ChromeがHTTPサイトの表示前に警告するように。SSL未対応のホームページへの影響と、HTTPS化の手順・チェックリスト

2026年10月21日、Googleは、ブラウザの「Google Chrome」で、HTTPS（暗号化された通信）に対応していないサイトを開く前に、警告画面を表示する設定をすべてのユーザーで標準にしたと発表しました。

これまでChromeは、HTTPのサイトを開いたあとで、アドレスバーに「保護されていない通信」と小さく表示するだけでした。これからは、ページが表示される前に、画面いっぱいの警告が出て、訪問者が「このまま進む」を選ばないとサイトが開かないようになります。

URLが「http://」で始まるホームページや、昔のキャンペーンで作ったまま残っているランディングページなどは、訪問者がいきなり警告画面を目にすることになります。この記事では、小さな会社やお店のホームページをお持ちの方に向けて、何が変わったのか、自社のサイトは対象なのか、何をすればいいのかを整理します。

この記事は2026年10月26日時点の公開情報をもとに作成しています。最新情報は記事末尾の参考情報（Googleの公式発表など）もあわせてご確認ください。

まず結論：やること

1. 自社のホームページを開き、URLが「https://」で始まっているか、鍵のマークが出ているかを確認する
2. 「http://」のままなら、SSL証明書を導入してHTTPS化する（多くのレンタルサーバーでは無料で設定できます）
3. HTTPS化したら、http://で来た人をhttps://へ自動で転送する設定（301リダイレクト）を入れる
4. 名刺・チラシ・SNS・Googleビジネスプロフィール・広告などに載せているURLがhttp://のままになっていないか確認する
5. 昔のキャンペーンサイトや別ドメインのLPなど、忘れられているサイトがないか洗い出し、使わないものは閉じる

HTTPとHTTPSの違い

ホームページを見るとき、ブラウザとサーバーの間ではデータがやり取りされています。このやり取りの決まりごとが HTTP で、通信を暗号化したものが HTTPS です。HTTPSにするには、サーバーに「SSL証明書」（正確にはSSL/TLSサーバー証明書）を設定します。そのため、HTTPS化のことを「SSL化」「常時SSL化」と呼ぶこともあります。

HTTPのままだと、通信の途中でデータを盗み見られたり、書き換えられたりするおそれがあります。たとえば、カフェなどの公衆Wi-Fiで、問い合わせフォームに入力した内容を読み取られたり、本物のサイトを開いたつもりが、偽のサイトに誘導されたりするといった危険です。

Googleは「Webの通信は100％HTTPSであるべき」としています。Googleによると、ChromeでのページのHTTPS率はすでに9割を大きく超えていますが、まだHTTPのまま残っているサイトがあります。今回の変更は、その残りを減らすための取り組みです。

今回、Chromeで何が変わったのか

Chromeには、以前から「常に安全な接続を使用する」（英語名：Always Use Secure Connections）という設定がありました。オンにすると、ChromeはまずHTTPSでつなごうとし、HTTPSでつながらないサイトを開く前に警告を表示します。

これまでこの設定は、利用者が自分でオンにしない限り使われていませんでした。Googleの発表によると、この設定は次のように広げられてきました。

2025年10月の計画の段階では、Chrome 147（2026年4月）で保護強化機能のユーザーに、Chrome 154（2026年10月）で全ユーザーに広げる予定とされていました。一方、2026年10月21日の発表には、具体的なバージョン番号は書かれていません。ドイツのIT系ニュースサイトheiseは、Chrome 155で全ユーザーに適用されたと報じています。

なお、今回の変更はChromeでの話です。Googleは「この変更を行う最初のブラウザ」としていて、SafariやFirefoxなどほかのブラウザでも同じ警告が出るわけではありません。ただ、日本でもChromeを使っている人は多く、影響は小さくありません。

訪問者には何が表示されるのか

HTTPのサイトを開こうとすると、ページが表示される前に、「このサイトは安全な接続に対応していません」という趣旨の警告画面が表示されます。パソコンでもスマートフォンでも同じです。

つまり、毎日見ている常連さんよりも、検索や広告、チラシのQRコードから初めて訪れた人が、警告を目にすることになります。新しいお客さまと出会うための入り口で、いちばん最初に警告が出てしまうということです。

