対策必須！常時SSL化対応のススメ

こんにちは、ECBBディレクターの杉松です。
昨今では常時https化が推奨されており、数年前に制作したサイトなどでは運用後にhttps対応を実施されているかと思います。
そんな後からhttps対応を実施したサイトには深刻な問題になるかもしれない発表が昨年の10月にGoogleよりありました。

Chromeブラウザの安全性を高めるために「2019年12月リリース予定のChrome79よりサイト内の混合コンテンツを段階的にブロックする」という内容です。　
混合コンテンツとは、閲覧ページが安全（通信が暗号化されている）なhttpsのページ内に、画像、動画、スクリプトなどは通信が暗号化されていないhttp接続で読み込まれている状態のことをさします。
デベロッパーツールなどではミックスコンテンツ(Mixed Content)と警告が表示されます。

今までは混合コンテンツであっても表示されていた画像などがブロックされてしまい、サイト内容が正しく表示されなくなってしまうという深刻な問題が発生してしまいます。
今まで表示されていた画像がある日突然表示されなくなってしまうなんて考えただけでゾッとしますよね。

急ぎで対応されたサイトなどでは一度ソースを見直してみることをお勧めいたします。
ページ数が多いサイトを運用されている場合は、HTTPS Checkerなどのツールなどを使うと手作業で1ページずつ確認しないでもチェックすることができるので便利ですよ。

また、常時SSL化対応をされていないサイトはこれを機会に検討いただくことをお勧めします。

そもそもhttps接続って何？って方もいると思いますので簡単に説明すると「サイトのデータをサーバとやり取りする際に通信が暗号化された状態で接続している」ことを指します。
逆にhttp接続では「サイトのデータをサーバとやりとりする際に通信が暗号化されていない状態接続している」となります。
https接続では通信内容が暗号化されているため、安全にサーバとやり取りができます。

通信が暗号化されていないと、中間者攻撃（通信経路に不正な手法で割り込み、通信内容を盗聴したり改ざんすること）の被害にあってしまう可能性があります。
そのため最近は個人情報の送信ページなど以外でもサイト全体をhttps対応しようという流れになっています。

セキュリティ面での重要性以外にもhttps対応することによりユーザーへサイト所有者の正当性を確認してもらうことができるというメリットもあります。
閲覧しているサイトのサーバが実在し、ドメインの使用権があることを証明する「SSL証明書」が発行されていないとhttps対応ができません。この「SSL証明書」の発行には審査が必要になります。
発行された「SSL証明書」はユーザー側からいつでも確認することができるため、サイトの安全性を伝えることができます。

デメリットをしいて挙げるとするとSSL証明書発行には年間費用が発生することでしょうか。
レンタルサーバ会社によってはサーバ契約をすると無料のSSL証明書が利用できるプランもありますが、基本的には有料となっております。
料金は各社で違っておりますので、導入の前に確認をしてください。

1：ドメイン認証SSL
証明書の認証レベルは3種類の中で最も低いのですが、個人でも取得ができる証明書になっています。
SSL証明書の申請者が該当のドメインの所有者として登録されてることを確認して発行されます。

個人事業主や個人サイトでも取得ができ、証明書が発行されるのも比較的早いです。
レンタルサーバなどに附属している無料のSSL証明書もこちらのタイプが多くなっています。

2：企業認証SSL
証明書の認証レベルは3種類の中で中間に位置します。
個人では取得できず、法人による申請のみとなっています。
申請する企業が法的に存在しており、該当のおメインの所有者として登録されていることを確認して発行されます。
証明書に記載される企業名は虚偽の申請ができないため、ユーザーはサイトサイトにアクセスしたさいに証明書（サイトシール）を確認し、サイトの運営会社を確認することができます。
証明書の発行時に第三者データベースに企業情報の紹介を行い、法的に実在していることを確認されます。
また、登録されている電話番号に電話をし、申請の確認が行われます。

主にコーポレートサイトや支払い機能のない会員サイトなどで利用されています。

3：EV(Extended Validation)認証SSL
証明書の認証レベルは3種類の中で最高位に位置します。
こちらも個人では取得できず、法人による申請のみとなっています。
申請する企業が法的に存在しており、該当のおメインの所有者として登録されていることの確認の他に
企業の所在地や申し込みの意図や権限などの確認も行われます。
EV認証は世界標準の認証ガイドラインも用意されており、発行にあたりSSL証明書の中では最も厳格な審査が行われます。

主にECサイトや金融関連のサイトで利用されています。