Consoleから「サイトをSSL化(暗号化)しなさい」という警告メールが届きました。Consoleとは、ウェブ検索での自分のサイトの掲載順位などを調べるための無料ツールです。サイトSSL化(https化)をさらに重視、2017年10月から以前から言われていたのですが、Googleは今後より一層SSL化(https化)を重視するようです。届いたメールには以下のように書かれていました。ページのフォームにテキストを入力すると、「保護されていません」という警告が表示されるようになります。配信されるすべてのページを「保護されていません」と明示することを計画しており、この新しい警告はその一環です。”さらに、この問題を解決するには「HPPTSに移行しなさい」と提示されていました。配信し、ユーザーが入力した情報のみが収集されるようにしてください。サイト「パパやる」をSSL化(HTTPに移行)しました。パパやるはエックスサーバーで運営しているWordPressサイトです。今回は、ロリポップで運営している本サイト「Swingin’Thinkin’」の移行です。レンタルサーバー「ロリポップ」WordPressパパやる移行時と同じく、今回も「寝ログ」さんの記事を参考に進めました。素晴らしい記事をありがとうございます。【手順1】ロリポップ管理画面「ユーザー専用ページ」での設定方法ロリポップは、2017年7月11日からSSLの無料プランを解放しました。ここでは、その手順をお届けします。お申込み・設定」ページに表示されている、運営中のあなたのサイトのなかからSSL化したいサイトにチェックを入れます。「wwwなし」と「wwwあり」がある場合は、どちらもチェックします。「独自SSL(無料)を設定する」をクリック。クリックした直後にhttpsでアクセスすると、こんな画面が表示されました。反映されないので、しばらく待ちましょう。ロリポップのマニュアルには「SSL化は5分ほどで作業が完了する」と書かれています。僕は平日の午前中に作業を行ったのですが、確かに5分もかからないくらいでhttpsでアクセス可能になりました。元のhttpのアドレスでもアクセス可能です。【手順2】WordPressの設定方法WordPressの管理画面「ダッシュボード」にアクセスし、左側のメニューより「設定」>「一般設定」をクリックします。(URL)」のアドレスをhttps付きに書き換えます。ページ下の「変更を保存」をクリック。基本的には、ここまでで完了です。実はこれだけでは完璧ではないのです。......httpsでサイトを確認。Chromeでhttpsのアドレスでアクセスした画面です。SSL化の証明である鍵マークが表示されていません。ブラウザのキャッシュをクリアしても同じです。えぇっ、どういうこと!?これはサイト内に、httpのアドレスで指定された画像などがあるため、完全なhttp化とはいえないからなのです。実は、SSL化の面倒はここからなのです。【手順3】サイトを丸ごとダウンロード(バックアップ)まずは、念のためサイトを丸ごとダウンロードします。ロリポップには「バックアップ」のオプションサービス(月額300円)があるのですが、これを利用するのが便利で確実です。バックアップオプション管理画面にアクセスし、Webサイトとデータベース(MySQL)を丸ごとパソコンにダウンロードしておきましょう。*ロリポップのサーバーにバックアップデータが保管されているので、本当はダウンロードしなくても大丈夫です。念のためこれを機に、一度ダウンロードしておいても良いでしょう。「バックアップ」のオプションサービスに入って居ない場合は他社のプラグインを使うか、ロリポップのバックアップ・オプションサービスに申し込んでから作業を進める方が安心です。■関連リンクWordPressの全データをボタンひとつで完全バックアップするすごいプラグイン:Tanweb.netちなみに、ロリポップの「バックアップ」オプションへの申し込みは必須だと僕は考えています。自動的に過去7回分のデータをバックアップして保存してくれる機能なのですが、もしサイトを誤って消去してしまったり、ウイルス感染や不正アクセスでサイトが改ざんされてしまったりしても、過去のデータに戻すことができるからです。月額300円のみでダウンロードは無料です。Regex」というプラグインを新規追加し、有効化します。これは文字の書き換えツールです。記事内の「ぼく」を「僕」に一括変換することができます。ここでは、「http://サイトURL/」を「https://サイトURL/」に一括変換するわけです。欄に「https://あなたのサイトURL/」この2か所に記入し「Replace」をクリックします。Limit」から「100」に変更して試してみてください。