Googleによると、試験的に導入した段階では、パソコンでChromeを使っている人の約95％は、1週間のうちにHTTPの警告を一度も見なかったとのことです。逆に言えば、警告が出るサイトは「珍しいサイト」として、より目立ってしまいます。

どんなサイトが影響を受けるのか

影響を受けるのは、インターネットに公開されていて、HTTPSでつながらないサイトです。小さな会社でよくあるのは、次のようなケースです。

• 何年も前に作ったまま、SSL証明書を入れていないホームページ
• 昔のキャンペーンやイベントのために作った別ドメインのランディングページ（LP）や特設サイト
• HTTPS化はしたものの、http://で来た人をhttps://へ転送する設定がないサイト
• http://のURLから、https://のサイトへ転送している短縮URLや古いドメイン（転送の途中のHTTP通信でも警告の対象になります）
• SSL証明書の期限が切れている、またはドメイン名と証明書が合っていないサイト

最後の2つは見落としがちです。Googleは、これまでの「保護されていない通信」の表示は、リダイレクト（転送）のような一瞬のHTTP通信には表示できなかったことを、今回の変更の理由の1つに挙げています。チラシや名刺に http:// で始まるURLやQRコードを印刷している場合、転送先がHTTPSでも、入り口のHTTPで警告が出る可能性があります。

問い合わせフォームや画像の読み込みにも注意

ページ自体はHTTPSでも、ページの中で読み込んでいる画像や、フォームの送信先がHTTPのままになっていることがあります。これを「混在コンテンツ」（mixed content）と呼びます。混在コンテンツは今回の警告画面とは別の仕組みですが、Chromeでは以前から、画像が表示されなかったり、フォームを送信するときに警告が出たりすることがあります。HTTPS化するときは、あわせて直しておきましょう。

ビジネスへの影響

警告画面は、「サイトに移動」を選べば先に進めます。それでも、ホームページを見に来た人の多くは、ここで引き返してしまうと考えられます。

• 離脱：初めて訪れた人が、内容を見る前にページを閉じてしまう。広告費をかけて集めたアクセスも無駄になる
• 信用：「このお店（会社）のサイトは危ないのでは」「ちゃんと管理されていないのでは」と思われる
• 問い合わせ・予約の減少：フォームに名前や電話番号を入力することに、不安を感じさせてしまう
• 取引先からの印象：採用ページや会社案内のサイトで警告が出ると、取引先や応募者にも不安を与える

「アクセスはそれほど多くないから」と後回しにしがちですが、警告が出るのは、まさに新しいお客さまが来たときです。今回の変更をきっかけに、早めにHTTPS化しておくことをおすすめします。

自社のサイトが対象か確認する方法

難しい作業は必要ありません。まずは次の方法で確認してみてください。

1. パソコンやスマートフォンのChromeで、自社のサイトを開く。アドレスバーに 鍵のマーク（または設定のアイコン）が出ていて、URLがhttps://で始まっていればOK
2. アドレスバーに、あえて http://自社のドメイン と入力して開いてみる。自動で https://に切り替われば転送の設定もできています
3. wwwあり・wwwなしの両方で試す（例：http://example.jp と http://www.example.jp）
4. 名刺・チラシ・パンフレットのQRコード、SNSのプロフィール、Googleビジネスプロフィール、広告のリンク先など、外に出しているURLを1つずつ開いてみる
5. 昔のキャンペーンサイトや、別のドメインで作ったLPがあれば、それも開いてみる

途中で警告画面が出たり、「保護されていない通信」と表示されたりしたら、対応が必要です。

HTTPS化（SSL化）の進め方

SSL証明書を用意する

小さな会社のホームページであれば、レンタルサーバーの無料SSLで十分なことがほとんどです。多くのレンタルサーバーでは、管理画面からドメインを選んで「無料独自SSL」などを有効にするだけで設定できます。中身はLet’s Encryptなどの証明書であることが多く、更新もサーバー側で自動で行われます。暗号化の強さは、無料の証明書でも有料の証明書でも変わりません。

なお、ホームページ作成サービス（Wix、Jimdo、ペライチなど）を使っている場合は、サービス側で標準でHTTPSになっていることが多いため、まずは管理画面の設定を確認してみてください。

