WordPressのSSL化・HTTPS化の方法｜httpから安全にリダイレクトする手順

ブログを開くとアドレスが「保護されていません」と表示される、httpとhttpsのURLが混在している、URLを変えたら画像が出なくなった。こうした悩みを解決するのがSSL化とHTTPSへの統一です。SSL化は通信を暗号化するだけの作業ではありません。読者が安心して問い合わせや購入をできる環境を整え、管理画面のログイン情報も守る、サイト運営の基本です。

この記事では、独自ドメインを取得したWordPressサイトを想定し、証明書の確認からWordPressのURL変更、httpからhttpsへの転送、混在コンテンツの直し方までを順に説明します。サーバー会社ごとに管理画面の名称は異なりますが、確認すべきポイントは共通です。

SSL化とHTTPS統一が必要な理由

SSLは、ブラウザとサーバーの間でやり取りする情報を暗号化する仕組みです。WordPressのログインID・パスワード、問い合わせフォームの氏名やメールアドレスを、途中で読み取られにくくします。設定後はURLがhttpではなくhttpsで始まり、多くのブラウザでは鍵の表示で保護された通信であることを確認できます。

常時SSL化とは、一部のページだけでなくサイト全体をhttpsで表示し、httpでアクセスした人もhttpsへ自動転送する状態です。httpとhttpsの両方で同じ内容が開けるままだと、読者が古いURLを開いたときに保護されない通信になるだけでなく、検索エンジンにURLが分散して伝わるおそれもあります。セキュリティ対策の基礎としても、WordPressセキュリティ対策で常時SSLの重要性を確認できます。

作業前に確認する4つのこと

SSL設定は、順番を誤ると一時的に管理画面へ入れなくなったり、画像が鍵なし表示になったりします。先に現在の状態を控え、復元できる準備をしましょう。すでにサーバーの無料SSLが有効になっているケースも多いため、いきなりURLを書き換えず、まず証明書の状態を確認します。

• バックアップ：データベースとファイルを含む、直近の復元可能なバックアップを確認します。
• ドメインの向き先：独自ドメインが正しいサーバーを向き、WordPressがそのドメインで表示できているかを確認します。
• 現在のURL：「http://ドメイン」「https://ドメイン」「wwwあり・なし」のどれが正規URLかを決め、途中で混ぜません。
• 外部連携：広告、アクセス解析、Search Console、SNSプロフィールなどに登録したURLをメモします。

独自ドメインの取得自体がまだの場合は、先に独自ドメインの取得ガイドを確認してください。サーバーのクイックスタートでWordPressを始めた場合は、SSLが初期設定に含まれることがあります。エックスサーバーでWordPressを始める手順も参考になります。

SSL証明書を有効にしてHTTPSで開けるか確認する

サーバーの管理画面で、対象ドメインのSSL設定を開きます。「無料独自SSL」「SSL証明書」などの名称で用意されていることが一般的です。未設定なら発行または有効化を実行し、反映が完了するまで待ちます。証明書発行中にWordPress側のURLだけをhttpsへ変えると、まだ通信が確立していないためエラーになることがあります。

反映後、まずブラウザでhttps://あなたのドメイン/を直接開きます。トップページが開き、警告が出ないことを確認します。この段階ではhttpでも開けることがありますが、httpsで正常に見えることを先に確認するのが順序です。発行に失敗する場合は、DNSが別サーバーを向いている、ドメイン追加が未完了、直後の設定変更が浸透していない、といった原因が考えられます。むやみに設定を繰り返さず、サーバーの案内とサポートを確認しましょう。

WordPressのURLをhttpsへ変更する手順

httpsでサイトが開けたら、WordPress管理画面で「設定」から「一般」を開きます。「WordPress アドレス（URL）」と「サイトアドレス（URL）」の先頭を、どちらもhttps://に統一して保存します。この2つを片方だけ変えると、ログインURLと公開サイトのURLが食い違うことがあるため、基本は同じ正規ドメインにそろえます。