Replaceをクリックすると、上の画像のように書き換え部分が赤字で表示されます。ここでは書き換えられていません。Save」をクリックします。これで書き換え完了です。Limit」で書き換えた場合は、すべて書き換えられていませんので、無くなるまで繰り返します。Regexを使い終わったら、プラグインを削除しておいた方がいいかも。いつここに脆弱性が見つかり、サイト改ざんなどの攻撃を仕掛けされるかわからないので。鍵付きにならないぞ!これでブラウザのURL部分に鍵マークが付くはず......と思ったら、まだ付いていない!Chromeのデベロッパーツールを使ってエラーが出ている部分を確認してみると、サイトのロゴや背景の画像が「http://サイトURL/xxx」のままになっていたのです。Regex」は記事などのコンテンツを書き換えてくれるだけですので、ロゴや背景、テーマやウィジェットで設定している画像などは、WordPressのダッシュボードで再設定しなおす必要があるのです。Adsenseが提供するサイト内検索(フォーム)のタグ(*1)もエラーの原因になっていました。他にも、アフィリエイトを導入している方は要注意です。カエレバ・ヨメレバというツールを使って設置したAmaon・楽天・Yahoo!ショッピングへのリンクタグ(*2)もエラーの原因になりました。同様にAmazonアソシエイトの昔のタグ(*3)や、amazletというAmazonのブックマークレットもNGのものがありました。アフィリエイトの昔のタグは結構怪しいですね(カエレバ・ヨメレバ、Amazonアソシエイトは、現在SSL化されています)。Regex」を使うと便利です。「http://ad.jp.ap.valuecommerce.com」→「//ad.jp.ap.valuecommerce.com」とにかく、鍵マークが出なくなるまで、地道に確認・修正を繰り返します。トップページや記事ページだけでなく、固定ページや昔の記事など、あらゆるページを確認してください。ここは正直、めちゃくちゃ面倒な作業でした!【余談】ロリポップのセキュリティ対策「WAF(ウェブアプリケーションファイアウォール)」をオンにしている場合は、WordPressの設定変更が保存できない場合があります。その時は一時的にオフにして作業を行い、終了後再びオンに戻しましょう。WAFのオンオフ設定は即座に反映されず、5〜10分ほど待つ必要があります。やった!【手順5】リダイレクト設定、.htaccessファイルを編集httpsにしたからといって、httpのページが消えて無くなるわけではありません。httpsとhttpのふたつのページが存在しているのです。そこでhttpでアクセスしたユーザーに対して、httpsページへリダイレクト(転送)をする設定を行います。これはサーバーにある「.htaccess」というファイルに、転送を指示するコードを書き加えるのです。手順としては、まずロリポップの管理画面から「FTP」にログインします。WordPressをインストールしているトップディレクトリにある「.htaccess」ファイルを開きます。この「.htaccess」に書かれているコードはとても重要ですので、誤って消したり、書き換えてしまわないよう、テキストファイルなどに内容をコピーしておきましょう。書き加えるコードは、以下の記事を参考にしました。■参考記事WordPressサイトにロリポップの独自SSL(無料)を設定する方法:Hovyshttpでアクセスし、httpsに転送されるかを試してください。転送されれば成功です。Analytics」を導入している方は、プロパティ設定の「デフォルトURL」を「http://」から「https://」に変更し、保存します。Consoleへの登録手順は、以下の記事がとても参考になります。■参考記事サイトのHTTPS化で必要となるGoogleサーチコンソールの再登録方法ここまでで、やっと作業完了です。他にもツールを使っている方は、それらの設定もしなおしてください。長年サイトを運営している人は、昔埋め込んだタグがSSL化できない原因になるなどで、かなりの面倒に直面する恐れがあります。いえ、SSL化はいつかはしないといけない道だと思います。時間に余裕があるときにチャレンジすると良いでしょう。サイトを始めたばかりの方や、あまりカスタムしていない方は、割とスムーズかと思います。次の記事大人の手足口病からの「慢性腰痛」が悪化。啓太郎10年間の音楽メディア編集長を経てフリーランスに。ウェブメディアが得意なライター、編集者です。テーマに、日々目の前を過ぎてゆく中で気づいた、アイデアの素ととなりそうなモノ・マチ・ヒト等の情報を蓄えておくプライベート・スペース。