HTTPとHTTPSは何が違う？ サーバー証明書が守るもの・守らないもの

まず結論：HTTPSは通信を守る仕組み

Webサイトのアドレスにある http:// と https://。主な違いは、ブラウザと接続先の間の通信が暗号化などによって保護されるかどうかです。

HTTPSは、ログイン情報やフォームへの入力内容を通信途中で盗み見られたり、書き換えられたりする危険を減らします。ただし、HTTPSで開けたことと、そのサイトの運営者が信用できることは別です。

このGuideでは「HTTPとHTTPSの仕組み」「サーバー証明書の役割」「ブラウザで確認すること」の順に整理します。

HTTPとHTTPSは何が違う？

HTTPは、ブラウザがWebサーバーへページを要求し、サーバーが内容を返すときなどに使う通信方式です。HTTPSは、そのHTTPのやり取りを**TLS（通信を安全に保つための技術）**で保護する方式です。

• HTTP：その通信自体はTLSで保護されません。通信途中を観測・操作できる第三者がいれば、内容を読まれたり変更されたりする可能性があります。
• HTTPS：通信内容の暗号化、改ざんの検出、接続先の確認を行い、第三者が通信を盗み見たり気づかれず変更したりすることを難しくします。

HTTPだからといって、必ず誰かに通信を見られているわけではありません。重要なのは、第三者がいた場合に通信を保護できるかという違いです。

HTTPSで守られるもの・守られないもの

HTTPSでは主に3つの働きがあります。

1. 暗号化：通信途中の第三者に、やり取りの内容を読まれにくくする。
2. 改ざんへの対策：途中で内容が不正に変更されても、検出できるようにする。
3. 接続先の確認：証明書などを使い、指定したドメイン名の接続先かを確かめる。

ただし、HTTPSはすべての情報を隠すものではありません。接続先のIPアドレスなど、通信に関する情報が分かる場合があります。また、閲覧履歴を消したり、端末のマルウェアを防いだりする仕組みでもありません。

さらに、送信先のサービスは受け取った情報を処理・保存できます。通信途中で守ることと、情報を渡した後の取扱いは別です。

サーバー証明書って何？

HTTPS接続では、ブラウザがWebサイト側から示されるサーバー証明書などを確認します。証明書には対象となるドメイン名や、通信の保護に使う公開鍵に関する情報が含まれています。

証明書を発行する組織が**認証局（CA）**です。ブラウザは、信頼する認証局との関係、証明書の対象ドメイン名、有効期限などを確認し、通信相手の確認に役立てます。利用者が普段の閲覧で技術的な手順を一つずつ操作する必要はありません。

ここで大切なのは、証明書はサービスの品質や掲載内容の正確さ、運営者の誠実さを保証するものではないことです。

証明書が有効なら、そのサイトは信用できる？

答えは、それだけでは判断できません。次の3つは分けて考えましょう。

• 通信がHTTPSで保護されている：通信途中での盗み見や改ざんへの対策がある。
• 表示中のドメイン名に対して証明書が有効：接続先を確認するための条件を満たしている。
• 本当に使いたいサービスのサイトである：銀行や通販会社など、相手の身元と利用目的を別に確認できる。

偽サイトでも、管理するドメイン名に有効な証明書を取得し、HTTPSを使うことは可能です。その場合、偽サイトとの通信自体は暗号化されていても、入力した情報は偽サイトの運営者へ届きます。

HTTPSは必要な保護の一つですが、「HTTPSだから本物」とは判断しないことが重要です。

Chrome・Safari・Edgeではどこを確認する？

ブラウザの表示は製品・端末・バージョンで異なります。古い記事にある鍵マークだけを目印にせず、アドレスと接続状態の両方を見てください。

• Chrome：アドレスバー付近のサイト情報・接続状態の表示から確認できます。従来の鍵アイコンがない場合もあります。
• Safari：接続の保護状態や証明書に関する警告を確認できます。Mac版では「Safari」メニューの「接続のセキュリティの詳細」から調べられます。iPhone版とは操作が異なります。
• Edge：アドレスバーの接続状態を示すアイコンなどから、保護状態や警告を確認できます。

2026年10月のChromeの変更：Googleは10月21日、保護されないHTTPサイトへ接続する前に確認を求める機能を標準で有効化したと発表しました。ただし、以前に許可したサイトでは一定期間警告が繰り返されない場合があり、ローカルIPアドレスなども原則として対象外です。すべてのHTTPページで毎回同じ警告が出るわけではありません。

なお、HTTPが保護されていないという注意表示と、HTTPSの証明書エラーは別です。証明書の期限切れやドメイン名の不一致などで安全な接続が確認できない場合があります。「接続はプライベートではありません」などの警告が出たら、安易に続行せず、アドレスを確かめていったん戻りましょう。ログイン・決済・個人情報の入力は止めるのが基本です。

結局、何に気をつければいい？

ログインや買い物の前に、次の順で確認すると実用的です。

1. URLを確認する：表示名やロゴではなく、利用したいサービスの正式なドメイン名かを見る。
2. 接続の状態を見る：「保護されていない」「プライベートではない」などの警告が出ていないか確かめる。
3. 入口が不安なら入り直す：メール・SMS・検索広告のリンクを使わず、公式アプリや自分で確認した公式サイトから開く。
4. 求められる情報を考える：認証コードやカード情報などを突然求められたら、その場で入力せず確認する。

偽サイトを見分ける実践的な確認方法は、既存の記事「HTTPSの表示だけで正規サイトと決めないための見方」で整理しています。

HTTPSは通信を守る大切な仕組み。ただし、情報を渡してよい相手かどうかはURLと利用目的を別に確かめる。 この2つをセットで覚えておけば十分です。