直近の調査によると日本国内のWebブラウザシェア（PC）で多数を示すのはGoogle Chromeだ。アクセス解析サービス「StatCounter」を使った日本国内の主要なWebブラウザシェアを見るとChromeが半数近い。

日本国内のWebブラウザシェア（2018年10月～2019年1月、StatCounterによる）

ここで、Chrome利用者が常時SSL非対応のWebサイトにアクセスした場合、否応なく「保護されていない通信」と表示されようになる。

SSL対応サイトのWebブラウザ表示

SSL未対応サイトのWebブラウザ表示

　英語ではこれがもっと直接的な表現だ。「Not Secure」、すなわち「安全ではない」と表示される。もし初めて訪れたWebサイトが「安全ではない」と警告されたとしたらどうだろうか。見込み客が「ググる」行動を起こしたとき、貴社Webサイトが警告対象だったとしたら、おそらく商機を1つ逃すことになるだろう。

　また、Web検索エンジンGoolgeは、常時SSL非対応のWebサイトを、行儀が悪く、セキュアではないWebサイトであると判定する方針だ。検索者に対して「比較的お勧めしたくないWebサイト」として検索順位を下げる措置を講じることを明言している。

　検索結果からたどりにくいWebページはインターネットに存在したとしてもたどり着くことができないコンテンツになってしまう。Googleはどのくらい優先度を下げるかを明かしていないものの、「影響は軽微だから無視していい」と断言できないところが問題だ。

　さらに、HTTPSに対応しないことで、今後のWebサイト運営でも支障が出ることが懸念されている。HTTP通信は、これまでよりも高速なHTTP/2という新しいプロトコルへの移行がはじまっている。HTTP/2は、HTTPに存在していた「レスポンスの悪さ」を解消したプロトコルでレスポンスが数倍から数十倍に高速化することができる。このHTTP/2を利用するためにはHTTPSが必須になっている。

　このように、現状のWebサイト運営においても、将来的なWebサイト運営においてもHTTPSへの対応は不可避ということだ。

なぜそこまでして常時SSLが必要なのか、仕組みと理由をさぐる

　そもそも常時SSLとはどんな仕組みなのか。冒頭で「インターネットへのWebアクセスの安全性を高めようという取り組み」と説明したが、もう少しだけ踏み込んで説明すると、次のような言い方ができる。

　「常時SSLとは、Webサイト全体をHTTPSで保護することで、Webサイト上での盗聴、なりすまし、改ざんを防ぐ仕組みである」

　従来のSSLは、Webサイトへの会員登録などのために、個人の指名や電話番号、住所などを入力するフォームが設置されたページだけに導入されることが多かった。個人情報を入力する際に、サイトが「なりすまし」や「改ざん」の被害に遭っておらず、入力した情報が盗聴されていないことを保証していたわけだ。

　だが最近の脅威は入力フォームだけでなく、Webサイトのあらゆる穴を突いてくる。例えば、本物そっくりのWebサイトに誘導して、本人が気付かないうちにマルウェアをダウンロードさせたりする。Webサイトが改ざんされていたとしても、本物そっくりのURLが使われているのでそれに気付かない。

　偽サイトで再ログインを促し、IDとパスワードを盗む手口も横行している。自社サイトが偽サイトへの踏み台にされ、途中で情報が盗まれる場合もある。こうした攻撃は「中間者攻撃（Man In the Middle Attack）」と呼ばれる。通信をHTTPSで暗号化していない場合は途中の経路も情報を取得できてしまうため、中間者攻撃を引き起こしやすくなるのだ。

中間者攻撃のイメージ（日本レジストリサービスの資料を基に編集部で制作）

　訪れたサイトが「改ざんされておらず」「悪意のある人がなりすましたものでなく」「盗聴もされていない」ことをサイト全体で示すことはインターネット全体のユーザーが安全に利用するために極めて重要な要素だ。「個人情報を入力してもらうフォームを設置していないから関係ない」だけでは話が済まない。

　自社のWebサイトが安全であり、安全に利用できることを示すことは、企業そのものの信頼を確保するためにも必要不可欠であることが分かるだろう。