ChromeのHTTP警告が全員に｜2026年10月発表、自社サイトの点検

ChromeのHTTP警告が、2026年10月21日のGoogleの発表で、全ユーザーの既定になりました。httpのままのホームページやネットショップをChromeで開くと、訪問者には接続する前に、続けてよいかの確認が出ます（許可したあとも、2週間以上訪れないと再び出ます）。この記事は2026年11月10日時点の内容で、自社サイトで確かめることを6つにまとめます。

ChromeのHTTP警告とは？2026年10月21日に何が発表されたのか

Googleは2026年10月21日、Chromeのセキュリティのブログで、Chromeが安全でないHTTP接続をする前に、利用者に明示的に許可を求める仕組みを公表しました。全ユーザーで既定になったという内容で、段階は発表済み・実施済みです。

この確認は、2026年の早い時期に、Safe Browsing（Googleの危険なサイトを見分ける仕組み）の「強化保護」を使っている人には先に有効になっていました。今回、それが全ユーザーに広がった形です。一度許可したHTTPサイトでも、その人が2週間以上そのサイトを訪れなければ、再び確認されます。

バージョン名についての注意です。2025年10月28日のGoogleの予告では、Chrome 154（2026年10月）で既定にするとされていました。一方、Chrome 154の公式リリースノートには安定版の公開日が2026年9月22日と書かれ、月がずれています。そのためこの記事では「Chrome 154から」とは書かず、日付は2026年10月21日の発表を根拠にします。

数字も押さえておきます。Googleの初期データでは、パソコン版Chromeの利用者の約95%は、週にHTTPの警告を1回も見ません。週に3回以上見る人は1%未満で、スマホ版はさらに少ないとされています。ただ、自社サイトがhttpのままなら、訪問者はその少数の「見る側」になります。Googleは「Webトラフィックの100%がHTTPSであるべき」と考えていると述べています。

そもそもHTTPとHTTPSの違いは？（基本のキ）

HTTPとHTTPSは、ホームページのデータをやり取りするときの約束事です。HTTPSは、データを暗号化して送受信し、通信の盗聴や改ざんから守る仕組みです（Googleの開発者向け解説）。見分け方は、アドレスバーのURLの頭が「http」ならHTTP、「https」ならHTTPSです。

例えば問い合わせフォームに、お客様が名前とメールアドレスを入れて送信するとします。ページがhttpsなら、その内容は暗号化されて送られます。httpのままだと、暗号化されません。

Chromeは、httpsを使っていないサイトで、アドレスバーに「保護されていない通信」と表示します（Chromeヘルプ）。今回の変更は、それとは別に、接続する前に続けてよいかを聞く点にあります。確認画面の文言はこの記事では書きません。ご自身の画面で確かめてください。

HTTPSで使う証明書（SSL証明書）には、有効期間の上限があります。業界の団体CA/Browser Forumの規則で、最大の有効期間は、2026年3月15日から200日、2027年3月15日から100日、2029年3月15日から47日へと段階的に短くなります。以前の最大は398日でした。

もう1つ、混在コンテンツ（httpsのページの中に、httpの画像・CSS・スクリプトが混じる状態）という言葉も覚えておきます。警告が出たり、読み込みがブロックされて表示が崩れたりする原因になります。

影響があるサイト、ないサイト

影響があるのは、インターネットに公開していて、URLがhttpで開くサイトです。会社のホームページ、問い合わせフォームのページ、ネットショップ、ブログが当てはまります。

影響がないのは、すでにhttpsで開くサイトです。また、公開の証明書を取れない画面も、既定では警告の対象外です。Googleの発表では、intranet/ のような単一の名前のホスト名や、192.168.0.1 のようなローカルIPが例に挙がっています。ルーターの管理画面などは、これに当たります。ただし、社内向けでも、会社のドメイン名をつけてhttpで開くシステムは、この対象外の例には入りません。なお、Chromeの設定には、非公開のサイトも警告する選択肢があります。

見分け方は3つです（公式の手順ではなく、準備としての提案です）。

・自社サイトのトップページを開き、アドレスバーに「保護されていない通信」と出ていないか見る

・URLの頭をhttpに書き換えて開き、httpsに移るか見る（下の①の設定はオフのままで）

・問い合わせフォームや購入ページでも同じように見る

httpのままだと、訪問者は接続する前に確認を求められます。どれくらい影響するかを示す数字は、Googleの発表にはありません。まず自社サイトで確かめます。

今やること6つ

① Chromeの設定で「常に安全な接続を使用する」をオンにして、自社サイトを開く

Googleは2025年10月の予告で、サイト運営者やIT担当者に、この設定を今すぐ有効にして、HTTPS化が要るサイトを見つけるよう強く勧めていました。パソコンのChromeで、右上のその他アイコン＞［設定］＞［プライバシーとセキュリティ］＞［セキュリティ］＞［安全な接続］と進み、［常に安全な接続を使用する］をオンにします。オンにすると、HTTPSを使うようURLがアップグレードされます。HTTPSに対応していないサイトでは、アクセスする前に警告が表示されます（Chromeヘルプ）。トップ、問い合わせフォーム、購入ページ、ブログ記事の順に開き、確認が出るページを控えます。

