今では誰もが当たり前のようにWebサイトを閲覧するようになりました。しかし、そのURLが「http://」や「https://」で始まっていることに疑問を持つ人は、意外に少ないかもしれません。最新のブラウザの多くは、「http://」で始まるURLにアクセスしようとすると警告画面を表示したり、アドレスバーの部分に「保護されていない通信」と表示したりします。セキュリティに厳格な一部のセキュアブラウザの場合、アクセスを拒否する（サイトを表示しない）こともあります。

そこで、今回はHTTPとHTTPSは何が違うのか、そしてHTTPSはどのように通信を保護しているかについて解説します。

HTTPとHTTPSは何が違うのか

HTTPとHTTPSはどちらWebサイトを表示するための仕組み（プロトコル）の名前です。

もともとWebサイトを表示させるためのプロトコルとして誕生したのは、「HTTP（Hyper Text Transfer Protocol）」です。一方の「HTTPS（Hyper Text Transfer Protocol Secure）」は、HTTPにおけるデータ転送のセキュリティを強化するために暗号化された仕組み。つまり、HTTPとHTTPSは異なるプロトコルというわけではなく、HTTPでやり取りされるデータが暗号化されているのがHTTPSです。

HTTPが開発された当時、やり取りされるデータは簡単な文や画像でした。ところが、インターネットが飛躍的に普及し、Webの技術がさまざまな分野で利用されるようになってくると、ツールがあれば簡単に覗き見や改竄が可能であるHTTPでは、セキュリティを確保することが難しくなっていきました。そこで新たに登場したのがHTTPSでした。

ブラウザのアドレスバーには、「http://」や「https://」を表示しない場合もありますが、chromeやEdgeなどのブラウザではURLの先頭に鍵のマークを表示しています。

HTTPSはSSL/TSLによる暗号化通信を行っている

HTTPSは「TLS（Transport Layer Security）」という暗号化プロトコルを利用しています。一般的にはSSL/TLSと表記されていることが多いため、プロトコルの名前がSSL/TLSと勘違いしている人もいるかもしれません。

SSLはもともと米Netscape社が開発した暗号化プロトコルで、最初のバージョンであるSSL1.0はセキュリティホールがあって公開されませんでしたが、SSL1.0を改良したSSL2.0が1994年にリリースされ、同社のブラウザである「Netscape Navigator 1.1」に実装されたことで、SSLは広く知られるようになりました。

その後、SSL3.0が1995年にリリースされましたが、現在ではSSLの後継プロトコルであるTLS がインターネットにおけるさまざまな標準規約を策定する団体であるIETF（Internet Engineering Task Force）から発表されるようになっています。なお、2023年10月現在の最新バージョンはTLS 1.3です。しかしながら、SSLという暗号化プロトコルの名称が広く知れ渡っていたこともあり、暗号化プロトコルの表記としてはSSL/TLSと書かれることが一般的になっています。そのため、「SSLによる暗号化通信」や「SSL通信」と呼ばれる通信は、そのほとんどが実際にはTLSによる暗号化通信です。

HTTPSだからと言って安全とは限らない

SSL/TLSによる暗号化通信は、「共通鍵暗号方式」「公開鍵暗号方式」という対になる2種類の鍵によって通信内容を暗号化し、「SSLサーバ証明書」によってアクセスするWebサーバの身元を証明します。ちなみに、暗号化プロトコルがTLSになっても、サーバ証明書は「TLSサーバ証明書」ではなく「SSLサーバ証明書」と呼ぶことが一般的です。

HTTPSを利用していても、暗号化通信を行っている相手が正しいとは限りません。この通信相手が正しいことを証明するのがSSLサーバ証明書なのです。

SSLサーバ証明書は、Webブラウザのアドレスバーの左端にある鍵のマークをクリックすることで内容を確認できます。Chromeの場合は「この接続は保護されています」 > 「証明書は有効です」をクリック、Microsoft Edgeの場合は「接続がセキュリティで保護されています」をクリック > 証明書のアイコン（「接続がセキュリティで保護されています」の右側）をクリックで、証明書ビューアが表示されます。

証明書の情報を見れば、「発行先」としてWebサイトの所有者、「発行元」としてSSLサーバ証明書の発行機関、「有効期間」としてそのSSLサーバ証明書の発行日と有効期限などを確認できます。逆に言えば、Webサーバの所有者は自分が暗号化通信をしたい相手ではない、証明書を発行している期間が信用できない、証明書の有効期限が切れているといった状態であれば、たとえHTTPSを利用しているWebサイトであっても安全とは言えません。

なお、WebブラウザはSSLサーバ証明書をきちんと検証しており、証明書に不備がある場合には「この接続ではプライバシーは保護されません」や「このWebサイトのセキュリティ証明書には問題があります」などの警告が表示されるようになっています。