Chrome のアドレスバーに「保護されていない通信」と出るのは、そのページがサイトとのあいだで暗号化された接続（HTTPS）を使っていないときです。表示を消すのは閲覧する側ではなく、サイトを持つ側の設定です。WordPress のサイトなら、確かめるのは次の4つです。
- サーバーに証明書（https で通信するための電子的な身分証）が入っていて、https:// で開けるか
- http:// で開いたとき、https:// へ恒久的な転送（301）で送られるか
- https のページの中に、http で読み込む画像やスクリプトが残っていないか（混在コンテンツ）
- 「設定」→「一般」の「WordPress アドレス (URL)」と「サイトアドレス (URL)」が https で始まっているか
作業は、バックアップを取ってから、証明書、WordPress の2つのアドレス、ページの中の http の URL、http から https への転送、Search Console の順に進めます。この記事の内容は、Chrome のヘルプ、Google 検索セントラル、Search Console のヘルプ、WordPress.org の資料で、2026年10月時点で確かめたものです。証明書を入れる手順はサーバー会社ごとに違うので、ここでは一般的な流れにとどめます。
この記事は、表示を消すための確かめ方と順番に絞っています。WordPress の安全対策の全体はWordPressのセキュリティ対策に、転送の書き方はWordPressでリダイレクトを設定する方法に、作業前の控えの取り方はWordPressのバックアップ方法に、サーバーを移すときの証明書の扱いはWordPressの引っ越しに分けて書いています。
「保護されていない通信」はなぜ出るのか
Chrome のヘルプ「サイトの接続が安全かどうかを確認する」では、アドレスバーの表示を三つに分けて説明しています。
| ヘルプでの表示名 | ヘルプの説明の要点 |
|---|---|
| デフォルト（保護されている） | Chrome がサイトと安全なプライベート接続を確立している |
| 情報、または保護されていない通信 | サイトがプライベート接続を使っていない。送受信する情報を第三者に見られたり、書き換えられたりするおそれがある。解決にはサイトの所有者が HTTPS を導入する必要がある |
| 保護されていない通信、または危険 | 個人情報や機密情報を入力しないよう案内される。ページ全体に赤い警告画面が出る場合は、セーフ ブラウジングで安全でないサイトと判定されている |
会社のサイトで困るのは、問い合わせフォームのあるページにこの表示が出る場合です。名前や電話番号を入れる手前で「保護されていない」と出れば、入力をやめる人がいても不思議ではありません。検索順位の話より先に、問い合わせの入口の話だと考えた方が実情に合います。
「SSL化はしたはずなのに出る」という場合、多くは次のどれかに当たります。
| 見え方 | 考えられる原因 | 確かめる場所 |
|---|---|---|
| http:// で始まるURLで開いたときだけ出る | http から https への転送がない | アドレスバーにhttp:// から入力して開く |
| https で開いているのに、特定のページだけ出る | そのページに http で読み込む画像や埋め込みがある（混在コンテンツ） | そのページのソース、開発者ツールのコンソール |
| www ありか www なしの片方だけ警告になる | 証明書がもう一方のホスト名に対応していない | 両方のURLを https で開く、サーバーの管理画面 |
| ある日から全ページで警告になった | 証明書の期限切れや更新の失敗 | サーバーの管理画面、Search Console の HTTPS レポート |
自社サイトで確かめる順番
上から順に見ていくと、どこで止まっているかが分かります。1が済んでいなければ、2から4を直しても表示は消えません。
1. 証明書が入っていて、https:// で開けるか
アドレスバーに「https://自社のドメイン/」と自分で打って開きます。警告なしにページが出れば、証明書は入っています。警告が出る、または開けない場合は、証明書がない、期限が切れている、そのホスト名に対応していない、のどれかです。
見落としやすいのが、www ありと www なしです。HTTPS の有効化を解説した web.dev（Google が出している開発者向けの解説）では、ホスト名やサブドメインごとに、それぞれ適切な証明書が要るとされています。https://example.co.jp/ と https://www.example.co.jp/ の両方を開いて確かめてください。
証明書は、レンタルサーバーの管理画面から無料のものを申し込める場合が多くあります。画面の名前や手順、期限の自動更新の有無はサーバー会社によって違うので、契約しているサーバー会社のマニュアルで「SSL」の項を探してください。
