WordPressのSSL化と常時SSLの設定手順

01はじめに｜この記事でわかること

要点：この記事では、WordPressの常時SSL化を作業の順番に沿って整理します。準備、証明書の発行、URLの変更、リダイレクト、混在コンテンツの修正、公開後の確認までを一本の流れで説明します。WordPressでのサイト構築と保守で実際に対応してきた手順です。

「SSL化はもう済んでいますよね」と聞かれて、すぐに答えられない。そんなご担当者の方は珍しくありません。トップページには鍵マークが出ているのに、下層のあるページだけ「保護されていない通信」と表示される。よくある状態です。

国内の上場企業サイトのうち、常時SSL化に対応しているのは94.2%（フィードテイラー調べ、2026年3月時点）でした。裏を返すと、対応が中途半端なまま残っているサイトは、それだけで目立ちます。

お伝えするのは、2000年創業のWeb制作会社ZenWeb Japanが、既存サイトの常時SSL化で積み上げてきた記録です。証明書の種類や費用はSSL証明書の種類と費用の違いで整理しています。

まずは設定画面の動きを、動画で確認しておきましょう

02常時SSLとは｜ページ単位のSSLとの違い

要点：常時SSLとは、サイトの全ページをhttpsで配信する状態のことです。以前は問い合わせフォームや決済ページだけを暗号化する作りもありましたが、いまはトップから下層まで、画像も含めてすべてhttpsに揃えるのが前提になっています。

この2つの違いは、対象範囲だけです。

• ページ単位のSSL。フォームや決済など、個人情報を送る画面だけをhttpsにする作りです。
• 常時SSL（AOSSL）。トップページも会社概要も画像も、すべてhttpsで配信します。いまはこちらが標準です。

全部に広げる理由は2つあります。1つはブラウザの表示です。Chromeはhttpのページで警告を出します（Google Chrome ヘルプ）。フォームだけ暗号化しても、そこへ来るまでのページで警告が出れば、訪問者は不安になります。

もう1つは検索です。Googleは2014年にHTTPSをランキングシグナルとして使うと発表しました。ただし当時の説明でも、影響は「クエリの1%未満」とされています。順位のためというより、信頼の土台と考えるほうが実態に合います。

httpのまま残っているのは、更新が止まったサイトです。放置したWordPressで何が起きるかもあわせてご覧ください。

03SSL化の前にやっておく3つの準備

要点：作業前にやることは3つです。バックアップを取る、テーマとプラグインを最新にする、httpで書かれた箇所を洗い出す。この3つを飛ばすと、途中で戻せない状態になったときに手が止まります。

1. バックアップを取る。データベースとファイルの両方です。URLの置き換えはデータベースを直接書き換える作業なので、失敗したときに戻せる状態を先に作ります。やり方はWordPressのバックアップ方法にまとめています。
2. テーマとプラグインを最新にする。古いテーマは画像のURLをhttpで固定して出力することがあります。先に更新すると、直す箇所が減ります。使っていないものは、この機会に外してください（プラグインの選び方）。
3. httpで書かれた箇所を洗い出す。記事本文、カスタムフィールド、テーマの設定画面、外部サービスの埋め込みコード。この4か所を先に見ておくと、公開後の手直しが減ります。

3つ目は面倒に見えますが、実際は30分ほどです。飛ばすと、公開後に一つずつ探すことになります。

04常時SSL化の手順｜6つのステップ

要点：WordPressの常時SSL化は6段階で進みます。バックアップ、証明書の発行、URLの変更、データベースの置換、リダイレクト、表示の確認です。順番を入れ替えると、管理画面に入れなくなります。

実際の作業の流れです。30ページほどのサイトなら、半日あれば終わります。

1. バックアップを取る。データベースとファイルの両方を保存し、復元の手順も確認しておきます。
2. サーバーで証明書を発行する。主要なレンタルサーバーなら、管理画面から無料の独自SSLを数クリックで発行できます。反映は数分から1時間ほどです。
3. WordPressアドレスとサイトアドレスを変える。「設定」→「一般」で、2つのURLをhttpsに書き換えます。打ち間違えると管理画面に入れなくなるため、保存前に必ず読み返してください。
4. データベースの中のhttpを置き換える。記事本文や設定値に残ったURLを、専用のプラグインでまとめて書き換えます。シリアライズされたデータを壊さない方法を選んでください。
5. httpからhttpsへリダイレクトする。サーバーの設定画面か.htaccessで、古いURLへのアクセスを新しいURLへ転送します。
6. 表示を確認する。下層ページ、フォーム、スマートフォン表示まで見ます。鍵マークが全ページで出ていれば完了です。

詰まるとすれば、4番のデータベース置換とそのあとの確認です。

05サーバー別に見た、SSL設定の手間の違い

要点：作業時間を決めるのは、サイトの規模より環境です。主要なレンタルサーバーなら証明書は数分で発行できますが、自社で管理しているサーバーだと1日以上かかることもあります。まず自分の環境がどれかを確認してください。

