WordPressのSSL（HTTPS）化は、「サーバーでSSL証明書を有効にする」「WordPressのURL設定を https に変える」「http から https へ転送する」「ページ内に残った http の読み込みを直す」の4段階で進めます。ほとんどの作業はレンタルサーバーの管理画面とWordPressの管理画面で完結します。この記事では、各段階の手順と、順番を間違えたときに起きやすいトラブルの防ぎ方を説明します。
SSL化で何が変わるのか
SSL化すると、サイトのURLが http:// から https:// に変わり、読者のブラウザとサーバーの間の通信が暗号化されます。お問い合わせフォームやログイン画面で入力した内容を、途中で盗み見られにくくなります。
現在の主要なブラウザは、https になっていないページに「保護されていない通信」といった警告を表示します。読者に不安を与えないためにも、またGoogleも HTTPS をランキングのシグナルの一つとして扱っていることからも、今からサイトを運営するならSSL化は前提と考えてよい状況です。
作業の前に準備すること
バックアップを取る
URLの設定を書き換える作業を含むため、作業前にサイト全体（ファイルとデータベース）のバックアップを取ってください。設定を誤って管理画面に入れなくなった場合も、バックアップがあれば戻せます。
作業の順番を守る
いちばん多い失敗は、サーバー側でSSLがまだ使えない状態のまま、WordPressのURLを https に変えてしまうことです。こうすると管理画面にもサイトにもアクセスできなくなります。作業自体は難しくありませんが、「サーバーでSSLが使えることを確認してから、WordPressを変える」という順番だけは守ってください。
手順1：サーバーでSSL証明書を有効にする
国内の多くのレンタルサーバーでは、Let's Encrypt などの無料SSL証明書を管理画面から有効にできます。サーバーの管理画面で「SSL設定」「無料独自SSL」といった名前のメニューを探し、対象のドメインでSSLを有効にします。名称や手順はサーバー会社ごとに異なるため、サーバーのマニュアルに沿って進めてください（2026年10月現在）。
設定してから証明書が使えるようになるまでには、数十分から数時間ほどかかることがあります。ブラウザで https://あなたのドメイン/ を開き、警告が出ずにページが表示されれば準備完了です。この時点では、ページのデザインが崩れていたり、鍵マークに注意表示が出ていたりしても問題ありません。後の手順で整えます。
手順2：WordPressのURL設定を https に変える
- 管理画面の「設定」→「一般」を開きます。
- 「WordPress アドレス (URL)」と「サイトアドレス (URL)」の2つの欄の先頭を、
http://からhttps://に書き換えます。ドメイン部分は変えません。 - 画面下の「変更を保存」をクリックします。
保存するといったんログアウトされ、ログイン画面が表示されることがあります。新しい https のURLで、もう一度ログインしてください。
2つの欄が灰色で編集できない場合は、wp-config.php の中でURLが固定されています（WP_HOME と WP_SITEURL という定数）。その場合は、サーバーのファイルマネージャーで wp-config.php を開き、該当する行の URL を https に書き換えます。編集の前にファイルのコピーを取っておいてください。
なお、サーバーでSSLが有効になっていると、「ツール」→「サイトヘルス」に HTTPS への切り替えを案内する項目やボタンが表示されることがあります。表示されている場合は、そこから切り替えても構いません。
手順3：http から https へ301リダイレクトする
URL設定を変えても、古い http:// のURLでアクセスした読者や検索エンジンは http のページを見続ける可能性があります。http へのアクセスを https に自動で転送する「301リダイレクト」を設定します。
まず、サーバーの管理画面に「常時SSL化」「HTTPSへ転送する」といった設定がないかを確認してください。サーバー側の設定でできる場合は、それを使うのがいちばん安全です。
サーバー側に設定がなく、Apacheのサーバーを使っている場合は、WordPressのフォルダにある .htaccess の先頭（# BEGIN WordPress の行より上）に次の内容を追加します。
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L].htaccess は1文字の誤りでサイト全体がエラーになることがあるファイルです。編集の前に元のファイルをダウンロードして保存し、問題が起きたらすぐ元に戻せるようにしておきます。
追加した後は、ブラウザのアドレス欄に http:// から始まるURLを入力し、自動で https:// に切り替わるかを確認します。
CDNやロードバランサーを経由している環境では、この書き方だとサーバーが https のアクセスを判別できず、「リダイレクトが繰り返し行われました」というエラーになる場合があります。その場合はいったん追加した行を削除し、サーバー会社やCDNのSSL設定を確認してください。
手順4：混在コンテンツ（Mixed Content）を直す
https のページの中に、画像やCSS、JavaScriptを http:// で読み込んでいる部分が残っていると、ブラウザは「混在コンテンツ」として扱い、鍵マークに注意表示を出したり、その読み込みを止めたりします。SSL化した直後の記事では、過去に本文へ挿入した画像のURLが http のまま残っていることがよくあります。
確認のしかた
- 記事を開き、アドレスバーの鍵マークに注意表示が出ていないかを見ます。
- パソコンのブラウザで開発者ツールを開き、コンソールに「Mixed Content」という警告が出ていないかを確認します。
直しかた
記事数が少なければ、該当する記事を編集して画像を入れ直すことでも直せます。記事が多い場合は、データベース内の http://あなたのドメイン を https://あなたのドメイン に一括で置き換えるプラグイン（例：Better Search Replace）を使うと効率的です。
一括置換はデータベースを直接書き換える操作で、誤ると元に戻せません。作業の前にバックアップを取り、多くのプラグインに用意されている「テスト実行（実際には書き換えずに件数だけ確認する）」を先に行ってから本番の置換に進んでください。
テーマやプラグインの設定画面に、ロゴや背景画像のURLが http のまま登録されていることもあります。カスタマイザーやテーマの設定も一通り見直します。
SSL化した後に確認すること
- サイトの主要なページ（トップ、記事、固定ページ、お問い合わせ）を https で開いて表示を確認する
- お問い合わせフォームから送信テストを行う
- Google Search Console に https のサイトが登録されているかを確認し、サイトマップを送信し直す
- SNSの共有ボタンやアクセス解析ツールの設定にあるサイトURLを https に更新する
SSL証明書には有効期限があります。無料SSLは多くの場合サーバー側で自動更新されますが、ドメインの設定を変えた後などに更新が止まることもあるため、ときどき鍵マークの状態を確認しておくと安心です。
まとめ
- SSL化は「サーバーで証明書を有効化」→「WordPressのURLを https に変更」→「301リダイレクト」→「混在コンテンツの修正」の順に進めます。
- サーバーでSSLが使えることを確認する前にWordPressのURLを変えると、管理画面に入れなくなるので順番に注意します。
.htaccessの編集やデータベースの一括置換の前には、バックアップを取ります。- 作業後は主要ページ・フォーム・Search Consoleを確認し、証明書の自動更新が続いているかもときどき見ておきます。