[0199] エックスサーバー（X server）常時SSL化の落とし穴!? httpからhttpsへリダイレクトする方法

エックスサーバ（X server）で常時SSL化したはずなのにサイトが保護されていない!?

みなさん、こんにちは。leon（@leon_sk4_22）です。私はActive4の運営に評判の良いエックスサーバー（X server）を利用しています。エックスサーバーは高速・多機能。それでいて低料金の為、使っているブロガーの方も多いレンタルサーバーです。

そんなエックスサーバーが2016年6月から独自SSL（https）を無料で提供してくれるようになりました。

最初は興味を示さなかった私も他の方のサイトが続々とSSL化していくのを見て『自分のサイトも、そろそろSSL化するか』と重い腰をあげたのが去年の10月のこと。

エックスサーバーでは簡単な設定方法もHPにアップされていたので手順通り進めて常時SSLを実装したつもりになっていました。

常時SSL化するとドメインのURLの左側は上の画像のように『保護された通信』や『南京錠のアイコン』などが表示されるようになります。

無事に常時SSL化を終えたと思っていたのですが、つい最近URLの左側に『！マーク』が表示される時があることに気付きました。アイコン自体をクリックしてみると上の画像のようなポップアップがあがってきます。

さらに『詳しく見る』をクリックしてみると

『!マーク』の意味は『情報、または保護されていない通信』だということが判りました。この内容からすると私のサイトのセキュリティ証明書は完全ではないらしい。

とりあえず、アドレスバーへ『https://active04.com』と打ち込みサイトへ移動してみると問題なくURLの左側に『保護された通信』と表示されました。

次に『http://active04.com』と打ちサイトへ移動すると今度は『!マーク』が表示されてしまいます。

現状、私のサイトは『https://』と『http://』のどちらのURLでもアクセス出来る状態になっていて当然『http://』でアクセスした場合はページの保護はされていません。

試しに常時SSL化された他の方のサイトで『http://』でアクセスすると一瞬『!マーク』が表示された後、すぐに『保護された通信』へ移行されました。

動きを見る限り『http://』でサイトへ入ろうとすると『https://』のURLへリダイレクト（転送）する動きをしています。

何故、私のサイトはリダイレクトされないのか不思議に思い調べてみました。

httpからのアクセスをhttpsへリダイレクト（転送）する方法

エックスサーバーのSSL化手順をよく見直してみると注意書きとして『webサイトの常時SSL化』というページが存在しました。内容としては独自SSLの設定を完了しただけの状態では『https』へのリダイレクト（自動転送）は行われず、「.htaccess編集」で記述を追加する必要があるとのこと。

では、実際に作業を進めていきましょう。

まずエックスサーバーの『サーバーパネル』にログインします。

①サーバーパネルにログインしたら左下の『設定対象ドメイン』から設定したいドメインを選びます。今回の場合は『active04.com』を選び『設定する』をクリック。

②次に『.htacces編集』をクリック。

【.htaccessの記述を変更する前の注意】

.htaccessは記述を変更・追記することでWebサーバーをディレクトリ単位で制御できリダイレクトやBASIC認証､404エラーページ等の作成を簡単に行えます。環境によっては記述を変更することで不具合が起こる可能性もあるので元の記述をコピーしてメモ帳にでも貼り付け保存しておいてください。変更後、動作に不具合が出た場合はコピーしたメモ帳を貼り付け直してあげれば元の状態に戻せます。

③画面が開いたら『.htaccess編集』タブをクリック。

④『リダイレクトする記述』を追加します。記述は『# BEGIN WordPress』の前に下記を追記しました。

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
</IfModule>

⑤『.htaccess編集する（確認）』をクリックするとアイコンが『.htaccess編集する（確定）』に変わるので再度、クリックすることで追記した内容が保存。作業はこれで完了です。

Chrome 68からhttpサイトに警告表示!? 常時SSL化は必須かも

記述を追加したあと『http://active04.com』とURLを打ち込み確認してみると見事にリダイレクト（自動転送）されるようになりました。これで一安心です。

今までは、『!マーク』の表示のみで済んでいましたが、googleは2017年7月にリリースするchrome68からは『httpサイト』に対して『保護されていません』と表示するという公式アナウンスを出しています。

今後のサイト運営は常時SSL化は必須になってくるかもしれませんね。