SSLとは? その意味と仕組み |
LSLSLSLSLSLS
SSLとは、訪問者のブラウザとサーバ間のデータ通信を暗号化する技術です
SSL(Secure Sockets Layer)とはインターネット上の通信を暗号化する技術です。
インターネット上のデータ通信は、第三者によって傍受・改ざんされる危険性があります。
ホームページへSSLを導入すると、訪問者のブラウザとサーバー間のデータ通信が暗号化されます。
※ブラウザ・・・Internet ExplorerやGoogle ChromeなどのWebサイトを閲覧するためのソフトのこと
※サーバー・・・ホームページのデータを保管しているコンピュータのこと
SSLを導入するとサイトのURLがhttpからhttpsに変更されます。追加される「s」はsecure(セキュア、「安全である」の意)の頭文字です。
secureの名詞形がsecurity(セキュリティ)になります。
インターネット上のデータ通信は、第三者によって傍受・改ざんされる危険性があります。
ホームページへSSLを導入すると、訪問者のブラウザとサーバー間のデータ通信が暗号化されます。
※ブラウザ・・・Internet ExplorerやGoogle ChromeなどのWebサイトを閲覧するためのソフトのこと
※サーバー・・・ホームページのデータを保管しているコンピュータのこと
SSLを導入するとサイトのURLがhttpからhttpsに変更されます。追加される「s」はsecure(セキュア、「安全である」の意)の頭文字です。
secureの名詞形がsecurity(セキュリティ)になります。
SSLで通信を暗号化することで、悪意を持った第三者の盗聴を防止します
LSLSLSLSLSLS
個人情報が漏れたときの被害 <訪問者側>
個人情報が第三者に流出してしまうと、ホームページの訪問者(お客様)にとってどんな被害が発生するのでしょうか?
スパムメール(迷惑メール)や架空請求が急増する | |
営業電話やダイレクトメールの数が増えていく | |
知らない間に自分が詐欺サイトの運営者として登録されてしまう |
個人情報が漏れたときの被害 <企業側>
個人情報が第三者に流出してしまうと、ホームページ運営者(企業)にとってどんな被害が発生するのでしょうか?
企業イメージが悪化して、クレーム対応に追われることになる | |
情報流出の悪評が拡散され、ネット上にいつまでも残ってしまう | |
企業の信頼性が傷つき、顧客離れや売上げの減少を招くことも |
信頼は築きあげるのは大変ですが失うときは一瞬です。
企業ホームページにSSLを導入することで、訪問者(お客様)の個人情報を守り、同時に会社のイメージ失墜のリスクを減少できます。
訪問者はホームページのSSL対応を強く望んでいます |
インターネットの利用者は個人情報の流出を不安に感じている
個人情報を入力するページでは8割以上が「必ずSSLに対応するべき」と回答
SSL未対応だとお問い合わせ獲得の機会を損失する |
お問い合わせや商品の注文などのコンバージョンはホームページの最終目標
SSL対応の有無が簡単にチェックできるようになった |
ここまでお読みいただいて「でも、ホームページがSSL対応しているかどうかなんて、一般の訪問者には分からないからそこまで気にする必要はないんじゃないの?」と思われた方も多いでしょう。
しかし、昨今その状況は変わりつつあります。
すでにご説明したような、悪意を持った第三者による個人情報略取が横行している現状を踏まえ、ITサービス提供各社も対策を次々に打ち出しています。
特に大きいのがWebブラウザの表示です。
主要なWebブラウザではSSLを導入しているホームページとそうでないページを明確に見分けられるようにアドレスバーの表示方法が変更されました。
しかし、昨今その状況は変わりつつあります。
すでにご説明したような、悪意を持った第三者による個人情報略取が横行している現状を踏まえ、ITサービス提供各社も対策を次々に打ち出しています。
特に大きいのがWebブラウザの表示です。
主要なWebブラウザではSSLを導入しているホームページとそうでないページを明確に見分けられるようにアドレスバーの表示方法が変更されました。
InternetExplorerではSSL保護されていると鍵マークが表示されます
InternetExplorerではSSL対応していないと鍵マークは表示されません
Google Chromeは特にSSL対応の表示に熱心 |
特にSSL対応の表示に熱心なブラウザがGoogle Chromeです。
Google Chromeは世界一利用率が高く、国内でもInternet Explorerと同等以上のシェアを獲得し、モバイルでは圧倒的な強さを誇っています。
Google ChromeではSSL対応しているページが非常にわかりやすいサインで表示されます。
Google Chromeは世界一利用率が高く、国内でもInternet Explorerと同等以上のシェアを獲得し、モバイルでは圧倒的な強さを誇っています。
Google ChromeではSSL対応しているページが非常にわかりやすいサインで表示されます。
Google ChromeではSSL対応していると「保護された通信」と表示されます
SSL未対応だと「i」マークが表示され、クリックすると警告が表示されます
ログインページでは「保護されていません」の警告メッセージを常に表示
従来はメジャーだった、共有SSLとは何か?