2. http:// で開くと https:// へ転送されるか
今度は「http://自社のドメイン/」と打って開き、アドレスが https に変わるかを見ます。変わらなければ、https のページは用意できていても、古いリンクやブックマークから来た人は http のまま見ていて、そこで「保護されていない通信」が出ます。
Google 検索セントラルのサイト移転の説明では、http から https への変更もURLの変更を伴う移転の一つとされ、技術的に可能ならサーバー側の恒久的な転送（301 や 308）を使うよう書かれています。転送の種類と段数の確かめ方はWordPressでリダイレクトを設定する方法の「設定したあとに確かめること」と同じ手順です。
3. ページの中に http の画像やスクリプトが残っていないか
ページそのものは https で届いても、その中の画像、動画、スタイルシート（見た目を決めるファイル）、スクリプト（動きを付けるプログラム）が http で読み込まれていると、混在コンテンツ（混合コンテンツとも書きます）になります。web.dev の説明では、画像・動画・音声のような種類は、Chrome では https に自動で切り替えて読み込まれることがあり、https 版がなければ読み込まれません。スクリプトやスタイルシート、iframe（ページの中に別のページを埋め込む枠）は、ほとんどのブラウザで初めから読み込みが止められます。つまり、https にしたとたんに画像が出なくなったり、地図や予約の枠が空白になったりするのは、多くがこれです。
探し方は二つあります。一つは、そのページで右クリックから「ページのソースを表示」を開き、Ctrl+F（Mac は command+F）で「http://」を検索する方法です。もう一つは、F12 キーで開発者ツールを開き、「コンソール」に出る警告を見る方法です。web.dev の説明では、Chrome は混在コンテンツをコンソールのエラーや警告として知らせます。
WordPress のサイトで http の URL が残りやすいのは、次のような場所です。
- https にする前に書いた投稿や固定ページの本文に入っている、画像の URL
- ウィジェットや「カスタム HTML」のブロックに貼った、バナーや埋め込みのコード
- テーマの設定画面で指定したロゴや背景画像、「追加 CSS」の中の画像の URL
- 何年も前に貼った外部の埋め込み（地図、動画、アクセスカウンター、古い予約システムなど）
なお、ほかのサイトへのリンク（押すと移動するもの）は、ページに読み込むものではないので混在コンテンツには当たりません。ただし、自社のページどうしのリンクは https の URL に直しておきます。Google のサイト移転の説明でも、内部リンクを新しい URL に変えるよう書かれています。
4. WordPress の2つのアドレスが https になっているか
管理画面の「設定」→「一般」にある「WordPress アドレス (URL)」と「サイトアドレス (URL)」を見ます。WordPress.org の資料では、前者は WordPress の本体が置かれている場所、後者は訪問者がサイトに来るときのアドレスで、https に移るときは両方を https:// で始まる形にし、末尾に「/」を付けないとされています。
この2つが http のままだと、WordPress が作るリンクや画像の URL が http で出力され、転送があっても毎回 http を経由することになります。欄が灰色で変えられない場合は、wp-config.php（WordPress の設定ファイル）に WP_HOME と WP_SITEURL が書かれています。WordPress.org の資料では、この指定があるあいだは「一般」の画面では変更できないとされているので、ファイルの側を直します。
ここは打ち間違えると、サイトや管理画面が開かなくなることがある場所です。WordPress.org の資料にも、誤った値にすると直す手段が見つけにくくなると書かれています。次の章の順番で、控えを取ってから変えてください。
http から https に変える作業の順番
まだ https にしていないサイトを切り替える場合と、途中で止まっているサイトを仕上げる場合のどちらも、次の順番で進めます。
- ファイルとデータベースの両方のバックアップを取り、サーバーの外にも置く。WordPress.org の資料では、データベースの変更は元に戻せないので先に控えを取ること、.htaccess（Apache 系サーバーの設定ファイル）を触る前の控えは推奨ではなく前提だと書かれています。取り方はWordPressのバックアップ方法にあります。
- サーバーの管理画面で証明書を入れ、www あり・なしの両方が https:// で警告なく開けることを確かめる。この時点では、まだ http でも開ける状態のままにしておきます。
