※本記事にはアフィリエイト広告（PR）が含まれます。
こんにちは、ともかつです。
SSL化が終わって、URLもhttpsになった。それなのにアドレスバーには「保護されていない通信」の文字。
これ、地味に心が折れますよね。
検索して出てくる答えは、だいたい2つです。「Really Simple SSLを入れましょう」か、「httpで読み込んでいる画像を探しましょう」か。
真面目に画像を1枚ずつ探した人も多いのではないでしょうか。
ところが、いまのChromeはhttpの画像をこっそりhttpsに直して読み込みます。直せないものは、そもそも読み込みません。
「画像が1枚残っているせいで鍵が消える」は、もう昔の話なのです。
原因はたいてい、画像ではなく「ページそのもの」がhttpsで届いていないことにあります。
今回は、そこを上から順に確かめていきましょう。プラグインを入れるのは、いちばん最後で大丈夫です。
「保護されていない通信」が出ているとき、ブラウザは何を言っているのか
ちなみに、いまのChromeは安全なページでも鍵マークを出しません。代わりに出るのが、つまみのような形の「調整」アイコンです。
ここでは、「保護されていない通信」と出てしまう状態をまとめて「鍵が出ない」と呼びます。
Chromeのヘルプには、こう書いてあります。
「サイトはプライベート接続を使用していません。このサイトとの間で送受信される情報は、何者かに見られる、または変更される可能性があります」
出典: サイトの接続が安全かどうかを確認する（Chrome ヘルプ）・2026年9月5日確認
改めて読むと、なかなか物騒な文面ですよね。
ただ、大事なのは、この判定がページ単位だということです。
ブラウザが見ているのは、サーバーではなく「いま開いているこの1ページ」です。
だから、サーバーの設定画面をいくら見直しても答えは出ません。
いまのChromeは、httpの読み込みを黙って直しています
もうひとつ、10年前の常識のまま語り継がれている説明があります。
「httpsのページにhttpの画像が1枚でも混ざっていたら鍵が消える」という、いわゆる混在コンテンツ（Mixed Content）の話です。
当時はそのとおりでした。しかし、いまのブラウザはそこで黙って手を貸してくれます。
混在コンテンツを再現できるテストサイト（badssl.com）で、実際の通信を確かめました。
| ページが読み込もうとしたもの | ブラウザが実際にしたこと | 通信の結果 |
|---|---|---|
httpの画像 | httpsへ自動で読み替えて取りに行った | 200 OK（安全な通信） |
httpのスクリプト | 読み込み自体を中止した | リクエストが発生しない |
どちらの道を通っても、安全でない通信は起きていません。
http://の1行が残っていること自体は、いまのChromeでは鍵が消える理由になりにくいのです。
画像を1枚ずつ開いて半日を溶かした人がいたら、正直、報われにくい作業でした。
最初に疑うのは、ページの中身ではありません
疑う順番は、ページのURL → 証明書 → ページの中身です。
混在コンテンツは3番目で構いません。しかし、上位に出てくる解説の多くが、いきなり3番目から始めています。
順番を逆にすると、直しても消えないものを何時間も探すことになります。
鍵が出ない原因の多くは、ページそのものがhttpsで届いていないこと
ここがいちばん多い落とし穴です。
SSLは有効、証明書も出ている。それなのにブラウザへ届いているページがhttpのままなら、ブラウザは正直に「保護されていない通信」と言います。
まず、アドレスバーのURLを見る
拍子抜けするほど簡単ですが、ここを飛ばす人がとても多いところです。
先頭がhttps://かを見ます。http://なら、探しものはここで終わりです。
全ページで出るのか、そのページだけなのか。ここで行き先が半分に絞れます。
http://と打って開いてみる開いたあとにhttps://へ変わっていれば、読者は安全な側へ運ばれています。
結果の読み方はこうです。
- 全ページで出る → アドレス設定か、全ページで読み込んでいるもの
- そのページだけ出る → そのページの中身（画像やスクリプトの読み込み先）
- 自分の画面だけ出る → キャッシュ。シークレットウィンドウで開き直す
WordPressの2つのアドレス欄は、片方だけhttpのまま残ります
全ページで鍵が出ないときは、管理画面の「設定 > 一般」へ。上のほうに、よく似た2つの欄が並んでいます。
