が起きたのかが分からなくなり、原因の切り分けができなくなります。
被リンクの評価は引き継がれるのか
「他社サイトから張られているリンクはhttpのURL宛だが、評価は消えないのか」というご質問をよくいただきます。
301リダイレクトで正しく転送していれば、Googleは新しいURLへ評価を引き継ぐと説明しています。すべてのリンクを張り替えてもらう必要はありません。
逆に言えば、転送の設定漏れがあるページだけは、そこで導線が切れます。移行後しばらくは、外部から多くリンクされている代表的なページを一度ずつ手で開いて確かめておくと安心です。
「httpsにすると重くなる」は今は当てはまりにくい
暗号化の処理があるぶんhttpsは遅い、という説明は、かつては一定の根拠がありました。ただ、現在のサーバーとブラウザの環境では体感できる差になりにくくなっています。
むしろ、通信を効率化するHTTP/2やHTTP/3といった新しい方式は、実質的にhttpsが前提です。https化していないサイトのほうが、速度面で不利になる場面も出てきます。
表示速度を上げたいのであれば、まず画像の大きさと読み込みの順番を見直すほうが効果的です。
【2026年】証明書の有効期間は短くなり続けている
ここ数年で大きく変わったのが、証明書の有効期間です。ブラウザ各社と認証局が参加するCA/Browser Forumは、2025年4月に有効期間を段階的に短縮する議案（SC-081v3）を可決しました。
公表されている段取りでは、公的に信頼されるTLS証明書の最大有効期間は、2026年3月15日から200日、2027年3月15日から100日、2029年3月15日から47日へと短くなっていきます。すでに1年更新という前提は崩れています。
短期化はさらに進んでいます。無料証明書で広く使われているLet’s Encryptは、2026年1月にIPアドレス向けの証明書と、有効期間が約6日（160時間）の短期証明書の一般提供を開始しました。
この流れが意味するのは1つです。証明書の更新は、人が手作業でやるものではなくなりました。自動更新の仕組みに載っているかどうかが、そのままサイトの安定性になります。
期限切れを防ぐために、今日確認しておくこと
証明書が切れると、訪問者には大きな警告画面が出て、多くの人はそこで引き返します。順位が下がる下がらない以前に、サイトが実質的に開けない状態になります。
確認することは3つです。1つ目はサーバーの管理画面でSSLの自動更新がオンになっているか、2つ目は証明書の有効期限がいつなのか、3つ目は更新の通知メールがどのアドレスに届く設定になっているかです。
特に注意が必要なのは、レンタルサーバーの無料SSLではなく、独自に購入した証明書を使っている場合です。担当者が退職して通知メールが誰にも届いていない、という事故は実際に起きています。
https化のあと、効果をどう確かめるか
サーチコンソールは新旧の両方を見る
URLプレフィックスでプロパティを作っている場合、https化の直後は、httpのプロパティの数字が減り、httpsのプロパティの数字が増えていきます。移行が進んでいるかどうかは、この2つを並べて見ると分かります。
ドメインプロパティに切り替えておけば、この手間はなくなります。長く運用するつもりなら、この機会にドメインプロパティを追加しておくのがおすすめです。
あわせて、インデックス作成の画面で、httpsのURLがきちんと登録されているかも確認します。移行後しばらくは、両方のURLが混在した表示になることがあります。
順位は「毎日自動で記録」して前後を比べる
https化の前後で順位がどう動いたかを見たい、というのは自然な発想です。ただ、これは移行前のデータを残していないとできません。
自分で検索して数える方法だと、検索した場所や履歴によって結果が変わり、記録も飛び飛びになります。移行のような大きな変更の前後こそ、毎日同じ条件で自動的に記録が残る形にしておく価値があります。
順位の記録は、作業の前に始めておくのが理想です。これから移行を予定しているなら、着手前の1〜2週間ぶんだけでも取っておくと、あとの判断がまったく違ってきます。
焦って結論を出さない
移行直後の数日間の数字だけを見て、「https化は失敗だった」と判断するのは早すぎます。再クロールと再インデックスには時間がかかります。
目安として数週間は様子を見て、その間はデザインの変更や記事の大幅な書き換えなど、ほかの大きな変更を重ねないようにします。原因を切り分けられる状態を保つことが、結局はいちばんの近道です。
もし順位が下がったまま戻らない場合は、転送の漏れ、混在コンテンツ、サーチコンソールの設定という3点をもう一度確認してください。https化そのものより、その周辺の設定漏れが原因であることがほとんどです。