それでは、次にSSLの形式についてご説明します。
個人情報の流出を防ぐため、注文やお問い合わせなどのメールフォームがあるページのみにSSLをかけて暗号化するという手法が多くの企業ホームページで採用されていました。
具体的にいえば、メールフォームのページのみ、SSLを導入しているサーバー会社の領域を間借りしてそこに設置するという手法です。
これなら、自社専用のSSLサーバー証明書の発行契約をするわけではないので、比較的安価に訪問者の個人情報を守れます。
このような、サーバー会社のSSLで保護された領域を借りる形式の対応方法を、共有SSLもしくは共用SSLと呼びます。
複数の企業がサーバー会社のSSLを間借りして共有することから、この名が付きました。
個人情報の流出を防ぐため、注文やお問い合わせなどのメールフォームがあるページのみにSSLをかけて暗号化するという手法が多くの企業ホームページで採用されていました。
具体的にいえば、メールフォームのページのみ、SSLを導入しているサーバー会社の領域を間借りしてそこに設置するという手法です。
これなら、自社専用のSSLサーバー証明書の発行契約をするわけではないので、比較的安価に訪問者の個人情報を守れます。
このような、サーバー会社のSSLで保護された領域を借りる形式の対応方法を、共有SSLもしくは共用SSLと呼びます。
複数の企業がサーバー会社のSSLを間借りして共有することから、この名が付きました。
近年主流になりつつある、独自SSLとは何か?
独自SSLならCookie(クッキー)の盗聴を防げる
コンビニやカフェ、ホテルなど、無料Wi-Fiを提供する場所が増えてきた
無料Wi-Fiはセキュリティが弱く、罠が仕掛けられている場合がある
しかし、これらの無料Wi-Fiのなかにはセキュリティがしっかりしていないものや、個人情報を盗み取るために攻撃者が罠を仕掛けているものもあります。
具体的には以下のような手法です。
・同じWi-Fiに接続している他のユーザーのCookie情報を盗みとるツールを使う
・店舗が提供している無料Wi-Fiに見せかけた「なりすましのアクセスポイント」を仕掛ける中間者攻撃・・・など
つまり、無料Wi-Fiの普及にともない、以前とくらべてCookie情報を傍受されるリスクが急激に高まっているのです。
具体的には以下のような手法です。
・同じWi-Fiに接続している他のユーザーのCookie情報を盗みとるツールを使う
・店舗が提供している無料Wi-Fiに見せかけた「なりすましのアクセスポイント」を仕掛ける中間者攻撃・・・など
つまり、無料Wi-Fiの普及にともない、以前とくらべてCookie情報を傍受されるリスクが急激に高まっているのです。
Cookie情報を盗まれると第三者が本人になりすましてログインできてしまう
Cookie(クッキー)とはホームページの情報をWebブラウザの機能を通じて、訪問者のパソコンやスマートフォンに保存する仕組みのことです。
みなさんがFacebookやTwitter、Amazonなどのサービスを利用するときを思い出してみてください。
毎回IDやパスワードをいちいち入力しているでしょうか?
2回目以降にアクセスすると、すでにログイン状態になっていることも多いはずです。
これはCookieが各サービスのログイン情報を保存しているため、ID・パスワード入力の手間を省けているのです。
Cookieの情報が盗まれると、悪意を持った第三者がそのユーザーになりすまして各サービスにログインできてしまいます。
一度ログインさえしてしまえば、サービスによってはユーザーの名前や住所、電話番号などがアカウントに登録されているので、個人情報を盗むのは極めて簡単です。
ちなみに、他人のCookieを盗聴するツールはネット上で公開されており、無料で誰でもダウンロードできるのが現状なので、盗聴のリスクは相当高いといわざるをえないでしょう。
みなさんがFacebookやTwitter、Amazonなどのサービスを利用するときを思い出してみてください。
毎回IDやパスワードをいちいち入力しているでしょうか?
