HTTPとHTTPSの違い — URLと「通信を守る範囲」から理解する

ひよこ

通販で入力する前に、HTTPとHTTPSのどこを見ればいいの？

ペンギン先生

HTTPSはHTTPをTLSで保護する仕組みだよ。通信経路での盗み見や改ざんを防ぎ、接続先のドメインを証明書で確認する。ただしHTTPSでも詐欺サイトはあり得るので、サイト自体の信用とは区別しよう。

ひよこ

じゃあ、普通のHTTPだと通信内容が読まれちゃうってことなの？

ペンギン先生

そのとおり。HTTPは通信データがそのまま「平文」で流れるから、途中で誰かが盗み見ると、パスワードやクレジットカード番号がそのまま見えてしまうんだ。手紙をハガキで送るか、封筒に入れて送るかの違いだと思えばわかりやすいね。

ひよこ

こわい…！HTTPSだとどうやって暗号化してるの？

ペンギン先生

HTTPSではTLSという暗号化プロトコルを使っているんだ。通信を始める前に「TLSハンドシェイク」という手順があって、サーバーが「自分は本物ですよ」と証明書を見せて、ブラウザとサーバーの間で暗号化の鍵を安全に共有するんだよ。確立した鍵でHTTPの内容を暗号化するんだ。ただし接続先IPや通信量など、外から見える情報もあるよ。

ひよこ

証明書ってお金がかかるの？個人のサイトでも使えるの？

ペンギン先生

以前は有料のものが主流だったけど、今はLet's Encryptという無料の認証局があるから、個人サイトでも気軽にHTTPS化できるよ。レンタルサーバーやクラウドサービスでもワンクリックで設定できることが多いんだ。

ひよこ

HTTPSにするとSEOにも影響があるって聞いたけど、本当なの？

ペンギン先生

本当だよ。Googleは安全なHTTPSでの提供をページ体験の点検項目に挙げているよ。ただしHTTPS化だけで検索順位が上がるとは保証できない。さらにChromeではHTTPサイトに「保護されていない通信」と警告が出るから、ユーザーの信頼にも関わるね。

ひよこ

パフォーマンスはどうなの？暗号化すると遅くなったりしないの？

ペンギン先生

鍵の確立や暗号処理には負荷があるけど、実際の速さは接続再利用やサーバー、回線などにも左右されるよ。ブラウザでHTTP/2を使う場面は通常HTTPSだけど、HTTP/2の仕様自体には平文通信もある。速くなるかは測定して判断しよう。

ひよこ

TLS 1.3では接続の手順がどう変わったの？

ペンギン先生

TLS 1.3は通常のフルハンドシェイクが1往復で進み、古い暗号方式も整理されたよ。ただし鍵交換の再試行などで往復が増える場合もある。図は証明書を使う通常の接続を簡略化しているんだ。

ひよこ

実際にHTTPSへ移すときは、どこから確認すればいい？

ペンギン先生

証明書と自動更新を設定し、HTTPSでページ・画像・スクリプトが動くか確認しよう。その後HTTPからHTTPSへの転送や内部リンクを整える。HSTSは対象のサブドメインも確認して短い有効期間から段階的に導入するよ。

URLの「s」は、通信を守るための目印

通販で住所やパスワードを送るとき、まずアドレスバーを確認します。HTTPSは、ブラウザと接続先の間の通信をTLSで保護する仕組みです。相手に届いたあとの保存方法や、そのお店が信用できるかまで保証するものではありません。

例えば次のURLは、方式とドメインを分けて読みます。説明用の例なので、ログイン情報は入力しません。

https://shop.example.com/cart
^^^^^   ^^^^^^^^^^^^^^^^
方式     接続先のドメイン

HTTPSでも、見覚えのないドメインや、公式サイトに似せた名前なら確認が必要です。証明書の警告が出たときは、無視して先へ進まず、URL・端末の時計・サイト側の状態を確かめます。

何を守り、何は別に確認する？

封筒のたとえで考えるなら、HTTPSは経路の途中で中身を読まれにくくする仕組みです。「封筒だから送り先の店も信頼できる」とは考えません。接続先IPや通信量など、外から見える情報も残ります。

自分のサイトなら、この順に確認

1. ホスティングのHTTPSと証明書の自動更新を確認する。Let’s Encryptは無料の証明書を提供する認証局の一例。
2. ページに加え、画像・フォント・スクリプトもHTTPSで取得できるかを見る。
3. HTTPからHTTPSへの転送、内部リンク、canonical、サイトマップを整える。
4. HSTSは対象・サブドメインを確認して段階的に設定する。preloadは長期的な影響を理解してから判断する。

HTTPSページがHTTPの画像やスクリプトを読み込むと、混合コンテンツになります。現在のブラウザは種類に応じてHTTPSへ変更するか、読み込みをブロックします。自動処理に任せきりにせず、元のURLとHTTPSでの配信を確認しましょう。

HSTSヘッダーはブラウザが方針を覚えたあとの接続に効きます。まだ知らない初回を同じように守るわけではありません。preloadは初回にも働く仕組みですが、全サブドメインや解除の時間に影響するため、設定例をそのままコピーする対象ではありません。

もう少し詳しく：TLSと速さ

TLSでは接続の手順で鍵を確立し、通信の内容を保護します。証明書を使う通常のTLS 1.3のフルハンドシェイクは1往復で進む形ですが、鍵交換の再試行などで増える場合もあります。HTTPSにしただけで常に速くなるわけではなく、接続再利用・回線・処理内容などで測定します。

HTTP/2の仕様はHTTPとHTTPSの両方を扱います。ブラウザで一般的に使う構成はHTTPSですが、「HTTP/2だから暗号化済み」と方式名だけで判断しません。GoogleもHTTPSをページ体験の点検項目に挙げていますが、検索順位の上昇を保証するものではありません。

URLの読み方はアドレスバー、接続先を調べる入口はDNSの仕組み、接続の流れはHTTPSの仕組みへ。

参考資料

• MDN — TLS — 保護と証明書・混合コンテンツ
• MDN — Mixed content — 自動変更とブロック
• RFC 8446 — TLS 1.3
• RFC 9113 — HTTP/2の方式
• HSTS preload — 初回・サブドメイン・解除の影響
• Let’s Encrypt — 無料・自動の認証局
• Google — Page experience — HTTPSとページ体験