設定の流れ

1. サイトとデータベースのバックアップを取る
2. サーバーの管理画面で、SSL証明書を設定する（反映まで数十分〜1時間ほどかかることがあります）
3. https://でサイトが正しく表示されるか確認する
4. サイト内のリンクや画像のURLを http://からhttps://に書き換える
5. http://へのアクセスを https://へ301リダイレクトする
6. Googleサーチコンソールなどの設定を見直す

順番を間違えて、証明書が反映される前にリダイレクトを入れると、サイトが表示されなくなることがあります。必ず、https://で表示できることを確認してから転送の設定をしてください。

担当者・制作会社向け：HTTPS化の具体的な手順

ここからは、サイトを管理している担当者や制作会社向けの内容です。

301リダイレクトを設定する

Apache（多くのレンタルサーバー）の場合は、.htaccess に次のような設定を入れます。レンタルサーバーによっては、管理画面に「常時SSL化」「HTTPSへ転送」などの設定があるので、そちらを使うほうが安全です。

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

wwwあり・なしをどちらかにまとめる場合は、転送が何回も続かないように（http → https → www付き、のように2回転送にならないように）設定します。設定後は、次のようなコマンドで転送の状態を確認できます。

curl -I http://example.jp/
curl -I http://www.example.jp/

301 と Location: https://... が返ってくれば転送できています。

サイト内のリンクと混在コンテンツを直す

• ページの中の http:// で始まる自社サイトへのリンク、画像、CSS、JavaScriptのURLを https:// に書き換える
• 外部のサービス（地図、動画、予約システム、アクセス解析など）の埋め込みコードが http:// になっていないか確認する
• 問い合わせフォームの送信先（action の値）が http:// になっていないか確認する
• Chromeのデベロッパーツール（F12キー）の「Console」タブで、「Mixed Content」の警告が出ていないか、主要なページを1つずつ確認する

WordPressの場合

1. 「設定」→「一般」で、「WordPressアドレス（URL）」と「サイトアドレス（URL）」をhttps://で始まるURLに変更する（変更するとログアウトされるので、もう一度ログインします）
2. 記事や固定ページの中に残っているhttp://のURLは、データベースの置換で書き換える。WP-CLIが使える場合は次のように実行できます

# まずは --dry-run で、置き換わる件数を確認する
wp search-replace 'http://example.jp' 'https://example.jp' --all-tables --dry-run
wp search-replace 'http://example.jp' 'https://example.jp' --all-tables

3. テーマやページビルダーの設定、ウィジェット、メニューのカスタムリンクに残っているhttp://のURLも確認する
4. キャッシュ系のプラグインやCDNを使っている場合は、キャッシュを削除してから表示を確認する

データベースを直接書き換える作業は、失敗するとサイトが壊れることがあります。必ずバックアップを取ってから行ってください。WordPressの日ごろの対策は「WordPressはセキュリティ的に危険？」でも解説しています。

Googleサーチコンソールと検索への影響を確認する

• サーチコンソールで、ドメインプロパティを使っていれば、http・httpsの両方がまとめて集計されます。URLプレフィックスのプロパティだけを使っている場合は、https:// のプロパティを追加する
• サイトマップ（sitemap.xml）のURLを https:// にして、送信し直す
• 各ページの canonical（正規URLの指定）や、OGP（SNSで共有されたときの情報）のURLが https:// になっているか確認する
• Googleアナリティクスなどのアクセス解析の設定で、サイトのURLを https:// に変更する

301リダイレクトを正しく設定すれば、検索での評価は基本的にhttps://のページに引き継がれます。移行の直後は、サーチコンソールで、エラーやインデックスの状態に変化がないかを確認しておきましょう。検索とAI時代のホームページの考え方は「AI検索の時代に、小さな会社のホームページがやるべきこと」もあわせてご覧ください。

HSTSは慎重に

HSTSは、「このサイトには今後https://でしかつながない」とブラウザに覚えさせる設定です。HTTPの段階を飛ばせるので安全性は高まりますが、一度設定すると、証明書の期限切れなどでHTTPSが使えなくなったときに、サイトがまったく開けなくなるおそれがあります。

