ロリポップでは、利用中の独自ドメインに対して無料で独自SSL(HTTPS化)が利用できます。
今回は、レンタルサーバーロリポップで、常時SSLを設定する方法をご説明します。
■SSL化ができた場合のブラウザ表示。鍵マークが表示されている
■SSL化されていない通信の場合のブラウザ表示。「保護されていない通信」と表示されている
合わせて読みたい記事
本記事ではSSL化について詳しく記載していますが、WordPressの基本的な使い方については「【総まとめ版】WordPress(ワードプレス)の使い方」をあわせてご参照ください。
もくじ
ロリポップにインストールしたWordPressに常時SSL設定を行う
ここでは、レンタルサーバー「ロリポップ」にインストールしたWordPressに対して、下記のステップで常時SSL化する方法をご紹介していきます。
- 「ロリポップ」サーバー管理画面でSSLの設定を行う
- 「WordPress」でSSLの設定を行う
- 「.htaccess」で常時SSLの設定を行う(※注)
- その他必要に応じてSSL化によって生じる調整作業を行う
(※注)単純にSSL化のみ実施した場合は、httpでもhttpsでもどちらでもアクセスできる状態で、ある意味不完全な状態です。そこで「http」でリクエストされたアクセスを「https」化した通信へ転送した設定(どんなアクセスでもhttps(SSL)で通信を強制することを常時SSLといいます。
まず、ロリポップサーバーの「ユーザー専用ページ」にログインします。
「セキュリティ」を選択し「独自SSL証明書導入」をクリックします。
対象のドメイン(wwwありなし両方)にチェックを入れて、独自SSL(無料)を設定する」をクリックします。
(※)ロリポップの無料SSLは、一度設定すると解除できませんのでご注意ください。
設定には5〜10分程度かかり、SSL設定作業中と表示されます。しばらく待ちましょう。
5〜10分後に更新ボタンを押してSSL保護有効と表示されれば設定完了です。
これでロリポップサーバーのSSL設定は完了です。
WordPressでSSLの設定を行う
次に、WordPressでもSSLの設定を行います。ダッシュボードから「設定」を選択し「一般」をクリックします。
「WordPressアドレス(URL)」、「サイトアドレス(URL)」を「http://~」から「https://~」に変え、「変更を保存」をクリックします。
(※)本操作で誤った内容を入力・保存すると、WordPressにアクセスできなくなる場合があるため、慎重に行いましょう。
変更を保存します。
一旦ログアウトされるので、再度ログインしましょう。
管理画面のアドレスがhttpsになっていることが確認できたらOKです。
ここまでの設定だけでは、まだ「http」と「https」のURL両方にアクセスすることができる状態です。
そこで「http」のURLを「https」へ転送する設定を行っていきます(常時SSL)。
「.htaccess」ファイルに常時SSLの設定を行う
最後に、常時SSLの設定を行なっていきます。ここまでの設定だけでは、まだ「http」と「https」のURL両方にアクセスすることができる状態です。
そこで「http」でリクエストされた通信も「https」として通信させる設定を行っていきます(常にSSL通信になるので常時SSLといいます)。設定を行うには、サーバー上にある「.htaccess」という重要なファイルを編集する必要があります。
「.htaccess」ファイルを開き、その先頭に「http」へアクセスした場合、「https」に転送するコードを書き加える必要があります。
「.htaccess」ファイルとは、Apache(Webサーバーのソフトウェア) を使ったサーバーの挙動を制御するための設定ファイルです。
リダイレクト(サイトを訪れたユーザーに別のURLを転送するためのしくみ)、アクセス制限、ユーザー認証、404エラーページ(ユーザーがアクセスしたWebサイトが、存在しない場合に、表示されるページ)の作成などの設定を行います。
間違った記述をすると正常にアクセスできなくなる場合があります。
ここでは、ロリポップFTPを利用して、サーバー内の.htaccessを編集する方法を紹介します。
合わせて読みたい記事
ロリポップFTPって何?という方はこちらも合わせてご覧ください。
レンタルサーバー ロリポップ!FTPの使い方
サーバー管理>ロリポップ!FTPを選択します。