② httpで入っても、httpsに自動で移るか確かめる

この確認は、①の設定をオフにした状態か、別のブラウザで行います。①の設定がオンのままだと、サーバー側に転送の設定がなくても、Chromeが自分でhttpsに上げてしまい、正しく確かめられないためです。URLの頭をhttpに書き換えて開き、httpsに移れば問題ありません。移らない場合は、HTTPからHTTPSへ、301（恒久的な移転）のリダイレクトを設定します。Googleの開発者向け解説では、あわせて各ページにHTTPS版のcanonical（正規のURLを検索エンジンに伝える印）を置くとされています。サーバー会社や制作を頼んだ人には、「httpのアドレスを、httpsのアドレスへ301で転送してほしい」と伝えれば通じます。HSTS（以後はhttpsだけで接続させる設定）は、構成が安定してから有効にするのが順序です。

③ ページの中に、httpの画像やスクリプトが残っていないか確かめる

httpsで開けても、画像・CSS・スクリプトがhttpで読み込まれていると、混在コンテンツとして警告されたり、読み込みを拒否されたりします。ページを表示して、画像が欠けていないか、見た目が崩れていないかを目で見ます。サイト内のリンクは、相対パス（ドメイン名を省いた書き方）にすると、httpとhttpsの食い違いが起きにくくなります。

④ 名刺・SNS・Googleビジネスプロフィール・メール署名のURLを見直す

これは公式の手順ではなく、準備としての提案です。外に出しているURLの頭がhttpのままだと、お客様はhttpの入口から入ることになります。名刺の次の増刷、SNSのプロフィール欄、Googleビジネスプロフィール、メールの署名を、httpsのアドレスに書き換えます。

⑤ SSL証明書の期限と、自動更新かどうかを確かめる

最大の有効期間は、以前の398日から、2027年3月15日には100日まで短くなります。更新が手作業だと、その分だけ更新の回数が増えます。契約しているサーバー会社の管理画面かヘルプで、証明書の更新が自動か、手動かを確かめます。手動なら、次の期限の日付を控えて、カレンダーに入れておきます（ここは準備としての提案です）。

⑥ Shopifyの場合は、ドメイン管理で状態を見る

Shopifyは、追加されたドメインすべてに無料でSSL証明書を提供します。ただ、外部で取った独自ドメインをつないだ直後は、「SSL保留中」または「SSL利用不可」と表示されることがあります。その場合はDNS設定を確認し、発行まで最大48時間ほど待ちます。発行されると接続済みになり、URLの横に鍵のアイコンが出ます。48時間を過ぎても変わらないときの手順は、Shopifyのヘルプか、設定を頼んだ人に確かめてください。

ここまでの6つは、自分で確かめられる範囲です。サイトそのものの作りが古く、httpsへの切り替えが難しい場合は、作り直しも選択肢になります。

よくある質問

Q：Chromeで「保護されていない通信」と出るのはなぜですか？

A：そのサイトがhttpsを使っていないためです。データが暗号化されない通信だと、Chromeがアドレスバーに表示します。サイトの運営者に出る警告ではなく、訪問者の画面に出ます。

Q：ChromeのHTTP警告は、いつから出ますか？

A：Googleは2026年10月21日に、全ユーザーで既定になったと発表しました。Chrome 154からと書いた記事もありますが、予告の月とリリースノートの日付がずれているため、バージョンでは断定しません。

Q：社内システムやルーターの画面にも出ますか？

A：intranet/ のような単一の名前のホスト名や、192.168.0.1 のようなローカルIPで開く画面には、既定では出ません。会社のドメイン名をつけてhttpで開く社内システムは、この例に入りません。また、設定で非公開のサイトも警告する選択肢があります。

Q：一度許可したら、二度と出ませんか？

A：出なくなるわけではありません。その人が2週間以上そのサイトを訪れないと、再び確認されます。

Q：HTTPS化をすると、検索には有利ですか？

A：Googleは、HTTPSを検索品質のプラス要因として使っていると、開発者向けの解説に書いています。強さまでは書かれていません。検索のためというより、訪問者の画面で止められないための対応と考えるのが自然です。

まとめ

・2026年10月21日のGoogleの発表で、ChromeがHTTPサイトへ接続する前の確認が、全ユーザーの既定になった（2026年11月10日時点）。

・対象は公開されているhttpのサイト。httpsで開くサイトと、intranet/ のような単一の名前やローカルIPで開く画面は、既定では対象外。

・まず、Chromeの［常に安全な接続を使用する］をオンにして、トップ・問い合わせ・購入ページを開く。

・httpからhttpsへの301転送（確かめるときは上の設定をオフに）、ページ内のhttpの画像、名刺やSNSのURLも見直す。

・証明書の最大有効期間は、2027年3月15日から100日。更新が自動かを確かめる。

MIROCANA ECのサービス

MIROCANA ECでは、ホームページとネットショップの制作、Amazon商品画像の制作を、ココナラで受け付けています。今回の点検で、作り直しや新しく作る必要が見つかった場合は、次のサービスがあります。

出品の詳しい内容は、プロフィールからご覧いただけます。

https://coconala.com/users/5751880

参考にした情報（2026年11月10日時点）

・Google（Chrome Security blog）「Chrome Now Warns Before Insecure HTTP Connections」（2026年10月21日）

・Google「HTTPS by default」（2025年10月28日）

・Chrome Developers「Chrome 154 release notes」（安定版の公開日の表記は2026年9月22日）

・Google Chrome ヘルプ「Chrome の安全性とセキュリティを管理する - パソコン」（2026年11月10日確認）

・Google（開発者向けサイト）「Enable HTTPS on your servers」（2026年11月10日確認）

・Shopify Japan公式ブログ「SSLとは」（2026年10月5日）

・CA/Browser Forum「Baseline Requirements」と、SC-081v3の投票ページ（2025年4月11日）