Really Simple SSL（Really Simple Security）でWordPressをHTTPS化する手順と注意点

Really Simple SSLは、WordPressのサイトをHTTPからHTTPSに切り替える作業を、管理画面から行えるようにするプラグインです。2026年10月時点では、セキュリティ機能を加えて「Really Simple Security」という名前で配布されています（プラグインのスラッグは今も really-simple-ssl です）。

このプラグインはSSL証明書そのものを用意するものではありません。サーバー側で証明書を有効にし、https:// でサイトが表示できる状態にしてから使います。プラグインが行うのは、WordPressのURL設定の切り替え、HTTPからHTTPSへのリダイレクト、ページ内に残った http:// の読み込みの書き換えなどです。

作業前に確かめること

証明書がサーバーで有効になっているか

レンタルサーバーなら管理画面で無料SSL（Let's Encryptなど）を有効にし、自分で管理するサーバーならcertbotなどで証明書を取得します。設定後、次のコマンドでHTTPSの応答が返ることを確かめます。

curl -I https://example.com/

HTTP/2 200 や HTTP/1.1 200 OK が返れば準備ができています。証明書のエラー（SSL certificate problem など）が出る場合は、プラグインを入れる前にサーバー側を直します。自分のサーバーで証明書を取る手順はLet's Encrypt（certbot）でSSL証明書を取得する方法を参照してください。

バックアップ

プラグインは有効化の操作で、データベースの「WordPressアドレス（URL）」「サイトアドレス（URL）」のほか、設定によっては .htaccess や wp-config.php を書き換えます。作業前に、ファイルとデータベースのバックアップを取っておきます。

手順1: プラグインをインストールして有効化する

管理画面の「プラグイン」→「新規プラグインを追加」で「Really Simple Security」を検索し、インストールして有効化します。WP-CLIが使える場合は次のとおりです。

wp plugin install really-simple-ssl --activate
wp plugin list --name=really-simple-ssl

2026年10月時点のバージョンは9.8系で、WordPress 6.6以上・PHP 7.4以上が必要です。

手順2: 案内に沿ってSSLを有効にする

有効化すると、初期設定の案内（オンボーディング）が表示されます。プラグインが証明書を確認し、問題がなければSSLを有効にするボタンを押して切り替えます。案内を閉じた後の設定は、管理画面の左メニューに追加される「Security」から開けます（URLは /wp-admin/admin.php?page=really-simple-security）。

WP-CLIでも有効にできます。

wp rsssl activate_ssl

SSLを有効にすると、主に次の変化があります。

手順3: 切り替えの結果を確かめる

HTTPのURLが1回の301でHTTPSに転送されるかを確かめます。

curl -I http://example.com/
# HTTP/1.1 301 Moved Permanently
# Location: https://example.com/

WordPressのURL設定も確認します。

wp option get home
wp option get siteurl

ブラウザでは、トップページと代表的な記事を開き、アドレスバーに警告が出ていないこと、開発者ツールのコンソールに Mixed Content の警告が出ていないことを見ます。

手順4: 本文に残った http:// を置き換える

プラグインの混在コンテンツの書き換えは、表示のたびに出力を置き換える仕組みです。データベースの本文には http:// のまま残っているので、プラグインを停止すると元に戻ります。恒久的に直すには、バックアップを取ってから本文のURLを置き換えます。

# まず件数だけ確認する
wp search-replace 'http://example.com' 'https://example.com' --skip-columns=guid --dry-run

# 問題がなければ実行する
wp search-replace 'http://example.com' 'https://example.com' --skip-columns=guid

guid 列は投稿の識別子として使われるので書き換えません。テーマやウィジェットに直接書いた画像のURL、外部サービスの埋め込みコードも確認します。混在コンテンツの探し方はWordPressの混在コンテンツ（Mixed Content）を直す方法を参照してください。

無料版と有料版の範囲

2026年10月時点の公式ページでは、HTTPSへの切り替え、301リダイレクト（PHPまたは .htaccess）、混在コンテンツの書き換え、Cookieのsecure属性などが無料版に含まれます。混在コンテンツを一覧で探すスキャン機能と、HSTS（プリロードの設定を含む）は有料版（Pro）の機能です。HSTSはサーバーの設定でも追加できます。

このプラグインはSSLのほかに、ログイン試行の制限や二要素認証などのセキュリティ機能も持っています。使わない機能は無効のままでかまいません。なお、2024年11月にはバージョン9.0.0〜9.1.1.1の二要素認証の機能に認証を回避できる脆弱性（CVE-2024-10924）が見つかり、9.1.2で修正されています。プラグインは最新版に更新して使います。

うまくいかないとき

リダイレクトが繰り返される

「リダイレクトが繰り返し行われました」と表示される場合は、プラグイン以外にもリダイレクトがかかっていないかを確かめます。よくあるのは次の組み合わせです。

• サーバーの管理画面の「常時SSL化」と、プラグインのリダイレクトの両方が有効になっている
• CloudflareのSSL/TLSの暗号化モードが「Flexible」で、Cloudflareからサーバーへの通信がHTTPになっている（サーバーに証明書を入れたうえで「Full (strict)」に変える）
• .htaccess に、以前に自分で書いたHTTPSへのリダイレクトが残っている

詳しくはERR_TOO_MANY_REDIRECTSの直し方を参照してください。

管理画面に入れなくなった

WP-CLIが使えるなら、次のコマンドでSSLの設定を戻せます。

wp rsssl deactivate_ssl

WP-CLIが使えない場合は、FTPやサーバーのファイルマネージャーで次の順に戻します。

1. wp-content/plugins/really-simple-ssl のフォルダー名を変えて、プラグインを止める
2. .htaccess を開き、「Really Simple」の名前が入ったコメントで囲まれたリダイレクトの記述を削除する
3. wp-config.php に、プラグインが追加したコメント付きの記述があれば削除する
4. 必要なら、データベースの wp_options テーブルの home と siteurl を http:// に戻す

二要素認証やログイン試行の制限で締め出された場合は、wp-content に空のファイル rsssl-safe-mode.lock を置くと、その間はファイアウォール・二要素認証・ログイン試行の制限が止まります。作業が済んだら削除します。

プラグインを停止するとき

「インストール済みプラグイン」で停止すると、HTTPSのまま停止するか、HTTPに戻して停止するかを選ぶ画面が出ます。HTTPSのまま停止した場合、URL設定と .htaccess のリダイレクトは残りますが、混在コンテンツの書き換えは止まります。停止する前に、手順4で本文のURLを置き換えておきます。.htaccess を使わずにPHPでリダイレクトしていた場合は、サーバー側でHTTPSへのリダイレクトを設定し直す必要があります。

まとめ

Really Simple SSL（Really Simple Security）は、サーバーで証明書を有効にした後の切り替え作業を受け持つプラグインです。作業前に curl -I https:// で証明書を確かめてバックアップを取り、有効化後はHTTPのURLが1回の301でHTTPSに転送されるかと、混在コンテンツの警告が出ないかを確かめます。本文に残った http:// は wp search-replace で置き換えておくと、プラグインを停止しても表示が崩れません。HTTPS化の全体の流れはWordPressをHTTPS化する手順も参照してください。