| 欄の名前 | 公式ドキュメントの説明 | 入れる値 |
|---|---|---|
| WordPress アドレス (URL) | WordPress本体のファイルが置かれているディレクトリのURL | httpsで始まる自分のドメイン |
| サイトアドレス (URL) | 読者がブラウザに入力してたどり着くアドレス | 同上 （専用ディレクトリを使う場合を除く） |
※出典: Settings General screen（WordPress公式）・2026年9月5日確認。日本語は筆者の要約です。
2つの欄のうち片方だけhttpのまま、というのが本当によくあります。
指でなぞるつもりで、先頭の5文字を見比べてください。
入力欄が灰色で文字が打てないのは、故障ですか？
欄が薄く、クリックしても文字が打てない。安心してください、壊れてはいません。
WordPressの公式ドキュメントによると、wp-config.phpにWP_SITEURLやWP_HOMEを定義していると、その値が欄に出て管理画面からは変更できなくなります。
直す場所が、管理画面からファイルの中へ移ったということですね。ファイルを触る前に、編集前の控えを取っておくことだけは忘れずに。
サイトヘルスなら、2つのURLを1画面で見られます
公式ドキュメントによると、「ツール > サイトヘルス」の画面は「ステータス」と「情報」の2つのタブに分かれています。
「このサイトはHTTPSを使用していますか？」「ホームURL」「サイトURL」の3つが、WordPressの項目に並びます。1つ目が、いちばん早い答え合わせでしょう。
出典: Site Health screen（WordPress公式）・2026年9月5日確認
自分の画面だけ鍵が出ているときは、読者がhttpで来ています
自分の画面では鍵が出ているのに、読者から「危険と出ますよ」と教えられる。
これは、httpで開いた人をhttpsへ運んでいないときに起きます。古いブックマークから来た人が、httpのページを見ているわけです。
ConoHa WINGの場合、公式サポートに「SSLを設定すると自動的にhttpsのURLへリダイレクトされるようになります」とあります。
同じページには、自分で.htaccessなどにリダイレクトを設定するとループが発生してエラーになるケースがある、という注意も添えられています。
出典: 無料独自SSLを設定する（ConoHa WING）・2026年9月5日確認
「この3行を書けばリダイレクトできます」という解説は山ほどあり、内容は間違っていません。しかし、自分のサーバーで要るかは別の話です。
まず何も足さずにhttp://で開いてみる。コードを書き足すのは、運ばれなかったときで十分です。
直したのに変わらないときと、証明書そのものが出ていないとき
URLも設定も直したのに、画面が変わらない。ここでプラグインに手が伸びる人が多いのですが、その前に見てほしいものが2つあります。
直したのに変わらないときは、画面が古いだけかもしれません
手順を疑う前に、画面を疑ってください。ページが出るまでに、ブラウザ・サーバー・プラグインの3か所で写しが保存されているからです。
近道はシークレットウィンドウです。ChromeならCtrl+Shift+Nで開きます。
ここで鍵が出るなら、直っていて自分の画面だけが古い、と判断できます。
サーバー側にキャッシュの仕組みがある環境で同じ役割のプラグインを重ねると、表示が食い違います。まずはシークレットウィンドウでの確認からいきましょう。
赤い警告画面が出るなら、ここから先はサーバー会社の領域です
証明書が出ていない、または期限が切れていると、表示の前に警告の画面が出ます。「保護されていない通信」が控えめに出るのではなく、進むかどうかを聞かれる画面です。
ConoHa WINGの無料独自SSLには、前提となる条件があります。
- ネームサーバーをConoHaのものに設定しておくこと
- 外部のDNSを使うなら、
wwwの有り・無し両方のAレコードを置くこと - オプション独自SSLとの同時利用はできないこと
この条件が崩れていると、ボタンを押しても証明書は出ません。証明書が出るかどうかは、ドメインとサーバーの間の話です。
公式サポートには、短期間に複数回設定をすると一定期間申請が制限される、という趣旨の記載があります。
うまくいかないときにオンとオフを往復させると、かえって遠回りになります。