差が出るのは証明書の用意の部分です。レンタルサーバーなら、多くの場合は管理画面の「無料独自SSL」を有効にするだけで終わります。自分の環境がどれに当たるかは、共用・VPS・専用サーバーの違いで確認できます。

要注意なのは、社内で立てたサーバーや古い専用サーバーです。中間証明書を入れ忘れると、パソコンでは鍵マークが出るのにスマートフォンでは警告が出ます。片方だけ見て終わらせないでください。

06httpからhttpsへリダイレクトを設定する

要点：リダイレクトは、古いhttpのURLへ来た人を新しいhttpsのURLへ送る設定です。301という種類を使います。これを入れないと、検索結果やブックマークから来た人が古いページを見続けることになります。

やり方は3つあります。上から順に試してください。

• サーバーの管理画面で設定する。主要なレンタルサーバーには「常時SSL化」の項目があります。いちばん安全で速い方法です。
• .htaccessに書く。管理画面に項目がない場合はこちらです。書き換える前に、元のファイルを保存してください。
• プラグインに任せる。サーバーを触れない場合の選択肢です。止めるとリダイレクトも止まります。

ここでいちばん多い失敗が、リダイレクトのループです。サーバー側とプラグインの両方で転送を設定してしまい、同じURLへ延々と転送が繰り返されます。画面には「リダイレクトが繰り返し行われました」と出ます。

対処は、どちらか一方を止めるだけです。設定を二重にしない。それでも開かない場合は、サイトが表示されないときの切り分け方を順に試してください。

07鍵マークが出ない原因｜混在コンテンツの直し方

要点：httpsのページの中に、httpで読み込まれている画像やファイルが混じっている状態を混在コンテンツと呼びます。1つでも残っていると鍵マークは出ません。ブラウザの検証ツールを開けば、どのファイルが原因かはすぐにわかります。

残りやすいのは、この4か所です。

• 記事本文に直接書いた画像やリンク。古い記事ほど残っています。数が多ければ一括置換で処理します。
• テーマの設定画面に入力したURL。ロゴやファビコンの指定が、httpのまま保存されていることがあります。
• 外部サービスの埋め込みコード。古い地図や動画のコードはhttpのことがあります。貼り直せば直ります。
• テーマやプラグインが読み込む外部ファイル。ここは自分で直せません。更新するか、別のものに替えるかの判断です。

探し方はシンプルです。ブラウザでページを開き、検証ツールのコンソールを見ます。「Mixed Content」と書かれた行に、原因のファイル名がそのまま出ています。

直したあとに表示が重く感じることもあります。画像を読み込み直してキャッシュが外れるためで、多くは数日で落ち着きます。気になるときはWordPressの表示が遅い原因と高速化の方法もご覧ください。

08SSL化の直後に起きた不具合と復旧までの時間

要点：常時SSL化の直後に起きる不具合は、4割が混在コンテンツです。ほとんどは数時間で直ります。ただし外部サービスとの連携が切れた場合だけは、相手先の設定変更が必要になるため半日以上かかります。

見ていただきたいのは、割合より復旧時間です。上位4つは自分たちの手で直せます。時間がかかるのは外部サービスとの連携です。

決済やメール配信のサービスは、登録されたURLがhttpのままだと通信が止まります。相手先で設定を変え、反映を待つことになります。連携しているサービスは、SSL化の前に一覧にしておいてください。

管理画面に入れなくなったときは、管理画面に入れない時の対処法をご覧ください。何度もログインを試すより、原因を切り分けるほうが早く戻せます。

09プラグインに任せる範囲と、手で直す範囲

要点：SSL化のプラグインは、表示を整える役には立ちます。ただしデータベースの中身までは書き換えません。プラグインを止めた瞬間に元の状態へ戻る、という点だけは知っておいてください。

よく使われるのがReally Simple SSL（現在はReally Simple Security）です。有効化するとリダイレクトが入り、httpの読み込みも表示上は書き換わります。

便利なのですが、落とし穴もあります。プラグインがやっているのは、表示する瞬間の置き換えです。保存されているデータはhttpのまま残ります。プラグインを外したり、サイトを引っ越したりしたときに、隠れていた問題が一度に出てきます。

• プラグインに任せてよい部分。リダイレクトと、修正が終わるまでの一時的な表示の調整です。
• 手で直すべき部分。データベースの中のURL、テーマの設定値、外部サービスへ登録したURLの3つです。

おすすめは、プラグインで表示を整えて時間を稼ぎ、その間に中身を直す進め方です。最後にプラグインを外して、それでも鍵マークが出るかを確認します。入れたままにするなら、WordPressのセキュリティ対策の点からも、更新が続いているものを選んでください。

10SSL化のあと、検索とアクセスはどう動いたか

要点：常時SSL化のあと、検索からの流入は一時的に下がり、1か月ほどで元に戻ります。これはURLが変わったことでインデックスが入れ替わるためです。下がった時点で慌てて設定を戻すと、かえって長引きます。

