URLがhttpsで始まり、ブラウザに鍵の表示があっても、サイトそのものが安全とは限りません。HTTPSが守る範囲と、別途必要な更新・認証・バックアップを整理します。
HTTPSが守るのは主に通信経路
HTTPSは、ブラウザとウェブサイトの間の通信をTLSで保護する仕組みです。通信途中の盗み見や改ざんのリスクを下げ、接続先の確認を助けます。一般に「SSL化」と呼ばれますが、現在の通信保護はTLSが中心です。
ただし、通信が暗号化されていても、サーバーに脆弱性がある、管理者の認証情報が漏えいしている、フォームの保存先が不適切といった問題は別です。HTTPSは必要な基本対策の一つですが、サイト全体の安全性を保証するものではありません。
HTTPSの状態を確認する4つのポイント
- 証明書が有効か 有効期限、対象ドメイン、ブラウザの警告を確認する。
- HTTPからHTTPSへ転送されるか 古いURLやブックマークからアクセスしても安全な接続に移るかを調べる。
- ページ内の読み込みもHTTPSか 画像や外部スクリプトがHTTPで読み込まれていないか確認する。
- 更新・再発行の担当が決まっているか 自動更新でも失敗通知の監視が必要かどうかを確かめる。
スマートフォンを含め、主要なページと問い合わせフォームを実際に操作して確認します。
HTTPSと別に必要な対策
ソフトウェアを更新する
CMS、テーマ、プラグイン、サーバー環境などの脆弱性対策は、HTTPSとは別に行います。更新を放置したサイトは、通信が暗号化されていても侵入を受ける可能性があります。
ログイン・権限を見直す
管理者アカウントを必要最小限にし、強い認証を使います。使われなくなったアカウントや、複数人で共有する管理者IDを放置しないことが重要です。
バックアップと復旧を確認する
どのようなサイトでも不具合や事故の可能性はゼロになりません。ファイルとデータベースを適切に保存し、復元手順を用意します。
WAFを入れれば安心？
WAFは、不審なHTTP通信を検知・遮断する対策の一つです。攻撃による影響を軽減できる場面がありますが、すべての攻撃を防げるわけではなく、ソフトウェアの更新や権限管理の代わりにはなりません。サービスの機能と誤検知時の対応を確認して利用します。
問い合わせフォームの安全も確認する
フォームのページがHTTPSでも、受信メールの転送先、管理画面での保存、アクセス権、保存期間は別途確認します。送信後に誰が情報を扱うかまで含めて点検しましょう。