HTTPからHTTPSへ｜SSL化とTLS1.3までの歴史をわかりやすく解説

ホームページのセキュリティ対策として、今でもよく「SSL化しましょう」という言葉が使われています。

しかし、厳密に言えば、現在のHTTPS通信で中心的に使われているのは、古いSSLではなく、その後継規格であるTLSです。2026年現在では、TLS1.2も安全な設定であれば使われていますが、可能であればTLS1.3に対応しておくことが望ましいです。

この記事では、HTTPからHTTPSへ、そしてSSLからTLS1.3へと進化してきた歴史を、読者の皆様にも分かりやすいように会話形式で整理します。

HTTPとHTTPSの違い

クライアント

ホームページのURLを見ると、「http://」で始まるものと「https://」で始まるものがありますよね。この違いは何ですか？

解説者

一番大きな違いは、通信が暗号化されているかどうかです。HTTPは、Webページを表示するための基本的な通信方式ですが、通信内容は基本的に暗号化されません。一方、HTTPSはHTTP通信を暗号化し、第三者に内容を読み取られにくくする仕組みです。

クライアント

古いリンク集やWebサイトのURL欄を見ると、今でも「http://」で書かれているURLがあります。でも、開いてみると自動的に「https://」に変わることもありますよね？

解説者

はい、そのようなケースはよくあります。古い資料ではURLが「http://」のまま残っていても、実際にアクセスすると、サーバー側の設定によって「https://」へ自動転送される場合があります。この仕組みは、一般にHTTPからHTTPSへのリダイレクトと呼ばれます。

クライアント

では、リンク先が「http://」と書かれていても、最終的に「https://」で表示されれば安全なのですか？

解説者

最終的に「https://」で表示されていれば、その後の通信はHTTPSで保護されます。ただし、「http://」のまま表示されるサイトや、HTTPSへ転送されないサイトは、通信が暗号化されていない可能性があります。そのため、ホームページ運営者は「http://」でアクセスしても「https://」へ正しく自動転送されるかを確認しておくことが大切です。
私たちはサーバーを構築する際、HTTPで来たアクセスを自動的にHTTPSへ転送し、通信に使うポートも80番から443番へ切り替わるように、普段からサーバー設定を書いております。

クライアント

HTTPのままだと、どのような危険があるのですか？

解説者

HTTPでは、問い合わせフォームに入力した名前、メールアドレス、電話番号、ログインID、パスワードなどが、通信経路の途中で盗み見られる危険があります。また、通信内容を途中で改ざんされる可能性もあります。HTTPは、例えるなら「はがき」のような通信です。送っている内容が外から見えやすい状態だと考えると分かりやすいでしょう。

クライアント

HTTPの時代から、今のような盗み見や改ざんの危険はあったのですか？

解説者

はい。HTTPは通信内容を暗号化しないため、技術的には昔から盗み見や改ざんのリスクがありました。ただし、当時は現在ほどオンライン決済、ネットバンキング、SNS、クラウドサービスが普及していなかったため、一般利用者が日常的に意識する機会は今ほど多くありませんでした。

クライアント

では、HTTPSは封筒に入れて送るようなものですか？

解説者

そのイメージに近いです。HTTPSでは、HTTPの通信をTLSという安全な層で包み込むように扱います。これをイメージとしては「カプセル化」と考えると分かりやすいでしょう。さらに、通信内容を暗号化するだけでなく、途中で改ざんされていないかを確認するために、ハッシュや認証タグといった仕組みも使われます。つまり、第三者が途中で通信を見ても中身を簡単には読み取れず、内容が勝手に書き換えられた場合にも検知しやすくなります。現在では、企業サイト、店舗サイト、ブログ、問い合わせフォームのあるサイトでは、HTTPS対応が基本になっています。

SSLが登場した理由

クライアント

HTTPSの説明で、よく「SSL化」という言葉を聞きます。SSLとは何ですか？

解説者

SSLは、Web通信を暗号化するために使われていた初期の仕組みです。
SSLという技術自体は1990年代から存在し、オンラインショッピング、会員登録、ログイン画面、ネットバンキング、ネット証券など、重要な情報を扱うWeb通信を守るために使われ始めました。
ただし、一般家庭のインターネット利用者がSSLやブラウザの鍵マークを身近に意識するようになったのは、ネット通販や金融サービスが広がった2000年代以降と考えると分かりやすいでしょう。

クライアント

つまり、SSLはインターネットで個人情報を守るために生まれた技術なのですね。

解説者

はい。SSLは、Webサイトと利用者のブラウザの間でやり取りされる情報を暗号化する役割を持っていました。クレジットカード情報、パスワード、個人情報に加えて、ネットバンキングやネット証券で扱う口座情報、取引情報を安全に送受信するためにも、当時は非常に重要な技術でした。

SSLからTLSへ移行した理由

クライアント

でも現在は、SSLではなくTLSが使われているのですよね？

解説者

その通りです。SSLは初期の暗号化技術として大きな役割を果たしましたが、時代が進むにつれて弱点も見つかりました。そこで、SSLの後継として標準化されたのがTLSです。現在のHTTPS通信では、古いSSLではなく、TLSが中心的に使われています。

