WordPressのSSL警告は、最初に警告が出るURLと文言を記録し、「証明書」「http素材の混在」「WordPress URL」「リダイレクト」の順に分けて確認します。 鍵マークがないという見た目だけで、同じ原因だと決めないでください。
この記事は、独自ドメインのSSL設定、公開ページの混在コンテンツ、管理画面へ入れない転送ループの入口です。設定を重ねず、どの段階でhttpsが成立していないかを選べるようにします。
警告文と対象URLを記録する
ブラウザのアドレス欄に出る文言、証明書の対象ドメイン、有効期限、発行者、問題が出るURLを記録します。個人情報やCookieを含む画面はそのまま共有しません。PCとスマートフォン、ログアウト状態でも同じかを確認します。
example.com
と
www.example.com
、サブドメインでは証明書の対象が違う場合があります。警告が出るホスト名を省略せず、正規URLと一致するかを見ます。
4種類の症状から入口を選ぶ
| 症状 | 最初の確認 |
|---|---|
| 証明書が無効・期限切れ | サーバーのSSL状態、対象ドメイン、時刻 |
| 一部ページだけ鍵が外れる | http画像、CSS、JavaScript、埋め込み |
| httpのまま開く | WordPress URL、転送、内部リンク |
| 転送が繰り返される | サーバー、WordPress、プラグインの転送重複 |
ブラウザの時計が大きくずれていると証明書警告になる場合もあります。複数端末で同じならサイト側、特定端末だけなら時計やセキュリティソフトも確認します。
鍵がないという一つの問題に見えても、証明書と記事内の画像では確認場所が違うんですね。古い記事だけなら、全体設定を変えなくてもよさそうで少し安心しました。
うん、影響範囲を分けられたね。証明書が正常なら、問題記事が読む素材を一つずつ見ればいいよ。
httpを全部httpsへ一括置換する方法も見ました。でも外部サイトのURLまで変えたら、画像が消えそうで怖いです。
一括置換を最初にはしないよ。自分のドメインか外部か、httpsで実際に開けるかを確かめ、対象を限定して直そう。
サーバー側で証明書の状態を確認する
契約中サーバーのSSL設定で、対象ドメインが有効、発行処理中、失敗、期限切れのどれか確認します。DNSを変更した直後は、サーバーがドメインを確認できず発行できない場合があります。ネームサーバーとDNSレコードの管理先を先に特定します。
発行済みでも、公開サイトが別サーバーへ向いていれば、その証明書は読者へ使われません。DNSの向き先、公開先、証明書を設定したサーバーが一致するかを確認します。
混在コンテンツをページ単位で直す
問題記事のHTML、画像URL、CSS背景、外部フォント、動画や地図の埋め込みに
http://
が残っていないかを確認します。ブラウザの開発者情報やサイト診断が示す具体的なURLを使い、推測で全データを書き換えません。
自分のメディア画像ならhttpsで開けることを確認してURLを直します。外部素材がhttps非対応なら、提供元の新しい埋め込み方法を使うか、素材の利用条件を確認して別の方法へ変更します。
httpからhttpsへ転送する設定が、サーバーとプラグインの両方にありました。念のため両方を有効にした方が強く守られるのかなって迷っています。
転送を重ねると行き先が輪になり、ページが開かなくなることがあるよ。どこで一回だけ転送するか決めよう。
有効にしてループしたら、管理画面にも入れなくなりますか。戻す設定画面が開けないのは怖いです。
起こり得るよ。変更前の設定とサーバー側の編集場所を残し、テスト後すぐ戻せる状態で一つだけ変えるんだ。
WordPress URLと内部リンクをそろえる
「設定→一般」のWordPressアドレスとサイトアドレスは、意味を確認せず変更しません。証明書が有効でhttps表示を確認してから、公式手順に従います。誤変更でログインできない場合に備え、サーバー側から戻す方法を確認します。
本文、メニュー、ロゴ、canonical、サイトマップのURLもhttpsへそろえます。旧http URLは一回の恒久転送で対応し、転送先が最終https URLへ直接届くかを確認します。
修正後の合格条件
- 対象ドメインの証明書が有効
- トップと代表記事がhttpsで開く
- http素材の警告が残らない
- httpから最終httpsへ過剰な転送なく移動する
- 管理画面へログインできる
- フォーム、画像、内部リンクが動く
- PCとスマートフォンで警告が出ない
ブラウザのキャッシュだけで直ったように見えないよう、別ブラウザと別回線でも確認します。証明書更新が自動の場合は、次回更新条件と失敗通知の受け取り先も確認してください。
新規サイトでSSL設定も比較する場合
これから独自ドメインを取得する人だけ、無料SSLとWordPress管理の確認先がまとまった環境を比較できます。既存の混在コンテンツは移転しても残るため、URL修正を優先します。
エックスサーバー
新規サイトで無料SSLの設定場所とWordPress管理を確認しやすい環境を比較したい人向けです。
向いている人： これから独自ドメインでWordPressを開設する人
利点： サーバー側SSLとWordPress設定の確認手順を整理しやすい
注意点： 警告原因が混在コンテンツや期限切れの場合、契約変更だけでは直りません。適用条件と更新料金も確認してください。
料金： 料金・特典は時期で変わるため公式ページで最新条件をご確認ください。
エックスサーバーの無料SSL対応を見る広告・PRを含みます。既存サイトでは、警告の原因を確認してから環境変更を判断してください。
鍵がないだけで全部同じと思わず、証明書、記事の素材、URL、転送に分ければいいんですね。古い記事のhttp画像から、対象を一つずつ確認します。
いいね。全体設定を急に変えず、問題があるURLへ近い場所から見られているよ。
転送を二重にせず、変更前の設定と戻す場所を残します。直ったあとも別ブラウザで鍵とフォームを確かめたいです。
それで大丈夫だよ。証明書を有効にし、読む素材をhttpsへそろえ、転送は一回にする。その順番なら警告の原因を見失わないんだ。
診断例：トップは安全で記事だけ警告が出る
証明書の対象ドメインと期限が正常なら、問題記事を複製せず、そのページが読む画像、CSS、JavaScript、埋め込みURLを確認します。記事本文で見つからない場合は、テーマの背景画像、ウィジェット、広告コードも調べます。特定したhttp素材をhttpsで直接開き、正常なら対象箇所だけを変更します。
診断例：証明書更新後に警告が出る
新しい証明書の対象名、有効期間、サーバーへ反映された時刻を確認します。CDNやプロキシを使う場合は、読者へ証明書を返している場所が別になるため、配信側の設定も照合します。端末の時計とブラウザを変えても同じかを確認し、失敗通知と更新ログをサポートへ渡します。
完了後の記録
修正したURL、警告文、原因となった素材または設定、変更前後の値、確認した端末を残します。次回の証明書更新日と通知先も記録し、再発時に同じ調査を最初から繰り返さないようにします。
未確認の端末やページがあれば、完了ではなく継続確認として扱ってください。
まとめ
WordPressのSSL警告は、警告文と対象URLを記録し、証明書、混在コンテンツ、WordPress URL、転送設定を分けて確認します。一括置換や二重転送を避け、一つずつ修正してください。修正後は別ブラウザとスマートフォンで代表ページ、管理画面、フォームを確認します。