常時SSLが解除

あれ！手持ちのブログの１つが、「保護されていない通信」の警告表示が・・・ なんで！？

SSL証明書のトラブルなのか、サーバーの期限が切れたのか。再設定をするも変わらず。

つまり、ちゃんと　https:～　になっているんい、「保護されていない通信」の警告のまま。　つまり常時SSL接続になっていないんです。

httpでの画像のリンクはNG

以前、画像の内部リンクでもhttpだと、この状態になると教えてもらった。その時にサイドバーのプロフィール画像を修正して解決。なのに再び。

じゃぁほかのhttp:～リンクはないか？と探すと、昔のブログランキングのタグが。３年くらい前だとまだSSL化できてないサイトってありましたもんね。

ところが違った。

原因はアフィリエイトリンク

アフィリリンクそのものじゃなく、その中でカウンタ用にimgの画像タグが。結局は画像のリンクかい・・・

ただ、今後は画像もダメになる予定です。

現在（2020/03/06）だと最新版のGoogleChromeは、80。「Google Chrome 80」です。

httpsサイトからhttpサイトの

・Script
・iframe

は、ブロックされて読み込みません。　httpサイトの情報は扱えなくしています。

また、

・音楽ファイル
・動画ファイル

の場合は、httpsに変換して読み込みますが、httpsで読めなければブロックします。

81以降はhttpの画像もブロック

そして次のChromeversion 81 以降からは、画像も音楽と映像と同じ対応になる予定です。

つまりもうhttpのサイトは存在自体が、リスクとして認識されているわけですね。

さすがに最近のブログやホームページは、SSL化されてhttps～になっています。
でも古いテンプレートなどの内部リンク、昔貼ったほかのサイトの外部リンクなどは書き換えておきましょう。