- 「設定」→「一般」の2つのアドレスを https:// にして保存し、https のアドレスで管理画面に入れることと、トップページが開くことを確かめる。
- 本文やウィジェット、テーマの設定に残る http の自社 URL を https に直す。
- サーバー側で http から https への 301 転送を入れる。サーバーの管理画面に用意された設定があればそれを使い、.htaccess に書く場合はサーバー会社のマニュアルの書き方に合わせます。
- SEO 用のプラグインなどで正規 URL（canonical）やサイトマップを出している場合は、その設定に http の URL が残っていないかを見る。
- Search Console で https のサイトのデータが見られるようにし、サイトマップを送り直す（後の章）。
この順番にする理由は、手前の作業が済んでいないと、後ろの作業で訪問者か自分が締め出されるからです。証明書より先に転送を入れると、全員が警告の出る https に送られます。証明書より先に2つのアドレスを変えると、管理画面に入れなくなることがあります。当社は、転送を最後に回し、それまでは http でも https でも開ける状態で確かめを済ませる進め方をとっています。
本文に残る http の URL の直し方
WordPress 5.7（2021年）で入った仕組みでは、「ツール」→「サイトヘルス」に HTTPS についての項目があり、サーバーが https に対応していれば、2つのアドレスをまとめて https に切り替えるボタンが表示されます。WordPress の開発者向けの告知によると、切り替えたあとに https として認識できなければ元に戻し、すでに記事のあるサイトでは、本文などに残る自社の http の URL を表示するときに https に置き換えます。データベースの中身は書き換えません。2つのアドレスのドメインが違う構成や、wp-config.php で WP_HOME などを指定しているサイトでは、この自動の切り替えは使えません。
告知で置き換えの対象に挙がっているのは本文、抜粋、ウィジェットのテキスト、追加 CSS で、テーマの設定やプラグインが別に保存している値は挙がっていません。そうした場所も含めてデータベースの中の URL を直したいときは、置換用のプラグイン（Better Search Replace など）や WP-CLI（コマンドで WordPress を操作する道具）の search-replace を使います。WordPress.org の資料では、データベースを単純に文字列置換すると、文字数を一緒に記録しているテーマやウィジェットのデータが壊れることがあるため、こうした道具を使うよう書かれています。もう一つ、投稿の GUID（記事を見分けるための識別子）の欄は、どんな場合も変えないよう明記されています。置換の道具で表を選ぶときは、この欄を対象から外してください。
Search Console での扱い
Google から見ると、http から https への変更は、URL の変更を伴うサイトの移転です。検索セントラルの説明と Search Console のヘルプから、自社でやることを並べると次のとおりです。
- アドレス変更ツールは使わない。検索セントラルの説明では、http から https への移転、www の有無の切り替えには必要ないとされています（ドメインそのものを変えるときに使うツールです）。
- 見ているプロパティ（Search Console に登録したサイトの単位）を確かめる。ヘルプによると、URL プレフィックス プロパティは指定した文字列で始まる URL だけを含むので、http:// で登録したプロパティには https のページのデータは入りません。ドメイン プロパティなら http と https、www の有無をまとめて含みます。http のプロパティしかない場合は、https のプロパティかドメイン プロパティを追加します。登録の手順はサーチコンソールの設定方法にあります。
- https の URL で書かれたサイトマップを送り直す。検索セントラルの説明では、サイトマップがすべて新しい URL で更新されているかを確かめるよう書かれています。
- 転送はできるだけ長く残す。検索セントラルの説明では、一般的には1年以上、無期限に残すことも検討するよう書かれています。http から https への転送は、外す理由がなければ残したままで構いません。
切り替えたあとは、Search Console の「HTTPS」のレポートを見ます。ヘルプによると、このレポートは登録済みの URL のうち http と https がそれぞれ何件あるかを示し、https 版が登録されない理由として「HTTPS の証明書が無効である」「HTTPS にリダイレクトが設定されている」（https から http へ戻す転送がある）「サイトマップが HTTP を参照している」などを挙げます。使えるのはドメイン プロパティと https の URL プレフィックス プロパティだけで、表示されるのは全件ではなく見本だとされています。