ロリポップFTPの画面が開きます。対象のドメイン用フォルダをクリックします。(ご利用の環境によってはドメイン用フォルダがない場合もあります。)
WordPressインストールフォルダが表示されます。中にある「.htaccess」をクリックします
.htaccessの編集画面が表示されます。
誤った入力をすると、「.htaccess」ファイルが機能せず、最悪の場合、Webサイトが表示されない可能性もありますので、コードを変更したり、書き加える前に必ずバックアップを取っておきましょう。
.htaccessに書き加えるコードは、以下のとおりです。コピーしてください。
1 2 3 4 5 |
<ifmodule mod_rewrite.c> RewriteEngine On RewriteCond %{HTTPS} off RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L] </ifmodule> |
上記のコードをコピー後に.htaccessの編集画面の一番上に追記後、保存します。最初から記述されている文字列を誤って消さないように注意してください。
- 「< IfModule mod_rewrite.c > *** 」の部分は、「***を処理する機能を定義する」という内容が書かれています。
- 「mod_rewrite」とは、「条件を満たした場合に記載したURLに転送する機能」の意味です。
- 「RewriteEngine」とは、「有効(ON)・無効(OFF)の設定」で、「有効(ON)」にします。
- 「RewriteCond」とは、「条件を設定する」という意味です。
- 「 %{HTTPS} off 」とは「https でない場合(SSLではない場合)」という意味です。
- 「RewriteRule 」とは、「ルールを設定する」という意味です。
- [ R = 301 , L ]の「R = 301」は「永続的に転送する」という意味であり、「L」は「ルールを終了する」という意味です。
以上のコードで「http」でアクセスがあった場合、「https」へ転送しますというルールを設定しています。
最後に「http://自分のドメイン名」でアクセスしてみましょう。httpsにリダイレクトされて入れば完了です。
その他設定(稼働中のサイトの場合必要になる場合があります)
すでに稼働中のWebサイトをSSL化した場合は、必要に応じて以下のような設定が必要になる場合もあります。
全ての人に必要ありませんが、該当する方は調整しておきましょう。
- WordPressの場合)画像パスURLの置換
- Google Analyticsに登録したサイト「http」を「https」に変更する
- Google Search Consoleに登録したサイト「http」を「https」で登録する
など
画像パス(URL)の書き換え
これまでの操作でSSL化を実施しましたが、Webページの中にhttpから始まる画像のパスがあると、下記のように完全ではないと表示されます。
おおよそのケースが、httpで始まる画像のパスがあることが原因なので検証ツールなどを利用して、画像のパスを確認してhttpsに修正しましょう。
WordPress上の文字列・URLを置換する方法はいくつかありますが、「Database Search and Replace Script in PHP」と言うツールを使って、画像URLを一括置換する方法を「【WordPress文字列一括置換】画像URLをhttpsに変更する方法」の記事に説明していますので合わせてご参考ください。
Google Analyticsの設定
SSL化する以前に、Google Analyicsをすでに設定している場合は、Google Analyticsでhttp→httpsに変更してあげましょう。
Google Search Consoleの設定
SSL化する以前に、Google SearchConsoleをすでに登録している場合は、Google SearchConsoleで「https://対象のドメイン」で新たに登録しておきましょう。
また、「https://ドメイン名」のプロパティに対してサイトマップも忘れずに登録しておきましょう。
(補足)SSL化(HTTPS)とは通信を暗号化する仕組み
SSL化とは
SSLとはSecure Sockets Layerの略で、インターネット上でデータを暗号化して送受信する仕組みを指します。
SSL化されていない場合