URLをチェックしろと。

httpは×、http【s】なのと鍵マークをチェックしろと。

かんたんに言うと、データの暗号化をしているかどうか。
そんなのもできてない企業のサイトは危険だぞと。

正直びっくり！です。

新聞のようなマスメディアで、こんな専門的（？）な話が普通に語られるなんて。

この先には、でもSSLは無料でできるので、詐欺サイトも利用する。
だからやっぱり、怪しいサイトへアクセスしないように。という記事なんですね。

そう、SSLだけなら無料でできるのはもう常識。
ただこんなことが新聞で大きく記事なるとは・・・

社長なんかがSNSに熱心なのに、会社のホームページはSSL化できてない。
そんな笑えない事例もあるので、気をつけてくださいね。

SSLは、新聞の記事になるくらい一般的な常識ですよ。

ということで、いつものようにSSL化の実例。
昔の管理サイトとかって、ドメインの更新期日に気がついたりするんですよね。

ということで、このドメインはさくらサーバーだったので、サクッと管理画面で設定。

この説明にあるように、普通のブログサイトは無料で十分。
ECサイトはショッピングカートなどでドメインが変わったりするからなんていわれます。

法人の場合は、信用度アップですね。
存在証明なんてのが使えるそうです。

まぁでも上場でもしてなければ別に気にされないでしょう。

であとは、待つだけ・・・

ほら、できた！
と思ったら、「このサイトへの接続は完全には保護されていません」

SSL化＝保護　ではないんですよね。

そこでhtmlソースを確認。

まぁSSL化していない古いサイトなので、画像だとかjavaだとか、もろもろのタグがhttp:のまま。

アフィリエイトタグなどは勝手に変更するのを禁止だったり、httpsに書き換えただけじゃダメだったり。

ちなみに内部の画像だけや通常の外部リングだけの場合は、置換で「http:」→「https:」にすればいいだけだったり。

でも外部のプログラム的なものが多数あったりすると、リニューアルした方が早くて確実なんですよね。

そもそもワードプレスのバージョンも古い。
これらもろもろを修正していくにはスキルも必要ですし、時間がかかります。

ヒマで金が余ってればそれでいいのです。
でも貧乏ヒマなしである私の場合、さっさとリニューアルした方がよいのでありました。

ほんとはサクっ！と完了でどや！
のつもりですが、まぁSSLあるある事例になってしまいましたとさ。

だから逆に言うと、さっさとSSL化しないと問題が増えるだけってことですね。

でもネット系だと、どうしてもドメイン数もサーバー数も増えちゃいます。

ロリポとさくらだけで何個あるんだよ・・・　みたいな。

なんて思いながらサイトの移転中の待ち時間に、ちょっとサーバーを選んだ理由や選び方などをつづってみた。

複数サーバーを借りるメリット

でもマルチドメインなら、１サーバーで無制限にドメインを設定できます。
なのになぜ複数サーバーを借りるのか？

今はまぁあまり関係ないけど、５年前くらいの話だと思ってください。

リスク分散

サーバーメンテやトラブルが発生した場合のリスク分散ですね。
１つのサーバーに全部のドメインがあると、全部どぼん。

付加、メンテ、ウイルス、Dosアタック、IPのブラックリスト化など、共有サーバーのリスクがどうしてもありますからね。

IP的なメリット

なつかしのIP分散。
被リンクのドメインが同じサーバーだと評価が低い！と言われていて、自演で分散するわけです。

SEO業者やWEB系の会社の場合、こういうサービスを利用するわけですね。

【IP分散サーバーTICServer】

ドメイン的なメリット

レンタルサーバーを借りると、初期のドメインを作りますよね。
これって、契約者がみんな持つドメインで、そこを使う人もいます。

なのである程度強かったり、特殊なドメインを使うことができるわけです。
「ne.jp」などは個人では取得できないドメインですからね。

でもサーバーのアカウント分、これらを使えるってことですね。

サービス的なメリット

ロリポップ！レンタルサーバー！

これらも当時のSEO的な意味がとてもありました。
まぁそれでも無料ブログよりはいいので、今でも使ってるわけですけど。

ただ今は昔のような問題も少ないので、メインをエックスサーバーに。
あとはちらほら分散という感じですね。

エックスサーバー

サーバー選びで失敗しない方法

まぁ、ロリポ、さくら、エックスサーバー当たりがよいでしょう。

理由は、まず利用者が多いからです。
利用者が多いと丁寧な説明記事があったり、トラブル対応も見つかりやすいです。

サービス的にも、ワードプレスの自動インストールなどの作業がかんたんにできるツールがあったり。
SSLなども無料で対応してくれたり、素人でも使えるように充実しているからです。