クライアント

TLSとは何の略ですか？

解説者

TLSは「Transport Layer Security」の略です。日本語では、通信経路の安全性を守るための仕組みと考えると分かりやすいです。HTTPSは、HTTPの通信をTLSで保護しているものだと理解するとよいでしょう。

クライアント

では、今でも「SSL化」と言うのは正確ではないのですか？

解説者

技術的には、「SSL化」よりも「HTTPS化」や「TLSによる暗号化」と言う方が正確です。ただし、ホームページ制作やサーバー管理の現場では、昔からの呼び方として「SSL化」「SSL証明書」という言葉が今でも広く使われています。一般的な会話では「SSL化」で通じますが、厳密にはTLSによるHTTPS化を意味していると理解するとよいでしょう。

TLS1.2とTLS1.3は何が重要なのか

クライアント

TLSにも、TLS1.0、TLS1.1、TLS1.2、TLS1.3のようなバージョンがあるのですか？

解説者

はい。TLSにも複数のバージョンがあります。古いものから、TLS1.0、TLS1.1、TLS1.2、TLS1.3という流れで進化してきました。

クライアント

古いTLSも、まだ使えるのですか？

解説者

TLS1.0やTLS1.1は古い方式で、現在では使用すべきではありません。2026年現在、TLS1.2も安全な暗号設定であれば引き続き使われています。ただし、可能であればTLS1.3に対応しておくことが望ましいです。TLS1.3では、古くて危険性のある暗号方式が整理され、より安全で効率的な通信ができるようになっています。

クライアント

TLS1.3になると、セキュリティだけでなく速度面でもメリットがあるのですか？

解説者

はい。TLS1.3では、通信を始めるまでの手順が整理され、従来よりも効率的になっています。そのため、安全性の向上だけでなく、Webサイトの表示速度や通信の安定性にも良い影響があります。

なぜ今でも「SSL化」と呼ばれるのか

クライアント

それでも、サーバー会社やWordPressの管理画面では「SSL設定」と書かれていることがありますよね。

解説者

そこが少し紛らわしいところです。「SSL」という言葉は長年使われてきたため、サービス名や管理画面の表示として今でも残っています。しかし、実際の通信では、古いSSLではなくTLSが使われているケースがほとんどです。

クライアント

つまり、「SSL証明書」という名前でも、実際にはTLS通信に使われているのですね。

解説者

その通りです。「SSL証明書」という言葉も、現在では慣用的な表現です。正確には、HTTPS通信でサーバーの正当性を確認し、TLSによる暗号化通信を行うための証明書と考えるとよいでしょう。

HTTPS化だけで終わりではありません

クライアント

HTTPS化して、ブラウザに鍵マークが出ていれば、それで安心ですか？

解説者

HTTPS化は非常に重要ですが、それだけで全て安心というわけではありません。証明書の有効期限が切れていたり、古いTLSバージョンが有効なままだったり、サーバー設定が不十分だったりすると、せっかくHTTPS化していても安全性が下がる可能性があります。HTTPS化は、導入して終わりではなく、継続的に確認するセキュリティ対策です。

クライアント

ホームページ運営者は、どのような点を確認すればよいですか？

解説者

最低限、次のような点を確認しておくと安心です。

• サイト全体がHTTPSで表示されているか
• http:// から https:// へ正しく転送されるか
• SSL証明書の有効期限が切れていないか
• TLS1.2以上に対応し、可能であればTLS1.3を有効化しているか
• 古いSSLやTLS1.0、TLS1.1が使われていないか
• 画像やCSSなどの読み込みがHTTPのままになっていないか

ブラウザでサイトの安全性を自分で確認する方法

クライアント

専門的な診断ツールを使わなくても、自分でサイトの安全性を確認する方法はありますか？

解説者

はい。まずはブラウザのアドレスバー左側にある鍵マークをクリックしてください。そこで表示される接続情報を開き、「この接続は保護されています」と表示されるかを確認します。あわせて、URLが「https://」で始まっているか、証明書の有効期限や警告表示がないかも見ておくと安心です。

クライアント

鍵マークが出ていれば、それだけで十分ですか？

解説者

鍵マークは重要な目印ですが、それだけで終わりではありません。ページ内の画像、CSS、JavaScriptなどが古い「http://」のまま読み込まれていると、混在コンテンツとして警告の原因になることがあります。ホームページ運営者は、ブラウザ表示、証明書、HTTPSへの自動転送、混在コンテンツまで合わせて確認しておくとよいでしょう。

まとめ：SSL化という言葉の実態は、TLSによるHTTPS化です

クライアント

つまり、世間では「SSL化」と呼ばれていても、正確にはTLSによるHTTPS化と理解すればよいのですね。

解説者

はい。一般向けには「SSL化」という言葉でも伝わりますが、技術的にはTLSによるHTTPS化です。
ホームページを安全に運営するためには、HTTPS化だけでなく、証明書の更新、TLS設定、HTTPからHTTPSへの転送、混在コンテンツの確認まで含めて管理することが大切です。
TLSについては、TLS1.2以上に対応しつつ、可能であればTLS1.3を有効化しておくとより安心です。