Header always set Strict-Transport-Security "max-age=300"

入れる場合は、上のように短い期間（数分〜1日程度）から始めて、問題がないことを確認しながら少しずつ延ばしてください。includeSubDomains（サブドメインにも適用）や preload（ブラウザにあらかじめ登録）は、HTTPに対応していないサブドメインがないことを確かめてからにしましょう。

使っていないサイトは閉じる

昔のキャンペーンサイトや特設LPで、今は使っていないものは、HTTPS化するよりも、メインのサイトの該当ページへ転送するか、公開を終えるほうが安全です。使われていないサイトは更新も止まっていることが多く、乗っ取りの入り口にもなりやすいためです。ドメインを手放す場合は、第三者に取得されて悪用されることもあるので、転送の期間なども含めて検討してください。

HTTPS化のチェックリスト

C-TechLabにできること

C-TechLabでは、専任のWeb担当者がいない小さな会社さまの、ホームページの保守・管理をお引き受けしています。

• 状況の確認：お持ちのサイトや外に出しているURLが、HTTPSで正しく表示されるかを確認します
• HTTPS化の作業：SSL証明書の設定、301リダイレクト、サイト内のリンクや混在コンテンツの修正、WordPressの設定変更まで対応します
• 移行後の確認と保守：サーチコンソールの設定、証明書の更新の確認など、移行後も安心して使い続けられるようにサポートします
• 古いサイトの整理・作り直し：昔のLPの整理や、古くなったホームページのリニューアルもご相談いただけます

「何から確認すればいいかわからない」という段階でも大丈夫です。代表エンジニアが直接、状況を伺います。詳しくは保守・運用やホームページ制作のページもご覧ください。

よくある質問

Chromeの警告は、自分の会社のホームページも対象ですか？

インターネットに公開されていて、HTTPSでつながらないサイトなら対象です。SSL証明書を入れていない古いホームページ、昔のキャンペーン用のLPや特設サイト、httpで来た人をhttpsへ転送する設定がないサイト、SSL証明書の期限が切れているサイトなどでは、ページが表示される前に警告画面が出ます。

Chromeはいつから、HTTPのサイトを開く前に警告するようになりましたか？

Googleは2026年10月21日、HTTPSに対応していないサイトを開く前に警告する「常に安全な接続を使用する」の設定を、すべてのユーザーで標準でオンにしたと発表しました。発表に具体的なバージョン番号は書かれていませんが、ドイツのIT系ニュースサイトheiseはChrome 155で全ユーザーに適用されたと報じています。

警告が出ると、サイトは見られなくなりますか？

いいえ、ブロックではありません。訪問者が警告を確認して「サイトに移動」などを選べばそのまま開けますが、ページが表示される前に画面いっぱいの警告が出るため、検索や広告、チラシのQRコードから初めて訪れた人の多くが引き返してしまうと考えられます。

HTTPS化（SSL化）に費用はかかりますか？

多くの場合、無料で対応できます。多くのレンタルサーバーでは管理画面から無料のSSL証明書を設定でき、更新もサーバー側で自動で行われ、暗号化の強さは無料の証明書でも有料の証明書でも変わりません。証明書に組織の情報を載せたい場合などは、年間数千円〜数万円以上の有料の証明書を選びます。

HTTPS化したあとに、必要な設定はありますか？

はい、httpで来た人をhttpsへ自動で転送する301リダイレクトの設定が必要です。あわせて、サイト内のリンクや画像のURL、問い合わせフォームの送信先、名刺・チラシ・SNS・Googleビジネスプロフィール・広告に載せているURLがhttpのままになっていないかを確認します。

参考情報

• Google公式ブログ「Chrome now warns before insecure HTTP connections」（2026年10月21日）
• Google公式ブログ「HTTPS by default」（2025年10月28日）
• Chromeヘルプ「Chromeで安全なサイトとつながる（常に安全な接続を使用する）」
• Google「Google透明性レポート：HTTPS暗号化の状況」
• Let’s Encrypt「はじめる」
• MDN Web Docs「Strict-Transport-Security」
• MDN Web Docs「混在コンテンツ」
• WP-CLI「wp search-replace」
• heise online「Chrome: Google ends insecure HTTP connections」（2026年10月22日）