なんでもないような話ですが、こんなスタートからハズレを引く場合もあります。

なんでこれ選んだの！？というようなサーバーを使っていたり。
聞いたこともないけど、実は大手が運営していたりとか。

逆に高性能すぎる！ということがよくあります。
そういうところって、社内にエンジニアがいて当然でサービスを提供していたりします。

だから、SSLなんてのも有料が当然だったり。

無料のはあくまで、一応暗号化しますよ～、という感じ。
まぁ個人や小規模ビジネスなら問題ないですね。

でも大手向けの場合は、もっとグレードが高いので費用も高く、ITスキルも必要になります。

こういうのって小規模の場合、良い選択なのにハズレになってしまうわけです。
免許取り立ての初心者が、フェラーリを運転するようなものですね。

回避方法は自分で勉強がベストですが、これもいきなりはハードルが高いですね。
そういう場合は、ＩＴ系のグループで情報共有できるようにしておくことです。

私だってこれらのサーバーも、自分で選んだわけじゃありません。
アフィリエイト塾とかで、シェアされたから選んだだけです。

そういうところはマニアっぽい人がいまず。
実体験から、詳しく教えてくれたりするんですね。

その人たちってパソコンに詳しい、ネットに詳しいとかのレベルじゃないですから。

まぁなんにせよ、しっかりと情報収集するルートを作っておくといいですね。

本来、サーバー選びや運用は専門的な分野です。
でもかんたんな方法があるので、無駄なことに時間やお金を使わないようにしましょう。

まとめ

レンタルサーバーは、利用者が多いといろいろと便利な気がする。

SSL化がかんたんすぎて、これを書く方が手間なのがロリポップ。
これも定番のレンタルサーバーですね。

【セキュリティ】→【独自SSL証明書導入】

SSL化するドメインにチェックを入れて、右のボタンをクリック。

１秒で終了。

がんばって盛っても、もう書くことないかんたんさ。
トータル２秒でしょうか。

これでhttps～　になりましたとさ。　おしまい、おしまい。

ブラウザの画面に「保護されていません」と出るからだけではないのです。
ほかのサイトからリンク（紹介）が減りますので気をつけてください。

httpsなのにSSL化されない

httpsなのにSSL化されない原因の１つは、http:サイトへリンクを貼っているから。

さすがにセキュリティの問題と言うことで、SSL化したところも多いはずです。
やっとのことで対応したのに、鍵マークが表示されない。

あれー？ちゃんとサーバーでも設定したのに・・・
これでは常時SSLにはならず、やはり警告対象になるんですね。

よく見るとメッセージは微妙な言い回し。
「このサイトへの接続は完全には保護されていません。」

ちょっとは保護されてるよ、的なニュアンスですよね。

リンク先がhttp:（画像・java）

↓※ここの部分、この理由って画像の表示（imgタグだから）とご指摘をいただきました。
確かにリンクだけだと大丈夫！ごめんなさい　※2018/08/27の18:17に追加