2回目以降にアクセスすると、すでにログイン状態になっていることも多いはずです。
これはCookieが各サービスのログイン情報を保存しているため、ID・パスワード入力の手間を省けているのです。
Cookieの情報が盗まれると、悪意を持った第三者がそのユーザーになりすまして各サービスにログインできてしまいます。
一度ログインさえしてしまえば、サービスによってはユーザーの名前や住所、電話番号などがアカウントに登録されているので、個人情報を盗むのは極めて簡単です。
ちなみに、他人のCookieを盗聴するツールはネット上で公開されており、無料で誰でもダウンロードできるのが現状なので、盗聴のリスクは相当高いといわざるをえないでしょう。
一部のページのみ保護する共有SSLでは、訪問者のCookieは守れない
確かに、注文フォームやお問い合わせフォームのみを暗号化して保護する共有SSLでも、訪問者が入力・送信した氏名や住所などの個人情報は守れます。
しかし、共有SSLではフォームが設置されていないページはSSLで保護されていませんから、訪問者が他のページを閲覧しているときにCookieの情報を盗聴されるリスクがあります。
つまり、共有SSLではSSL化していないページがセキュリティの穴となって、訪問者のCookie情報を盗まれてしまう可能性を払拭できません。
しかし、共有SSLではフォームが設置されていないページはSSLで保護されていませんから、訪問者が他のページを閲覧しているときにCookieの情報を盗聴されるリスクがあります。
つまり、共有SSLではSSL化していないページがセキュリティの穴となって、訪問者のCookie情報を盗まれてしまう可能性を払拭できません。
SEO面で有利になり検索順位の優遇効果を得られる
GoogleがSSL対応でURLがhttpsになっているページを優遇すると公式発表
検索エンジン最大手のGoogleは全世界のWebサイトのSSL化を促進し、インターネットの世界をより安全にしようと考えています。
その一環として、WebサイトがSSL化されてURLがhttpsになっているかどうかをランキングシグナルとして採用すると発表しました。
参考ページ:Google ウェブマスター向け公式ブログ「HTTPS をランキング シグナルに使用します」
要は、URLがhttpsになっているホームページを検索順位で優遇するということです。
これにより、同じクオリティのページであればSSL化されているページのほうが、順位が上に来るようになりました。
よって、SSL化にはセキュリティだけではなくSEO(検索エンジン最適化)の面でもメリットが発生するようになったのです。
その一環として、WebサイトがSSL化されてURLがhttpsになっているかどうかをランキングシグナルとして採用すると発表しました。
参考ページ:Google ウェブマスター向け公式ブログ「HTTPS をランキング シグナルに使用します」
要は、URLがhttpsになっているホームページを検索順位で優遇するということです。
これにより、同じクオリティのページであればSSL化されているページのほうが、順位が上に来るようになりました。
よって、SSL化にはセキュリティだけではなくSEO(検索エンジン最適化)の面でもメリットが発生するようになったのです。
ただし、SSLのSEO効果を過大評価するのは禁物
しかし、SSL化すれば必ず検索上位を獲得できるわけではないのでご注意ください。
Googleが順位を決定するうえで、最も重視している要素はページのクオリティです。
もっと具体的にいえば、検索ユーザーにとって役に立つ情報が文章でしっかりと書かれているかどうかです。
SSL化が順位に与える影響は、ページのクオリティと比較すれば小さいものです。
文章が一、二行しか書かれていない情報量がスカスカのページではSSL化しても、検索順位の上昇はあまり期待できません。
※SEOと文章量の関係について詳しく知りたい方は以下のページをご覧ください。
Googleが順位を決定するうえで、最も重視している要素はページのクオリティです。
もっと具体的にいえば、検索ユーザーにとって役に立つ情報が文章でしっかりと書かれているかどうかです。
SSL化が順位に与える影響は、ページのクオリティと比較すれば小さいものです。
文章が一、二行しか書かれていない情報量がスカスカのページではSSL化しても、検索順位の上昇はあまり期待できません。
※SEOと文章量の関係について詳しく知りたい方は以下のページをご覧ください。