ここで粘るのは、いちばんもったいない時間の使い方です。私なら、迷わずサーバー会社の窓口に投げます。
httpの画像が壊すのは、鍵マークではなく表示のほうです
URLも証明書も問題なかった。それでも画像が1枚だけ出ない、デザインが崩れる。
当てはまる皆さんは、ここから先を読んでください。
混在コンテンツは、いまも実害を出します。変わったのは、出る症状のほうです。
| ソースに残っているもの | ブラウザの動き | 読者に見える症状 |
|---|---|---|
httpの画像（https版あり） | httpsへ読み替えて取りに行く | 何も起きない |
httpの画像（https版なし） | 読み替えられず、読み込まれない | その画像が表示されない |
httpのスクリプト | 読み込みをブロックする | 動きのある部分が止まる |
Chrome ヘルプにも「セキュリティで保護されたサイトに、セキュリティで保護されていない画像やウェブフレームなどのコンテンツが埋め込まれている場合があります。デフォルトでは、セキュリティで保護されたサイトは安全でないコンテンツをブロックします。」とあります。
鍵マークが戻らない原因ではなくなりましたが、「画像が出ない」の犯人としては現役なのです。心当たりがあるなら、その1行を探しにいきましょう。
ソース表示なら、開発者ツールはいりません
「ページのソース」と聞くと身構えるかもしれません。やることは、長い文字の中からhttp://を見つけるだけで、中身を読む必要はありません。
症状が出ているページを表示しておきます。
新しいタブにソースが開きます。Macの場合は Command+Option+U です。
該当箇所が色付きで並びます。件数が多いときは自分のドメインまで足して入れ直すと、一気に絞れます。
Microsoft Edgeでも同じキーで開きます。画面の文言が少し違う程度です。
見つかったhttp://の全部が犯人ではありません
原因になるのは、ページが読み込んでくるものだけです。
よそのサイトへのリンクは、いくらhttp://でも関係ありません。クリックして初めて移動するもので、ページの中には入ってこないからです。
| ソースの中の書き方 | 何をしているか | 原因になるか |
|---|---|---|
<img src="http://…">／<script src>／<iframe src> | 画像・プログラム・他ページを読み込む | なる |
<link rel="stylesheet" href="http://…"> | デザインを読み込む | なる |
<a href="http://…"> | 他のページへのリンク | ならない |
http://www.w3.org/… | 技術的な名前づけの表記 | ならない |
<link rel="profile">／rel="pingback"／rel="alternate"／http://schema.org／http://gmpg.org/xfn/11 | 宛先や規格の名前の記載 | ならない |
下の2行は補足です。http://www.w3.org/やhttp://schema.orgは規格の名前で、rel="profile"などの<link>は宛先の記載にすぎません。
ファイルを取りに行っていないので、まとめて読み飛ばして構いません。
img・script・iframeと、rel="stylesheet"のlink。この4つの後ろにhttp://が付く行が、探していた1行です。
開発者ツールの「問題」タブに一覧で出ます
ソース表示に出てこない読み込みもあります。デザインファイルから呼ばれる背景画像やWebフォント、表示のあとで取りに行くものです。
これらは通信の結果を見ないと分かりません。開発者ツールの出番です。
画面の右か下に細かい文字のパネルが開きます。驚かなくて大丈夫です。
見当たらないときは、右上の三点マークから探せます。
混在コンテンツの項目に、読み替えられたものとブロックされたものが並びます。開く前の通信は記録されません。
コンソールを1行ずつ目で追うより、こちらのほうがずっと早いでしょう。
見つけた1行から、直す場所をたどります
URLが分かったら、どこから出力されているかを考えます。判断はURLの形でほぼ付きます。
| 見つかったURLの形 | 出どころの見当 | 直す場所 |
|---|---|---|
自分のドメイン＋/wp-content/uploads/ | 自分がアップした画像 | 記事の編集画面 |
