店舗サイトがhttp://のままだと、今年から何が起きるか

何年も前に作った店舗サイトが、http:// のまま動いていることがあります。表示はされるし、問い合わせも来る。急ぐ理由が見当たらない、という状態です。

その前提が、今年変わりました。 しかも順位の話ではありません。お客さまがページにたどり着く前で止まる、という話です。

Chromeが、アクセスする前に確認を挟む

Googleは2025年10月に、Chromeの「常に安全な接続を使用する」設定を既定で有効にすると発表しました。発表はこう書いています。

Chrome will ask for the user's permission before the first access to any public site without HTTPS.

HTTPSで配信されていない公開サイトには、最初にアクセスする前に許可を求めるということです。動きはこうなります。

Chrome attempts every connection over HTTPS, and shows a bypassable warning to the user if HTTPS is unavailable.

まずHTTPSで接続を試し、使えなければ警告を出す。警告は回避できますが、一度画面が挟まります。

毎回出るわけではありません。

Chrome will only warn users when they visit a new (or not recently visited) site without using HTTPS.

新しく訪れるサイト、またはしばらく訪れていないサイトに限られます。常連には出ず、初めての人にだけ出るという形です。店舗サイトにとっては、いちばん出てほしくない相手に出ます。

対象外もあります。192.168.0.1 のようなローカルIPアドレス、単一ラベルのホスト名、intranet/ のようなショートリンクは、公開サイトとして扱われません。社内システムは当面そのままです。

時期について

発表では、Chrome 147（2026年4月）で拡張セーフブラウジングを有効にしている利用者に先行適用し、Chrome 154（2026年10月）で全利用者の既定にするとされていました。

Chromiumのリリース日程によると、Chrome 154の安定版は2026年9月22日です。本稿を書いている時点の安定版は157。予定どおりなら、すでに有効になっています。

ただしここは正直に書きます。筆者はブラウザの実機で挙動を確認していません。発表どおりの版で入ったかどうかも確認できていません。確実なのは「発表された予定日はすでに過ぎている」ところまでです。

順位の話ではない

「SSL化するとSEOに有利」という説明をされることがあります。ここは切り分けておきます。

Googleは、Core Web Vitals 以外のページエクスペリエンスの要素が検索結果でのランキング上昇に直接貢献することはない、と明記しています。この点はスマホでサイトが遅いときに書いたとおりです。

HTTPSは、順位を押し上げるためのものではありません。 画面に警告を出させないためのものです。効き方がまったく違います。順位が1つ上がるかどうかより、クリックした人の何割かがそこで引き返すかどうかのほうが、店舗サイトには重い。

証明書は、手で更新できる頻度ではなくなる

もう1つ、運用側の変化があります。認証局とブラウザベンダーが参加するCA/Browser Forumの基準（Baseline Requirements）に、証明書の最大有効期間を段階的に短くする日程が入りました。

適用日	証明書の最大有効期間
2026年3月15日	200日
2027年3月15日	100日
2029年3月15日	47日

2026年3月15日の200日は、すでに適用済みです。 かつての398日から半分になっています。そして2029年には47日、つまり1か月半ごとの更新になります。

ドメイン名の確認データを再利用できる期間も、同じ日程で200日・100日・10日と短くなります。

これは「カレンダーに更新日を書いておく」で回る頻度ではありません。自動更新が前提の仕組みに移行していないと、年に何度も切れます。 証明書が切れたサイトは、警告どころか赤い画面が出ます。

今どうなっているかを確認する順番はこうです。

1. 契約しているサーバーの管理画面で、無料SSL（Let's Encrypt など）の自動更新が有効になっているか
2. 有効期限が何日後か
3. 更新に失敗したときの通知先メールアドレスが、今も読んでいるアドレスか

3番目が、退職した担当者のアドレスのまま残っていることがあります。

SSL化したつもりで、残っているもの

https:// で開けるようになっても、作業はそこで終わりません。残りやすい3つを挙げます。

混在コンテンツ

HTTPSのページの中に、http:// のまま読み込んでいる画像やスクリプトが残っている状態です。

ウェブサイトで HTTPS をサポートすることは、サイトとユーザーを攻撃から保護するための重要なステップですが、混合コンテンツがあると、その保護が無効になる可能性があります。

スクリプトなどの能動的な混在コンテンツは、

アクティブな混合コンテンツがブロックされ、警告が表示されます。

ブロックされます。つまり動かなくなる部分が出ます。 予約フォームの埋め込みが白紙になる、地図が出ない、といった形で表に出ます。

探し方は2つです。Chromeで該当ページを開き、JavaScriptコンソールのエラーと警告を見る。ただしコンソールは開いているページの分しか出ないので、ページごとに見る必要があります。あわせて、サイトのソースを http:// で検索します。

Search Console の HTTPS レポート

Search Consoleには専用のレポートがあります。

HTTPS レポートでは、サイトでインデックス登録された URL のうち、HTTP の URL と HTTPS の URL がそれぞれどれだけあるかを確認できます。

HTTPSになっていない理由も分類されます。

表示	中身
HTTPS の証明書が無効である	「これは通常、サイト全体に影響を及ぼします」
HTTP が正規化タグでマークされている	HTTPページが自分を正規として指定している
HTTPS にリダイレクトが設定されている	HTTPSが存在するのにHTTPへ戻している
HTTPS URL へのアクセスがロボットによりブロックされました	robots.txt で止まっている
サイトマップが HTTP を参照している	サイトマップ側が古いURLを指している

canonical とサイトマップは、制作会社に頼んでいても残ります。 SSL化の作業範囲から外れやすい場所です。

外に置いた http:// のリンク

自サイトの外に、古いURLが残っています。Googleビジネスプロフィールのウェブサイト欄、各SNSのプロフィール、ポータルサイトの掲載情報、名刺とチラシのQRコード。

リダイレクトを設定していれば最終的にはHTTPSのページに着きますが、最初の1回はHTTPで始まります。 Chromeが確認を挟むのは、まさにその最初の1回です。古い情報の洗い出し方はサイトの情報が古いまま放置されているときと同じ手順で進められます。

まとめ

• Chromeは、HTTPSでない公開サイトへの初回アクセス前に許可を求める。警告は回避できるが画面が挟まる
• 警告が出るのは「新しく訪れる人」。常連には出ない
• 全利用者への既定化はChrome 154（2026年10月）の予定。安定版は157まで進んでいる
• これは順位の話ではない。たどり着く前に止まる話
• 証明書の最大有効期間は2026年3月から200日、2027年に100日、2029年に47日。自動更新が前提になる
• 更新失敗の通知先アドレスが生きているかを確認する
• 混在コンテンツは能動的なものがブロックされる。予約フォームや地図が動かなくなる形で出る
• Search Console の HTTPS レポートで、canonical・リダイレクト・サイトマップの残りを拾う
• GBP・SNS・チラシのQRに残った http:// を直す

自分のサイトがどちらか分からない場合は、スマホのChromeでURLを開いてアドレス欄を見てください。それが答えです。

店舗情報の整備もあわせて点検したい方へ。無料のMEO診断では、Googleビジネスプロフィールの記載内容を確認してお返ししています。