よくある質問（FAQ）
常時SSLにすれば検索順位は上がりますか？
それだけで上がると考えないほうがよいです。Googleは2014年の発表時点で、HTTPSは非常に軽量なシグナルであり、世界の検索クエリの1%未満にしか影響しないと明記しています。
一方で、httpのままだと2026年10月以降のChromeで警告が出るようになります。順位のためというより、来てくれた人を逃さないための対応と考えてください。
無料のSSLでも大丈夫ですか？有料との違いは何ですか？
通信の暗号化の強さ自体に、無料と有料で差はありません。違いは、発行前の審査の深さと、保証の有無、サポートの内容です。
ドメインの所有だけを確認する種類のものは無料で使え、中小企業の集客サイトであればこれで足りることが多いです。自社で決済を扱う場合や、業界のルールで求められている場合は、事業者や取引先に確認したうえで判断してください。
https化したらアクセスが減りました。失敗でしょうか？
まず、計測のほうが止まっていないかを疑ってください。GA4のデータストリームやサーチコンソールのプロパティがhttpのままだと、実際には来ているのに数字に出ません。
計測に問題がなければ、転送の漏れと混在コンテンツを確認します。それでも原因が見えない場合は、移行と同時に行った別の変更が影響している可能性もあるため、変更履歴を時系列で並べて切り分けます。
すでにhttps化済みです。2026年10月に向けてすべきことはありますか？
基本的には追加の作業は不要です。全ページがhttpsで表示でき、httpからの転送が効いていれば、今回の変更で警告が出ることはありません。
やっておくとよいのは、混在コンテンツが残っていないかの確認と、自社サイトから外部へ張っているリンクにhttpのものが混ざっていないかの点検です。訪問者が自社サイト経由で警告画面に当たることを防げます。
社内システムや店舗の機器の管理画面はどうなりますか？
今回既定で有効になるのは公開サイト向けの版で、192.168.から始まるようなプライベートなアドレスや社内のイントラネットは対象外だとGoogleは説明しています。
ただし、利用者側の設定でプライベートなサイトも警告の対象に含めることは可能です。社内の機器で警告が出るようになった場合は、まずChromeの設定を確認してみてください。
関連記事
まとめ｜まずは「http://」で開いて確かめる
常時SSL（https化）は、検索順位を押し上げるための施策ではありません。Google自身が、HTTPSは非常に軽量なシグナルで、世界の検索クエリの1%未満にしか影響しないと説明しています。
それでも対応が必要なのは、2026年10月公開のChrome 154から「常に安全な接続を使用する」が既定になり、httpのサイトを初めて開く人に警告が表示されるようになるからです。2026年4月には、セーフブラウジングの保護強化を有効にしている利用者へ先行して適用されています。
警告が出るのは、繰り返し訪れている人ではなく、初めて訪れる人です。検索から来た見込み客ほど、その画面に当たることになります。
移行の作業で外せないのは、301リダイレクトと混在コンテンツの解消、そして外部サービスの設定変更です。証明書の有効期間も短くなり続けているため、自動更新になっているかもあわせて確認してください。
今日できることを1つ挙げるなら、ブラウザのアドレス欄に「http://」を付けて自社サイトを開いてみることです。httpsに切り替われば対応済み、httpのまま表示されれば要対応、という判断がその場でできます。
移行の前後で検索順位がどう動いたかを残しておきたい方は、AccessScopeの無料プランをお試しください。サイトのURLとキーワードを登録するだけで、毎日自動で順位を記録します。10キーワードまで無料・クレジットカードの登録も不要です。
この記事は、株式会社アクセス・リンク代表であり全日本SEO協会認定SEOコンサルタントの三田健司が執筆しました。Web制作歴10年以上、延べ1,000件以上のサイトに関わってきた経験と、Googleセキュリティブログ「HTTPS by default」（2025年10月28日）、Googleウェブマスター向け公式ブログ「HTTPSをランキングシグナルに使用します」、Googleのweb.dev「Enable HTTPS on your servers」、Google検索セントラルのクロールとインデックスに関するFAQ（301リダイレクトとランキングシグナル）、CA/Browser Forum「Ballot SC-081v3」、Let’s Encrypt公式アナウンス（2026年1月15日）にもとづいて構成しています。記載の数値・仕様は2026年8月23日時点で確認したものです。
コメント