自分のドメイン＋/wp-content/themes/または/plugins/ | テーマかプラグインが出している | それぞれの設定画面 |
| よそのドメイン | 外部サービスの埋め込み | 埋め込みコードを貼った場所 |
いちばん多いのは、SSL化の前に書いた記事の画像です。WordPressは入れたときのURLを本文に保存するので、あとからアドレスを変えても文字列は残ります。
ちなみに、プラグイン側のプログラムにhttp://が直接書き込まれている場合は、利用者の側から直す手段がありません。別のものへ替えるほうが早いでしょう。
「プラグインで消える」と「直っている」は別のことです
解説のほとんどが、SSLまわりを肩代わりするプラグインを勧めます。実際、入れた瞬間に表示が変わることもあります。
しかし、そこで何が起きているかは知っておいたほうがいいでしょう。
WordPress本体も、表示のときに差し替えているだけです
WordPress 5.7から、サイトヘルスに「HTTPSに切り替える」ボタンが付きました。何をするかは、公式の開発ブログに説明があります。
| やっていること | 対象 | データはどうなる |
|---|---|---|
| 2つのURLを更新する | サイトアドレスとWordPressアドレス | 保存し直される |
| 表示のたびに置き換える | 投稿本文・抜粋・ウィジェット・カスタムCSS（自分のドメインのURLだけ） | 保存されたデータは古いまま |
※出典: Improved HTTPS detection and migration in WordPress 5.7（公式開発ブログ）・2026年9月5日確認
注目してほしいのは下の行です。WordPress本体も、自分のドメインに限って、投稿本文を保存し直さず表示のときだけ差し替えています（外部サービスのhttp://は対象外）。
つまり「表示だけ直す」は、WordPress本体も採っている方式なのです。
表示を書き換える方式と、データを書き換える方式
同じ「消える」でも、中で起きていることは正反対です。
| 観点 | 表示を書き換えて消す | 原因そのものを消す |
|---|---|---|
| 今日の見た目 | すぐ変わる | 直した分だけ変わる |
| 保存されているデータ | http://のまま残る | https://に置き換わる |
| やめたら | 元に戻る | 変わらない |
| 引っ越したら | 問題も一緒に運ばれる | 持ち越さない |
| かかる手間 | 短い | 記事数しだい |
方式はプラグインごとに違います。入れる前に配布元の説明を読みましょう。
「表示を整える」のか「データを書き換える」のかで、外したときの結果が真逆になります。
ConoHa WINGのかんたんSSL化は、保存されたデータを書き換えます
当ブログはConoHa WINGで動かしているので、この機能にも触れておきます。
公式サポートによると、「WordPressかんたんSSL化」がやるのは次の2つです。
- WordPress内のサイトURLの設定変更
- データベース内のリンク等の
httpとなっている箇所についてhttpsへ変更
出典: WordPressかんたんSSL化を利用する（ConoHa WING）・2026年9月5日確認
2つ目に注目してください。データベースの中を変更する、とあります。
ただし条件があります。対象はインストール機能かかんたん移行で作ったWordPressで、独自SSLの利用設定が済んでいること、初期ドメインでないことが必要です。
プラグインを否定したいのではありません。応急処置と決めて入れ、外したら何が起きるかを分かっているなら、私は選んで構わないと思います。
いちばん困るのは、入れたことを忘れてしまうこと。数年後にサーバーを移すとき、原因を知らないまま同じ症状が戻ってきます。
どこまで自分で直せるか
ここまでの作業は、難易度がまるで違うものが混ざっています。戻し方があるかどうかで分けると、こうなります。
| 段階 | やること | 失敗したときの戻し方 |
|---|---|---|
| 1. 管理画面だけ | 設定 > 一般の見直し、記事やカスタマイザーの画像を入れ直す | もう一度直せば戻る |
| 2. まとめて置換 | データベースのhttp://を一括で書き換える | バックアップからの復元 |
| 3. ファイルを編集 | wp-config.phpや.htaccessを書き換える | 編集前の控えに戻す |
