「保護されていない通信」と表示されるとき

レン

HTTPSにしたはずなのに、ブラウザに「保護されていない通信」って出る…

プロクラ

その表示にはいくつか段階があってね。鍵マークが出ないだけの場合と、はっきり警告画面が出る場合では、原因が違うんだ。まず、どちらなのかを見よう。

警告画面が出る場合

プロクラ

赤い警告が全面に出て、進むかどうかを聞かれる場合。これは証明書そのものに問題がある。ブラウザで証明書の詳細を開けば、理由がそのまま書いてあるよ。

• 有効期限が切れている（自動更新が止まっていた）
• ドメイン名と証明書が一致していない（wwwありなしの片方だけ取得した等）
• 自分で作った証明書を使っている（テスト用のものを本番に残している）
• 証明書の連鎖が不完全（中間の証明書を設定し忘れている）

プロクラ

4つめは厄介でね。ブラウザによっては表示され、別のブラウザでは警告が出る、という形になる。「自分の環境では見えているから大丈夫」と思い込みやすいんだ。

鍵マークが出ないだけの場合

プロクラ

ページ自体はHTTPSで表示されているのに、鍵マークが出ない、あるいは注意の印が付く。これは混在コンテンツと呼ばれる状態で、ページの中の一部がHTTPで読み込まれているんだ。

• 画像やCSS、JavaScriptのURLがhttp://のままになっている
• 外部のサービスを、httpで読み込んでいる
• データベースに保存された記事本文の中に、httpのURLが残っている
• ブラウザの開発者ツールを開けば、どれが原因かが警告として出る

プロクラ

最後の点が一番早い。開発者ツールを開いてページを読み込み直せば、混在していると警告が出て、該当のURLまで教えてくれる。1つずつ直せば消えるよ。

サイトを引っ越した直後なら

• 新しいサーバーで証明書を取得したか（前のサーバーのものは引き継がれない）
• wwwありなしの両方を対象に含めたか
• httpからhttpsへの転送を設定したか
• 自動更新の仕組みが、新しいサーバーでも動いているか

警告を放置しない

ウィルスン

…警告画面を見て、それでも「進む」を押す習慣が付いた利用者は、ワタシの用意した偽サイトでも同じことをしてくれる。ありがたい話だ。

プロクラ

そこが本当の害だね。警告は、通信相手を確かめるための仕組み。慣れさせてしまうと、その仕組み自体が働かなくなる。訪問者のためにも、出たままにしないことが大事だよ。

レン

警告画面なら証明書、鍵マークが出ないだけなら混在。分けて見るんだね。

直したのに警告が消えないとき

証明書を入れ替えたのに警告が残る場合、手元に古い情報が保持されていることがあります。別の端末や、閲覧履歴を残さない窓で開いて確認してください。自分だけ見えているのか、全員に見えているのかで、次に触る場所が変わります。

プロクラ

設定を直したのに表示が変わらない、というのもよくある。多くは、古い状態がどこかに残っているせいだよ。

• Webサーバーを再読み込みしていない（新しい証明書が反映されていない）
• ブラウザに古い情報が残っている。別の窓や別の端末で試す
• 前段にCDNやキャッシュを置いている場合、そちらにも古い証明書が残る
• 設定ファイルを複数持っていて、直したのが使われていないほうだった

プロクラ

4つめは意外と多いよ。有効になっている設定がどれなのかを確かめてから直そう。編集したファイルが実際に読み込まれているかは、テスト用のコマンドで確認できる。