SSL
SSL（Secure Sockets Layer）は、Webブラウザとサーバー間の通信を暗号化するセキュリティプロトコルの通称です。後継規格であるTLSに取って代わられていますが、「SSL証明書」のような表現では、現在でもSSLという名称が日常的に使われています。
SSLは、Webトラフィックを暗号化して盗聴や改ざんを防ぐセキュリティプロトコルの一般的な名称です。
元のSSLプロトコルの各バージョンはすべて廃止されており、実際に現在使われている標準はその後継であるTLSです。この名称は「SSL証明書」のように慣用的に使われ続けています。
HTTPSは「SSL/TLSで保護されたHTTP」を意味し、SSL/TLSがその下で暗号化レイヤーと証明書の処理を提供しています。
Googleは2014年に、HTTPSをランキングシグナルとして使用していることを公式に発表し、現在ではページエクスペリエンスの一部として扱っています。
Let's Encryptのような無料の認証局により、SSL/TLS証明書を自動的に、かつ無料で発行・更新することが可能になります。
SSLとは何か
SSL（Secure Sockets Layer）は、Webブラウザとサーバーの間で交換されるデータを暗号化し、第三者による盗聴、改ざん、なりすましから保護するセキュリティプロトコルです。これにより、ユーザーが入力したパスワード、支払い情報、個人情報がネットワーク上を平文で流れるのを防ぎます。現在では、「SSL証明書」や「SSLを有効にする」といった一般的な表現は、実際には後継規格であるTLSを指す慣用句となっています。
SSLとTLSの関係
SSLは1990年代に登場した元来のプロトコルであり、既知のセキュリティ脆弱性があるため、SSLのすべてのバージョンは現在非推奨です。1999年には、TLS（Transport Layer Security）1.0がSSL 3.0の後継として公開され、その後のTLS 1.2および1.3では、より強力な暗号アルゴリズム（AESなど）、認証の改善、より堅牢な鍵交換メカニズムが導入されました。つまり、今日「SSL」と呼ばれているもののほぼすべては、実際にはTLS上で動作しています。
項目 | SSL | TLS |
|---|---|---|
標準の状況 | 元来のプロトコル、すべてのバージョンが非推奨 | SSLの後継、現在の標準（1.2 / 1.3） |
登場時期 | 1990年代半ば | 1999年（TLS 1.0）以降 |
暗号アルゴリズム | 古い方式で、既知の脆弱性があります | 現代的（AES など）、脆弱性は対策済みです |
実用上の利用 | 本番環境ではもはや使用されていません | 実際のすべてのHTTPS接続で使用されています |
「SSL証明書」という用語 | 慣例的にSSLと呼ばれますが、実際にはTLS証明書です | |
SSL証明書とHTTPS
SSL/TLS証明書は、認証局（CA）によって発行されるデジタルな身元証明です。ドメインの所有権を検証し、ブラウザがサーバーの識別情報を信頼できるようにし、暗号化された鍵交換の基盤として機能します。HTTPSは、このSSL/TLSセキュリティ層の上で動作するHTTP、つまり「SSL/TLSで保護されたHTTP」です。言い換えると、SSL/TLSはデータを暗号化し証明書を提供する技術であり、HTTPSはその暗号化を用いて安全に通信するプロトコルです。ブラウザのアドレスバーに表示される鍵アイコンは、有効な証明書を用いたHTTPS接続が確立されていることを示します。
Let's Encryptは、非営利団体ISRGが運営する無料の自動化されたオープンな認証局です。ACMEプロトコル（RFC 8555）を通じて、証明書の発行、更新、失効を自動化します。誰でもSSL/TLS証明書を無料で申請できるため、ウェブ全体でHTTPSの普及を大きく後押ししてきました。
SEOへの影響
2014年8月、Googleは公式ブログでHTTPSの利用をランキングシグナルとして開始したと発表しました。当時、Googleはこれが非常に軽量なシグナルであり、全検索クエリの1%未満にしか影響せず、高品質なコンテンツなどの他のシグナルよりも重みが小さいと述べていました。また、すべてのウェブサイトがHTTPからHTTPSへ移行するよう促すため、今後このシグナルを強化する可能性があるとも説明していました。現在、GoogleはHTTPSを単独のランキング要因としてではなく、コアランキングシステムが総合的に評価するページエクスペリエンスの構成要素として扱っています。
SEOの観点では、SSL/TLSの導入は単なるランキング向上以上の意味を持ちます。信頼性と優れたユーザー体験の前提条件だからです。HTTPSがないと、ブラウザには「Not Secure」の警告が表示され、直帰率が上昇し、チェックアウトやログインなどの取引ページでの信頼を損ないます。
実装チェックリスト
サイト全体にSSL/TLS証明書を適用し、すべてのページをHTTPSで配信する。
HTTPリクエストをHTTPSへ301リダイレクトし、重複コンテンツと混在コンテンツを回避する。
標準化canonicalタグおよびサイトマップURLをHTTPS版に設定します。
noindex robotsmetaタグがインデックス登録を妨げていないことを確認してください（Googleの推奨に従って）。
証明書の有効期限が切れる前に自動更新を設定します（たとえば、ACMEクライアントを使用したLet's Encrypt）。
レガシーSSLと古いTLSを無効にし、TLS 1.2以上を必須にします。