保存するとログアウトすることがあります。これはURLが変わったための正常な動作です。新しいhttpsの管理画面URLから再ログインしてください。ログインできないときは、ブラウザのCookieやキャッシュを削除してから試します。それでも戻れない場合に備え、作業前のバックアップとサーバーのファイル管理機能を使えるようにしておくことが重要です。

httpからhttpsへ確実に転送する

URLを変更しただけでは、古いhttpのリンクを踏んだ人が自動でhttpsへ移動しない場合があります。サーバー管理画面の「HTTPSリダイレクト」「常時SSL化」などの機能を有効にし、httpアクセスをhttpsへ301リダイレクトします。301はURLが恒久的に移転したことを伝える転送方法で、サイトの正規URLを一つに集約するために使います。

設定後は、ログアウト状態のシークレットウィンドウでhttpのURLを開きます。アドレスバーがhttpsへ変わり、途中で何度も転送されず、ページが正常に表示されればOKです。wwwあり・なしのURLも使っているなら、どちらを正規URLにするか決め、もう一方も同じURLへ集約します。転送が繰り返されてページが開かない場合は、サーバー側設定とWordPress側プラグインで同じ転送を二重にしている可能性があります。

鍵マークが出ない「混在コンテンツ」を直す

ページ自体はhttpsなのに警告が出る場合、本文画像、CSS、JavaScript、広告コードなどの一部がhttpで読み込まれている「混在コンテンツ」が疑われます。まずブラウザの開発者ツールのコンソール表示や、表示されない画像のURLを確認します。古い記事に手入力した画像URL、テーマ設定のロゴ画像、ウィジェット内のコードが原因になりやすい場所です。

解決の基本は、httpで始まる自サイトURLをhttpsに置き換えることです。ただしデータベースを一括置換する操作は、シリアライズされたデータを壊すおそれがあるため、必ずバックアップを取り、信頼できる方法で慎重に行います。外部サイトの画像やスクリプトがhttpしか対応していないなら、その素材はhttps対応のものへ差し替えます。画像が多い場合でも、問題を隠すだけの対症療法で済ませず、元のURLを直す方が後々の管理が楽です。

SSL化後に必ず確認したい場所

SSL化の完了判定はトップページだけではできません。記事、固定ページ、画像一覧、管理画面、フォームを代表として確認します。サイト内検索、問い合わせ、広告やアクセス解析も、URL変更で見えなくなっていないか確認しましょう。アクセス解析やSearch Consoleでは、httpとhttpsが別プロパティとして扱われる場合があるため、計測設定も見直します。

• トップ、記事、固定ページをPCとスマホで開き、アドレスがhttpsで鍵表示になるか
• 管理画面へhttpsでログインし、下書き保存とプレビューができるか
• 問い合わせフォームを送信し、送信完了画面とメール受信を確認できるか
• httpの旧URL、wwwあり・なしURLが正規のhttps URLへ転送されるか
• 広告、解析タグ、SNSシェア画像、外部サービス連携が正常か

まとめ：SSL化は一度で終わらせず、正規URLを育てる

SSL化は、証明書を有効にするだけでは完了しません。httpsでサイトを開けること、WordPressのURLを統一すること、httpから301で転送すること、混在コンテンツがないことまで確認して、初めて安心して使える状態になります。

作業前のバックアップを取り、サーバー→WordPress→リダイレクト→表示確認の順で進めれば、初心者でも落ち着いて対応できます。これからサーバーを選ぶ段階なら、無料SSLやバックアップの使いやすさも比較基準にしましょう。ConoHa WINGの解説も、サーバー機能を検討する入口になります。

設定後も、新しい記事や画像を追加したとき、外部サービスのコードを貼ったときには、念のためhttps表示を確認してください。常時SSL化は一度設定すれば終わりではなく、サイトの変更に合わせて安全な通信が保たれているかを点検する運用です。月に一度、代表ページをスマホとPCで開き、鍵表示・フォーム送信・リダイレクトを確かめる習慣を作ると、小さな異常のうちに気付けます。証明書の有効期限やサーバーからの通知も受信できるメールアドレスへ設定し、更新失敗の警告を見落とさないようにしましょう。管理者が複数いるサイトでは、担当者が変わっても確認できるよう、設定場所と確認日を運用メモへ残しておくと安心です。