下がるのは最初の2週間ほどです。この時期のご相談で多いのは、Search Consoleにhttpsのプロパティを登録しておらず、数字が見えていないだけ、というケースでした。URLが変わる点ではリニューアルと同じなので、移行で順位を落とさないチェックリストも役に立ちます。

6か月後に少し伸びているのも、SSL化のおかげとは言い切れません。移行を機に古いページを整理した効果が混ざっています。数字は上がる前提ではなく、戻る前提で見てください。

11公開後に見ておきたい確認項目

要点：SSL化は、鍵マークが出た時点では終わりません。Search Consoleの再登録、サイトマップの送信、外部に載せたURLの差し替え、証明書の期限管理まで含めて一区切りです。抜けやすいのは最後の2つです。

公開後に確認する項目です。

• 全ページの鍵マーク。下層ページとフォーム、スマートフォン表示まで見ます。どのページを見るかは、制作時のワイヤーフレームやサイト構成図があると漏れません。
• Search Consoleの登録。httpとhttpsは別のサイトとして扱われます。httpsのプロパティを追加してください。
• サイトマップの再送信。httpsのURLで作り直したものを送ります。
• アクセス解析の設定。登録URLがhttpのままだと、計測が止まる場合があります。
• 外部に載せたURL。名刺、パンフレット、Googleビジネスプロフィール、SNS。リダイレクトで飛びますが、順に直しましょう。
• 証明書の有効期限。自動更新になっているかを確認し、なっていなければカレンダーに入れます。

最後の期限管理が、いちばん忘れられます。無料の証明書は自動更新が前提ですが、サーバーの設定変更で止まることがあります。年に一度は確認してください。

12年別に見た、SSLのご相談内容の変化

要点：SSL関連のご相談は、この5年で内容が変わりました。「未対応のサイトをSSL化したい」から、「対応済みのはずなのに警告が出る」へ。いまは新規の対応より、抜けの発見と期限の管理が中心です。

2026年に増えたのは、本体は対応済みなのにサブドメインや採用ページだけ抜けている、という相談です。別のサーバーに置いたページは、証明書も別に必要です。

言語別にページを分けている場合も同じです。WordPressの多言語化でURLを分けているなら、言語ごとのURLもhttpsで開けるかを確認してください。

13まとめ｜WordPressのSSL化で押さえる順番

要点：WordPressのSSL化で決めるのは、作業の順番と、どこまで自分で直すかの線引きです。バックアップから始めて、混在コンテンツの修正で終わる。この流れさえ守れば、大きな事故は起きません。

この記事で見てきたことを、もう一度整理します。

• 順番が9割。証明書が反映されてからURLを変えます。
• 原因は中身にある。混在コンテンツを検証ツールで特定し、順に潰します。
• リダイレクトは1か所だけ。二重に設定するとループします。
• プラグインは応急処置。最後に外して、鍵マークが出るかを確認します。
• 終わりは期限管理。自動更新が効いているかを、年に一度は見てください。

常時SSL化は、いまや特別な作業ではありません。ただ、長く運用してきたサイトほど、過去に書いたhttpが積み重なっています。作業そのものより、その掃除に時間がかかるとお考えください。

14よくある質問

要点：WordPressのSSL化について、企業サイトのご担当者からよくいただく質問をまとめました。費用、無料SSLで足りるか、作業中の停止、検索順位への影響、一部のページだけ鍵マークが出ない場合の5つです。

1. WordPressのSSL化にはいくらかかりますか？

レンタルサーバーの無料独自SSLなら、証明書の費用はかかりません。制作会社に依頼する場合は、30ページ程度までで5万〜15万円が目安です。混在コンテンツが大量に残っているサイトや、外部サービスとの連携が多いサイトは、これより上がります。

2. 無料SSLで足りますか？

企業サイトやブログなら足ります。暗号化の強さは有料の証明書と変わりません。有料を検討するのは、決済を自社サイト内で完結させる場合と、金融や医療のように運営者の実在確認まで見せたい場合です。判断の材料はSSL証明書の種類と費用の違いにまとめています。

3. 作業中にサイトは止まりますか？

基本的には止まりません。証明書が反映されるまでの数分間、表示が不安定になることはあります。ただしURLの変更やデータベースの置換で失敗すると、その間は開けなくなります。アクセスの少ない時間帯に作業し、バックアップを用意しておいてください。

4. SSL化すると検索順位は上がりますか？

大きくは上がりません。GoogleはHTTPSをランキングシグナルとしていますが、発表時の説明でも影響は「クエリの1%未満」でした。むしろ移行の直後は、インデックスの入れ替わりで一時的に下がります。1か月ほどで戻るので、その間は設定を戻さずに待ってください。

5. 一部のページだけ鍵マークが出ません。原因は何ですか？

そのページに、httpで読み込まれているファイルが残っています。ブラウザの検証ツールでコンソールを開き、「Mixed Content」の行を探してください。ファイル名がそのまま出ています。多いのは、過去の記事に貼った画像と、古い埋め込みコードの2つです。