SSL化していない場合はインターネット通信は「http」通信で行われますが、通信データは平文(暗号化なしのテキストそのままの状態)で送信されています。悪意ある第三者が情報を盗聴したり書き換えたりすることができる危険な状態です。
SSL化されていない通信の場合は、アドレスの前に以下のマークと「保護されていない通信」と表示されます。
SSL化している場合
通信をSSL化(HTTPS)をすることで、通信データを保護し、クレジットカードのような他人に知られると悪用される重要な情報を守ります。
クリックすると下記のように警告表示され、利用者に不安を与えてしまう恐れもあります。
Webブラウザ上でも、WebサイトをSSL化すると、端末間の通信が暗号化されてHTTPS通信になりアドレスバーに鍵マークが表示されて安心感があります。
閲覧専用のブログやホームページでもSSL化は推奨です
個人のブログなど、訪問者が重要な情報を入力するような場面がないWebサイトはSSL化の必要がないように思われるかもしれません。
それでもSSL化はほぼスタンダードの技術になってきており、GoogleもSSLを推奨しています。ホームページ・ブログを始めたばかりの方も、最初からSSL化しておくことをお勧めします。
サイトのコンテンツを問わず、ユーザーによるウェブサイトへの接続を保護するために、HTTPS を導入することをおすすめします。
HTTPSでサイトを保護する | Google SearchConsoleヘルプ
SSLの機能について
ここでは詳しい原理や解説は割愛しますが、SSLの機能は暗号化だけではなく、下記のような3つの特徴があります。
- 暗号化(盗み見を防止する)
- データの改ざん防止
- (2者間での)なりすまし防止
ロリポップ!が提供する無料の独自SSLは、ISRG(Internet Security Group)提供のLet's Encryptを使用しています。
この無料SSLの他にも、より信頼性の高い「企業認証SSL」「EV SSL」といった方式のSSLもあります。
「企業認証SSL」「EV SSL」は、企業・団体を対象としており、登記書類や電話などによる実在しているかどうかの審査があります。実際に実在している会社か証明しなければ、利用できませんのでなりすましなどを防ぐことができます。
なお、SSLについて詳細な説明を「【SSLとは】SSLの意味と必要性および仕組みや種類を解説」で記載していますので、SSLについて詳しく知りたい方は合わせてご参照ください。
まとめ
まとめです。今回はレンタルサーバーロリポップで運用中のWordPressで常時SSLを設定する方法をご説明しました。
ロリポップの独自SSL化の流れは下記の通りです。
- 「ロリポップ」サーバー管理画面でSSLの設定を行う
- 「WordPress」でSSLの設定を行う
- 「.htaccess」で常時SSLの設定を行う(※注)
- その他必要に応じてSSL化によって生じる調整作業を行う
(※注)単純にSSL化のみ実施した場合は、httpでもhttpsでもどちらでもアクセスできる状態で、ある意味不完全な状態です。そこで「http」でリクエストされたアクセスを「https」化した通信へ転送した設定(どんなアクセスでもhttps(SSL)で通信を強制することを常時SSLといいます。
これからブログやサイトを作られる方は最初からSSL化しておくことをおすすめしますし、すでにWebサイト運用設置済みの方もSSL化を検討しましょう。
なお、今回はWorrdPressのSSL化について詳しく解説しましたが、そのほかのWordPressの基本的な使い方については「【総まとめ版】WordPress(ワードプレス)の使い方」をあわせてご参照ください。
今回は以上になります。最後までご覧いただきありがとうございました。
合わせて読みたい記事
ロリポップを使ったWordPressでホームページを作成する方法を「【総まとめ】WordPress(ワードプレス)ホームページ作り方」で詳しく説明していますのでこれからWordPressでホームページを作成する方は合わせてご参考ください。
個別指導形式のスクールでは、自分の知りたいことをピンポイントで学習・達成でき、自分で更新もできるというメリットもあります。
教室の無料事前相談もしておりますので、まずはお気軽にご登録ください。
YouTubeチャンネル開設しました!
最大月間50万PVの当ブログをベースに、Youtube動画配信にてWordPress、ホームページ作成、ブログのことについてお役立ち情報を随時配信していきます。
ご興味ある方はぜひチャンネル登録をしていただけますと幸いです。