| 4. サーバー会社へ | 証明書が出ない、向き先が分からない | 問い合わせ窓口へ |
段階1は、間違えてもやり直せます。気軽に試して大丈夫です。
問題は段階2からです。一括置換は設定の保存領域にも手が入り、文字数の情報とセットで保存された値を壊すと設定が読めなくなります。
- データベースを含むバックアップを取り、戻せることを確かめる
- 置換する文字列は
http://＋自分のドメインまで含めて指定する - 件数だけを表示する試し実行ができる手段を選ぶ
ConoHa WINGで条件に当てはまるなら、手作業の置換より先にこの機能を試すのが自然でしょう。
「保護されていない通信」が消えないときによくある質問
- httpsで普通に開けるのに、鍵マークだけ出ないのはなぜですか。
-
まず、アドレスバーのURLが
https://で始まっているかを見てください。そこが問題なければ、開発者ツールの「問題」タブで読み込めていないものを確かめます。 - httpの画像が1枚残っていると、鍵マークは戻りませんか。
-
いまのChromeでは、
httpの画像はhttpsへ読み替えられるか、読み込まれないかのどちらかです。鍵マークより先に「画像が出ない」症状で現れます。 - プラグインを入れたら消えました。このままでもいいですか。
-
方式によります。表示のときに書き換える仕組みなら外した時点で元に戻り、データは
http://のままなので、引っ越し先に同じ症状が付いてきます。 - スマートフォンでは鍵マークが出るのに、パソコンでは出ません。
-
パソコン側の画面が古い可能性が高いです。シークレットウィンドウで開き直し、それでも出るなら別の原因を探しましょう。
- 初期ドメインのままでもSSL化できますか。
-
ConoHa WINGの公式サポートには、初期ドメイン（
XXXX.conohawing.com）ではかんたんSSL化を利用できないと書かれています。独自ドメインを設定してから進めましょう。 - SSLを設定してから、どれくらい待てば反映されますか。
-
ConoHa WINGの公式サポートには、反映までの時間は書かれていません。目安の分数を挙げている記事もありますが、出どころがはっきりしないものばかりです。急ぐなら公式の案内を読んだうえで窓口に聞くのが、いちばん早いでしょう。
まとめ：まずアドレスバーのURLを見るところから
今日の一歩だけ、先に決めておきましょう。
症状が出ているページのアドレスバーを見て、URLがhttps://で始まっているかを確かめる。ここが起点です。
- ブラウザが見ているのはサーバーではなく、いま開いている1ページ。疑う順番は、ページのURL → 証明書 → ページの中身
httpの読み込みは、いまのChromeが自動で読み替えるかブロックする。だから混在コンテンツは「鍵が消える」より「画像が出ない」の犯人- 犯人探しはソース表示（Ctrl+U）と開発者ツールの「問題」タブで足りる
- 表示を書き換えて消す方式は、外すと元に戻る
鍵マークが出ないだけで、サイトが壊れているわけではありません。
場所さえ分かれば、あとは順番に潰していけば大丈夫です。
画像を1枚ずつ開いて半日を溶かすくらいなら、まずアドレスバーの5文字を見る。それだけで、今夜の残り時間は変わります。
まずは1ページ、開いてみましょう！
以上、ともかつでした。
サーバー選びが気になった皆さんは、こちらもどうぞ。
サイト運営でつまずきやすいところ（関連記事）
- ConoHa WINGの評判｜稼働中ブログの実体験レビュー
- SWELL初期設定は6つでいい SSL化のあとに触る設定。
- ConoHa WINGかんたん移行の失敗｜押す前に3分で判定 引っ越し直後は、アドレス設定が崩れやすいところ。
- ConoHa WING料金プランの選び方｜更新後の実額まで これから契約する人へ。
- 確認日 … 2026年9月5日に下記9ページを開いて確認し、混在コンテンツの扱いは同じ日にテストサイト（badssl.com）で通信の記録を観測しました。本文で「公式に示されていない」と述べているのは、この範囲での話です
- 筆者の環境 … このブログはConoHa WINGとSWELLで動かしています。今回の症状で止まった経験はないため、公式の記述と実測を軸にまとめました
- 広告 … 本文にはアフィリエイト広告（PR）を含みます
- 修正の方針 … 公式の案内やブラウザの挙動が変わったら、確認日を添えて本文を直します