この原因の１つは、リンク先が「http:～」の場合です。
つまり自分のサイトはSSL証明できた。

でもリンク先がSSL対応していないとダメなんです。
リンク先がhttp:のままだと、リンクを出しているこちらも警告対象になってしまうのです。

たとえばこのサイトの場合、サイドバーにあるプロフィール画像。

この内部リンクが、http:のままだったのです。

そこで、この原因であるリンクを修正します。
※WP（ワードプレス）などでもSSL化したらチェックする必要があります。

そして修正後にチェックしてみると、ちゃんと鍵マークになりました。

これで常時SSL化ができました。

なので、外部参照の画像やjavaやCSSの場合です。

http:にはリンクを貼らない

上記の手順で分かるように、http:～（SSL化未対応）からはじまるサイトにリンクを貼ると自サイトのSSK化ができません。

せっかくセキュリティ対策のために、自分はSSL化した。
でも、あるサイトへリンクをはるとSSL化にならない。

普通の感覚ではどうでしょうか・・・？

実際、私はもうhttp:～のサイトへはリンクを貼らないです。
SSL化できてるひとなら、たぶん同じような感覚でしょう。

これを逆に考えると。SSL化しないデメリットの１つとして、リンクが張られないが挙げられるでしょう。
まぁツイッターなどでは関係ないでしょうけどね。

企業サイトなどですと、おつきあいがあるから張るかもしれません。
でもその場合、相手に迷惑をかけています。（相手のSSL化をジャマするので）

まとめ

SSL化しないと、ネットで紹介してくれるリンクが減る可能性が高い

あ、サンプルででてきた、ふるさと納税のサイト張っておくね♪

【ふるさと納税】

SSL化は常識

もうSSLについてはやるやらない、メリットデメリットとかじゃなくやるしかない。
以上。

というテーマなので、もういいですよね。

でも無料ブログだったりすると、サービス自体がSSL化してくれなかったり。
またサーバーによっては、無料提供してくれなかったり。

メジャーなサーバーの場合、SSLは無料でできます。
サーバー会社が証明書ってのをを無料で提供してくれるから。

もちろんエンジニアが常駐するような起業なら、独自SSLのグレードも必要でしょう。

でも個人のブログ、個人事業、小企業、小規模団体なら無料でも十分です。

SSL有料サーバー

ところがSSL化が有料のサーバーもあります。
例えば私も１つあるのですが、有料です。

１ドメインあたり、年間で6720円かかります。
まぁそれくらいはかかるかな、とは思います。

ただ、無料のサーバーがあるのに払うのは、いや。
もうめっちゃ心理的抵抗がありますよね。

まぁこのサーバーは解約しちゃいますけど。
※80codeです。

つまりSSL化は常識といっても、適当に選ぶと無駄が多いです。
コストがかかったり手間が多かったり。

つきつめると、サーバー選びって料金だけじゃなく、サービスって大切ですよね。

SSLが無料なサーバー

投稿済みですが、実際にやって確認したのが４サーバー
無料で簡単なのが、３つ。

・エックスサーバー
・さくらサーバー
・ロリポップ

無料だけで複雑

・コアサーバー

ちゃんとサーバーは選びましょうね♪

コアサーバーは複雑

ロリポなど５分もかからないのに、コアサーバーには３０分以上もかかってしまいました。
次は５分でできますが、複雑なので避けたいサーバーですね。

コアサーバーでもSSL化しておくか。
と、チャレンジするも現状では断念です。

理由は、捜査やシステムが複雑すぎる上に、マニュアルが役にたたないため。
いやいやそもそもワードプレストも相性悪いし、難しいのは昔から。

もちろん承知の上でつかっているのですが、もうお手上げ。

マニュアルどおりに【サイト設定】から選ぼうとすると・・・
そもそもドメインが選択できない。
入力しても受け付けない。

表示されるのは昔捨てたドメインのみ。

ドメイン設定なのか？

と、ドメインの設定からやってみるも、登録済み。
ならばなぜサイト設定で選択できない？？？

なんのこっちゃさっぱりわからん・・・

ということでSSLがかんたんな、ドメインを変更しよう。
ロリポ、さくら、エックスサーバーならすぐにできるし。

と、旧コンパネ（新コンパネはよくわからん）からドメインの転送設定を削除。

どのサーバーにしようかな・・・

あ、でも転送設定を削除したら登録できたりして？

と思ってやってみたら、マニュアルどおりに・・・

原因は転送設定？

結果として、転送設定を削除して再登録するとSSL設定できました。

原因がなにかはわからないので不安ですが、とりあえずはOKとしておきましょう。

ヤフーニュース

「最新閲覧ソフト、官庁HPに警告＝通信暗号化へ順次対応―総務省など」

各官庁は「安全性に問題はない」と説明しているが、スムーズに閲覧できるよう通信の暗号化を順次進める方針。

ヤフーニュースは消えちゃうので、元のテレ朝ページを表示しておきますね。

問題なければ無視すればいいのにね。
なんてイヤミはいらないですね。

総務省ってＩＴ通信の総本山なわけで。
今どきＳＳＬ化してないなんて、ある意味チャレンジャーですよね。

個人の日記ブログじゃないんだから。
てか、だったら無料ブログの方がマシだったり。

ヤフーニュースのコメントは、意外とみんな詳しいんですね。
一般ユーザーなんて興味もないと思ってたけど。

お役所仕事

各官庁は暗号化について、「早期に対応する」（総務省）、「年内に移行を完了したい」（内閣府）、「期日は未定」（農林水産省）、「来年度中に完了させたい」（経済産業省）などとしており、実施時期には差が出る見通しだ。

 

お役所なんだから、お役所仕事でかまわない。
まぁ大規模サイトは内部でいろいろ大変ですからね。
やらない理由にならないけど、まぁ大変です。

でもこれ、一般の企業がお役所仕事じゃぁまずいよね。

私の会社は顧客の安全性には興味がありません。
という態度が、ユーザーに評価されてしまうかもしれませんね。

早くテレ朝さんのサイトもSSL化されるといいですね。
絶対このニュース、内部の人の確信犯だと思う。

わかってない社内の人間に対する、ある意味テロみたいな。

まぁシステムの規模や利用ユーザーがとてつもないので、いろいろ大変ですからね。

URLアドレスの変更も通常のSSLと同じです。
http://～　→　https://～

はてブとかいいね！の数は、表示では引き継がれないでしょう。
ここら辺は、内部情報で評価してそうですけどね。