Webブラウザのアドレスバーには、http:// で始まるサイトと https:// で始まるサイトがあります。
鍵マークの有無くらいの違いだと思っている人も多いのですが、実際はそのサイトとのやり取りの中身を誰が読めるかという、もっと踏み込んだ話です。
この違いを一言でまとめると、こうなります。
HTTPは「会話のルール」、HTTPSはそこに「鍵をかけたルール」。
本記事では、HTTPとHTTPSの仕組みの違いと、その鍵をかけている正体であるSSL/TLSの役割を、たとえ話を交えて整理します。
HTTPは「絵はがき」——書いた内容がそのまま届く
HTTPを一言でたとえるなら、絵はがきです。
絵はがきは封筒に入れず、書いた文面がそのまま運ばれます。配達の途中で誰かが手に取れば、文面はそのまま読めてしまいます。
HTTPも同じ考え方で動いています。
- ブラウザが「このページをください」という依頼文（リクエスト）を送る
- サーバーが「これです」という中身（レスポンス）を返す
- このやり取りの文面は、暗号化されずそのまま流れる
Webページを表示したり、フォームのデータを送ったりする基本的な会話のルールがHTTPです。中身を隠すという発想は、もともとこのルールには含まれていません。
HTTPの欠点——盗み見も書き換えも防げない
絵はがきの文面を配達中の誰かが盗み見たり書き換えたりできてしまうように、HTTPの通信も同じ経路上の誰かに読まれたり改ざんされたりする余地があります。
公衆Wi-Fiでログインフォームを送信したとき、そのパスワードが平文のまま電波に乗っていると考えると、リスクの大きさが伝わるはずです。URLの中身も、フォームに入力した文字も、途中の機器を通れば同じように読み取れてしまいます。
HTTPSは「封をした書留」——中身を隠して届ける
HTTPSを一言でたとえるなら、同じ手紙を封筒に入れて封をした書留に変えたものです。
文面は封筒の中に隠れ、宛先に届くまで誰にも読めません。途中で封が開けられれば、それも受け取った側にわかる仕組みになっています。
HTTPSは、HTTPのやり取りに次の3つを足したものです。
- 内容を暗号化して、途中の誰かに読まれないようにする
- 内容が書き換えられていないかを検証できるようにする
- 通信相手のサーバーが本物かどうかを証明書で確認する
この「封をする」作業を実際に担っているのが、SSLとTLSという仕組みです。SSLが最初に使われた封のかけ方で、TLSはその後継として今も使われている現行のかけ方にあたります。名前は変わっても役割は同じなので、現場では今でも「SSL証明書」という呼び方がよく使われます。
HTTPSの欠点——証明書という荷物が増える
封をする作業には手間がかかります。HTTPSも同じで、証明書を取得し、期限が切れる前に更新し続ける運用が必要になります。
かつては証明書の取得に費用がかかることもネックでしたが、今は無料で自動更新できる証明書（Let’s Encryptなど）が普及しています。コストを理由にHTTPを選ぶ場面は、ほぼなくなりました。
比較表
| 観点 | HTTP | HTTPS |
|---|---|---|
| 通信内容 | 平文（暗号化なし） | 暗号化される |
| 支える仕組み | なし | SSL/TLS |
| URLの先頭 | http:// | https:// |
| 既定のポート番号 | 80 | 443 |
| 改ざんの検出 | できない | できる |
| 通信相手の証明 | できない | 証明書で確認できる |
| 運用の手間 | 少ない | 証明書の取得・更新が必要 |
どう使い分けるか
結論から言うと、公開するWebサイトで迷う余地はありません。すべてHTTPSにしましょう。
かつては「個人情報を扱うページだけHTTPS化すればよい」という考え方もありましたが、状況は変わりました。ブラウザはhttp://のページに「保護されていない通信」という警告を出しますし、検索エンジンもHTTPS化を評価の対象にしています。証明書の取得と更新を無料かつ自動化できる時代なので、HTTPのままにしておく理由はもう残っていません。
HTTPのままでよいのは、外部に公開しない開発環境やローカル環境で自分だけが動作確認する場合くらいです。本番公開の前には、HTTPSへの切り替えを必ず確認してください。
なお、鍵マークが付いていれば安心というわけでもありません。鍵マークが示しているのは「通信が暗号化されている」ことだけで、「サイトの中身が信頼できる」ことまでは保証しません。フィッシングサイトが鍵マーク付きで運営されていることも珍しくないので、鍵マークは通信経路の安全確認、サイト自体の信頼性は別の基準で見極める必要があります。
アドレスバーの鍵マークを見かけたら、「絵はがきではなく、封をした書留が届いている」と思い出してもらえれば、HTTPとHTTPSの違いはすっと理解できるはずです。