独自SSLのSEO効果はページが増えるほど、影響が大きくなる
前述のように、独自SSLが検索順位に与える影響はページ内のコンテンツのクオリティに比べれば小さいです。
しかし、独自SSLのSEO効果の強みは全ページにその影響が及ぶ点です。
ページを増やしてホームページを充実化していくほど独自SSL化のSEO効果は総量で見ると大きくなっていきます。
企業ホームページの独自SSL化で下層ページの順位上昇が見込め、広義のランディングページ(入り口ページ)の増強が期待できます。
ページを増強し企業ホームページを順調に育てていった場合、長期的に見ればSSL化による検索エンジン経由での集客力の差は雪だるま式に大きくなっていきます。
※ホームページで集客するうえで、ページの増加がどれだけ重要なのかは以下のページで詳しく解説していますので、ぜひお読みください。
しかし、独自SSLのSEO効果の強みは全ページにその影響が及ぶ点です。
ページを増やしてホームページを充実化していくほど独自SSL化のSEO効果は総量で見ると大きくなっていきます。
企業ホームページの独自SSL化で下層ページの順位上昇が見込め、広義のランディングページ(入り口ページ)の増強が期待できます。
ページを増強し企業ホームページを順調に育てていった場合、長期的に見ればSSL化による検索エンジン経由での集客力の差は雪だるま式に大きくなっていきます。
※ホームページで集客するうえで、ページの増加がどれだけ重要なのかは以下のページで詳しく解説していますので、ぜひお読みください。
企業ホームページへのSSL導入のデメリットは何か?
SSLの導入にはいくつかのデメリットも存在します。
どれも深刻なデメリットではありませんが、きちんと納得してからSSLを導入するために具体的に確認しておきましょう。
どれも深刻なデメリットではありませんが、きちんと納得してからSSLを導入するために具体的に確認しておきましょう。
SSLの導入や維持にはコストが発生する
導入時の費用が発生し、独自SSLの場合ランニングコストも上乗せされる
SSLを企業ホームページに導入すると、初期費用や維持コストが発生します。
独自SSLの場合、高価なサービスだとSSLサーバー証明書だけで年間10万円ほどかかることもあります(もちろん、サーバー自体の料金やホームページの制作費用は別途かかります)。
独自SSLの場合、高価なサービスだとSSLサーバー証明書だけで年間10万円ほどかかることもあります(もちろん、サーバー自体の料金やホームページの制作費用は別途かかります)。
個人情報流出リスクの低減などのメリットもあるので、一概に高いともいえない
しかし、SSLのコストについては導入のメリットと天秤にかけて判断する必要があります。
前述のとおり、訪問者(お客様)の個人情報流出によるクレームの発生や企業イメージ失墜のダメージは甚大です。
独自SSLの導入でこのような個人情報流出のリスクを低減できます。
そのうえ、SSL導入によるSEO効果も見逃せません。さらに、より訪問者が安心してホームページを閲覧できるようになるので、お問い合わせや注文などのアクションを起こしてくれる確率の上昇も期待できるでしょう(コンバージョン率の上昇)。
訪問者(お客様)の安全の確保や種々のメリットを優先すべきなのか、それとも費用の節約を優先すべきなのか、比較してSSLを導入すべきかどうかをみなさんで判断してください。
ただし、検索エンジン最大手でトップシェアのブラウザも提供しているGoogleが独自SSLの導入を促進している以上、今後はSSLを導入しないデメリットがどんどん大きくなっていくことが予想されます。
前述のとおり、訪問者(お客様)の個人情報流出によるクレームの発生や企業イメージ失墜のダメージは甚大です。
独自SSLの導入でこのような個人情報流出のリスクを低減できます。
そのうえ、SSL導入によるSEO効果も見逃せません。さらに、より訪問者が安心してホームページを閲覧できるようになるので、お問い合わせや注文などのアクションを起こしてくれる確率の上昇も期待できるでしょう(コンバージョン率の上昇)。
訪問者(お客様)の安全の確保や種々のメリットを優先すべきなのか、それとも費用の節約を優先すべきなのか、比較してSSLを導入すべきかどうかをみなさんで判断してください。
ただし、検索エンジン最大手でトップシェアのブラウザも提供しているGoogleが独自SSLの導入を促進している以上、今後はSSLを導入しないデメリットがどんどん大きくなっていくことが予想されます。
Webサイトの表示スピードが遅くなることがある