順位への影響について、検索セントラルの説明では、移転のあいだは掲載順位が一時的に変動することがあり、通常は時間とともに落ち着くとされています。中規模のサイトで、新しい URL が出そろうまで数週間以上かかることがあるとも書かれています。一方、ページ エクスペリエンスの説明では、安全な方法で配信されているかは自己評価の項目の一つですが、Core Web Vitals（表示の速さなどの指標）以外の要素が順位の上昇に直接つながることはないとされています。当社は、https にする理由は順位よりも、訪問者が安心してフォームに入力できることにあると考えています。
よくあるつまずきと直し方
| 起きていること | よくある原因 | 直し方 |
|---|---|---|
| https にしたら一部の画像が出ない | http で読み込んでいて、https 版がない | 画像を自社のサイトにアップロードし直して差し替える。外部の画像なら https の提供元に替えるか外す |
| 地図や予約の枠が空白になった | http の iframe やスクリプトが止められている | 提供元で https の埋め込みコードを取り直して貼り替える |
| 2つのアドレスを変えたら管理画面に入れない | 打ち間違い、証明書がまだ入っていない | 控えから戻すか、wp-config.php の WP_HOME と WP_SITEURL で一時的に正しい値を指定して入り直す |
| ページが開かず、転送が繰り返されると出る | サーバー側の転送と WordPress 側の設定がかみ合っていない | 転送を一か所にまとめる。サーバー会社の手順どおりの書き方か確かめる |
| Search Console の数字が切り替え後に急に減った | http の URL プレフィックス プロパティを見ている | https のプロパティかドメイン プロパティで見る |
転送が繰り返される件は、WordPress.org の資料でも、サーバーの手前で暗号化を受け持つ仕組み（リバースプロキシ）がある構成では、設定によって転送が終わらなくなることがあると書かれています。サーバー会社の案内に WordPress 向けの https の設定方法があれば、それに合わせるのが近道です。
他社が作ったサイトで、どのサーバーのどの画面で設定したのか分からない、という場合もあります。当社は他社が作ったサイトの運営も引き受けていて、その際はまず、証明書・転送・2つのアドレス・ページの中の http の URL を、この記事と同じ順番で確かめるところから始めます。
今日、自社で確かめられること
- Chrome で「http://自社のドメイン/」と打って開き、アドレスが https に変わるかを見る。
- www ありと www なしの両方を https:// で開き、どちらも警告が出ないかを見る。
- 問い合わせページとトップページで「ページのソースを表示」を開き、「http://」を検索して、画像や埋め込みに残っていないかを見る。
- 「設定」→「一般」の「WordPress アドレス (URL)」と「サイトアドレス (URL)」が https で始まっているかを見る。
- Search Console で、いま見ているプロパティが http か https かドメインかを確かめ、HTTPS のレポートを開く。
- 直す作業に入る前に、最新のバックアップがいつのものか、サーバーの外にもあるかを確かめる。
参考にした公式の説明
- Google Chrome ヘルプ「サイトの接続が安全かどうかを確認する」
- Google 検索セントラル「サイトを移転する方法」（URL の変更を伴う移転）
- Google 検索セントラル「ページ エクスペリエンスが Google 検索の検索結果に与える影響について」
- Search Console ヘルプ「HTTPS レポート」、「ウェブサイトまたはプラットフォームのプロパティを Search Console に追加する」
- web.dev「サーバーで HTTPS を有効にする」、「混合コンテンツとは」、「混合コンテンツの修正」
- WordPress Developer Resources「Migrating WordPress」（Changing The Site URL を含む、英語）、「HTTPS」（英語）
- Make WordPress Core「Improved HTTPS detection and migration in WordPress 5.7」（英語）
いずれも2026年10月16日に内容を確かめました。管理画面やサーバーの画面の表示名は、版や会社によって変わることがあります。