WordPress専用のクラウドサーバ「wpX」が無料の独自SSLサービスを開始しました。wpXの社長ブログでも予告されていたので待ち望んでいた機能です。このサイトもようやく暗号化できました。
以前サイトの暗号化には必ず一定の維持費が必要でしたが、Let’s Encryptというプロジェクトのおかげで誰もが無料で暗号化できるようになりました。今後これを利用したサービスも増えていくと思います。長谷川のようにサーバ管理が専門外の場合こうしたサービスはとても助かります。
Let’s Encryptとは
「Let’s Encrypt 総合ポータル」サイトによれば、下記のようなプロジェクト。
（引用元： https://letsencrypt.jp ）
Let’s Encrypt は、認証局（CA）として「SSL/TLSサーバ証明書」を無料で発行するとともに、証明書の発行・インストール・更新のプロセスを自動化することにより、TLS や HTTPS（TLSプロトコルによって提供されるセキュアな接続の上でのHTTP通信）を普及させることを目的としているプロジェクトです。
利用される際はこちらのサイトを確認してからがよいと思います。
対応ブラウザもおおよそ網羅されていますが、ここは少し注意が必要。ここに書かれた対応ブラウザは証明書として認められるブラウザなので、導入するサーバによってはまた別の制限が出てきます。
SNI SSLで利用する場合
wpXに限らずいわゆる共有サーバは一つのIPアドレス（一台のサーバ）に複数のサイトが存在します。通常SSLはIPアドレスに紐づくため、共有サーバでは導入が難しいものでした。
それを解決するのが「SNI SSL」という仕組み。IPアドレスではなくドメイン名で区別されるため、共有サーバでもSSLを導入できるようになりました。
そのSNI SSLに対応しているブラウザはもう少し限られています。例えば、Windows XPやAndroid 2以下では接続できないようです。
ただ最近はサイト制作自体、旧ブラウザを大きく切り捨てるようになっているので、ネックになるサイトもあまりないと思います。パソコンやスマホを長く大事に使っている人には申し訳ない感じですが。
そもそも暗号化するメリット
SSLによる暗号化は、以前はショッピングカートのような重要な情報をやり取りする場面でのみ利用されてきました。
現在は下記のような理由でSNSや通常のサイトへのアクセスも全て暗号化するようになっています。サイトの一部での使用ではなく、全ページで常に暗号化するため「常時SSL」と呼ばれています。
- 公衆無線LANなど暗号化されていない環境での、モバイル端末のセキュリティを考慮
- SEO上、暗号化されるサイトが重視されると言われています
暗号化するデメリット
今は導入の過渡期になると思うのでデメリットもあります。
- サイトそのものの改修や、外部環境の再設定が必要
- 常時SSLで快適に運用するにはサーバ側の高速化も検討
- 想定される利用者が極端に古いブラウザを使う場合
- Let’s Encryptに限っては新しいものなのでまだ問題点が見えにくい
今はデメリットの方が大きいかもしれませんが、Let’s Encryptによる周辺のサービス向上でかなりカバーされていくような気がします。wpXがいい例です。
wpXでの設定の流れ
実際に行ったwpXでの設定手順を書いておきます。
時間もなかったので準備をせず、どういう問題が起こるか確認しながら進めました。括弧内はその時の時刻。
- さすがに何が起こるかわからないのでバックアップは行います。データベースだけでなく、サイトデータも一応ダウンロードしました。
- 管理画面から設定変更（21:22）
すぐにはhttpsでの接続はできません。httpでは接続はそのまま可能です。ちなみにドメインの管理会社は外部の会社。ドメイン関連の操作はしていません。 - 少ししてhttpsでの接続を確認。（21:33）
Google Fontsが正しく表示されませんでした。CSSがhttp接続のままだったので、httpsに書き換えます。修正してもキャッシュのせいですぐには回復しませんが、新しいページを見に行くと修正が確認できます。 - SSL化補助機能（21:43）
wpXが用意してくれている補助機能。あくまでも補助ですが、機械的にできる全ての変更を自動で行えます。「.htaccess」にも編集が入るので、特に転送設定を変えている人には影響があるかもしれません。 - 記事内の画像がhttpで読み込まれる場合があるため修正。プラグイン「Search Rejex」を使ってうまく検索（抽出）しながら書き換えます。
- テーマ内のfunction.phpにて「http://」という記述があったので修正。
- 各ページ、ブラウザで正しく鍵マークが表示されるか確認します。
サイト内の修正はこれで完了（のはず）。
この後、サイト周りの設定を変更しました。
- Google Analytics（プロパティなどで「https」に切り替え）
- Google Search Console（新規サイトとして追加）
何も準備しない状態で１時間かからず設定できました。wpXすばらしい。
ちなみに、カラーミーショップも「shop-pro.jp」のサブドメインで運用している場合は暗号化できるようになりました。独自ドメインもいずれ対応されるようです。おそらくLet’s Encryptによるものだろうと思いますが、もしそうなら無料で運用できるはず。こちらも期待しています。
（参照：常時SSLでネットショップ運営をもっと安全に！ – カラーミーショップ ）