SSLを導入するとホームページのデータをそのまま訪問者のパソコンやスマートフォンに送信するのではなく、暗号化のステップを挟むことになります。
暗号化の手間がかかる分、SSL導入により各ページが表示されるまでの時間が長くなることがあります。
しかし、現在はパソコンやスマートフォンのCPUの性能が飛躍的に向上しているため、昔に比べるとSSLによる表示速度の遅延はそこまで大きいものではありません。
暗号化の手間がかかる分、SSL導入により各ページが表示されるまでの時間が長くなることがあります。
しかし、現在はパソコンやスマートフォンのCPUの性能が飛躍的に向上しているため、昔に比べるとSSLによる表示速度の遅延はそこまで大きいものではありません。
設置されたSNSボタンのカウントがリセットされる
ホームページ上のFacebookのいいねボタンなどの数がリセットされる
企業ホームページに独自SSLを導入すると、全ページのURLがhttpからhttpsに変更されます。
そうすると、別サイト扱いになってしまいますので各ページに設置されたFacebookのいいね数などのSNSボタン(ソーシャルボタン)のカウントがリセットされます。
そのため、この点は納得したうえで独自SSLを導入しなければいけません。
そうすると、別サイト扱いになってしまいますので各ページに設置されたFacebookのいいね数などのSNSボタン(ソーシャルボタン)のカウントがリセットされます。
そのため、この点は納得したうえで独自SSLを導入しなければいけません。
ホームページを新規開設やリニューアルするなら独自SSLを導入すべき!
逆にいえば、企業ホームページを新規開設する場合やリニューアルを期にSNSでの情報発信を増やしていきたい場合は、開設やリニューアルと同時に独自SSLを導入することを強くおすすめします。
公開して数年経ってから「やっぱり独自SSLを入れたい!」となると、せっかく集めたSNSのカウントがリセットされてしまい、もったいないからです。
公開して数年経ってから「やっぱり独自SSLを入れたい!」となると、せっかく集めたSNSのカウントがリセットされてしまい、もったいないからです。
SSL導入にはWebサーバーの専門知識が必要
SSLでは訪問者は守れるが、ホームページ自体は攻撃から守れない
SSLでは訪問者とWebサーバー間の通信を暗号化して、盗聴や傍受を防ぎます。
しかし、SSLで守れるのはあくまで訪問者のみであり、企業ホームページ自体が攻撃を受けたときに防御することはできません。
特にSQLインジェクションやクロスサイトスクリプティングなど、ホームページの脆弱性を突いた攻撃を受けてしまうと、これまでお問い合わせしてくれた訪問者のお名前や住所・電話番号などが丸ごと盗まれたり、ホームページ自体を改ざんされてフィッシングサイトへリンクされたりといった、甚大な被害が発生します。
訪問者だけでなく、企業ホームページ自体も攻撃から守ってセキュリティを強化するならSSLだけでなく、WAF(ウェブ・アプリケーション・ファイアウォール)との併用がお勧めです。
しかし、SSLで守れるのはあくまで訪問者のみであり、企業ホームページ自体が攻撃を受けたときに防御することはできません。
特にSQLインジェクションやクロスサイトスクリプティングなど、ホームページの脆弱性を突いた攻撃を受けてしまうと、これまでお問い合わせしてくれた訪問者のお名前や住所・電話番号などが丸ごと盗まれたり、ホームページ自体を改ざんされてフィッシングサイトへリンクされたりといった、甚大な被害が発生します。
訪問者だけでなく、企業ホームページ自体も攻撃から守ってセキュリティを強化するならSSLだけでなく、WAF(ウェブ・アプリケーション・ファイアウォール)との併用がお勧めです。
おりこうブログで独自SSLを簡単に導入!
プランについて
SSL導入について、お客様ごとの契約状況確認が必要になりますので、以下のカスタマーセンターにご連絡いただくか、「相談、申込みフォームより」お問合わせください。お客様の状況確認の上、「お客様№1パートナーになるため」にも最適なプランをご案内させて頂きます。
相談、申込みフォームについて
まずは、お気軽にご相談ください!
ディーエスブランド カスタマーセンター
電話でのお問い合わせ
050-3816-0075
(受付時間:平日9時~17時)
お電話の際は、「サポートサイトを見て」とお伝えください。
お電話の際は、「サポートサイトを見て」とお伝えください。
メールでのお問い合わせ