HTTPでフォーム送信するサイトにGoogleが警告を一斉送信、Chrome62から実装するセキュリティ警告に備えてHTTPS移行を促す

[レベル: 中級]

非 HTTPS (HTTP) のページでテキストをフォーム送信する要素を持つサイトを対象に、Google は先週末いっせいに警告メールを送信しました。

Chrome 62 から実装予定のセキュリティ警告

次のメールが Search Console 経由で届きます。

Chrome のセキュリティ警告を http://example.com に表示します

http://example.com の所有者様

2017 年 10 月より、ユーザーが Chrome（バージョン 62）で HTTP ページのフォームにテキストを入力すると、「保護されていません」という警告が表示されるようになります。また、シークレット モードを使用している場合は、HTTP ページにアクセスするだけで「保護されていません」と表示されます。

貴サイトでは、たとえば以下に示す URL に、Chrome の新しい警告が表示されるテキスト入力フィールド（< input type="text" >、< input type="email" > など）が見つかりました。これらの例を参考にどのページで警告が表示されるかを確認し、ユーザーデータを保護するための措置を講じていただきますようお願いいたします。なお、下の URL の一覧は、すべてを網羅したものではありませんのでご注意ください。

http://example.com/abc/
http://example.com/xyz/
http://example.com/

長期的には、HTTP で配信されるすべてのページを「保護されていません」と明示することを計画しており、この新しい警告はその一環です。

今年10月にリリース予定の Chrome 62 から、次に該当するページにセキュリティ警告のラベルを URL 欄に表示することを4月に Google は発表しています。

• HTTP でテキストをフォーム送信するページ
• シークレットモードでアクセスするすべての HTTP ページ

予定まで残り2か月になり、HTTPS 対応させることが通知の目的です。

HTTP ページに表示される「保護されていない通信」ラベル

HTTP ページにフォームが設置されていても初期状態では何も出ていません。

しかし、いったんフォームに文字を入力し始めると、「保護されていない通信」ラベルが URL 欄にニョロニョロっと出現します。

シークレットモードで HTTP ページにアクセスした場合は、最初から「保護されていない通信」ラベルが出ます。

【TIPS】
セキュリティ警告がどのように出るかは、Canary の chrome://flags#mark-non-secure-as で設定変更することで確認できます。

対処方法

警告が届いたとしたら、対処方法は2つあります。

1. HTTPS 移行

HTTPS へ移行するのが1つの対処方法です。

これがベストです。

警告メールの最後には次のように書かれています。

長期的には、HTTP で配信されるすべてのページを「保護されていません」と明示することを計画しており、この新しい警告はその一環です。

※強調は僕による

いずれは、すべての HTTP ページに警告ラベルが付きます。
つまり、HTTPS 移行は避けては通れない道なのです。

2. 無視

もう1つの対処方法は無視することです。

今回の通知は、あくまでも Chrome ブラウザの仕様変更です。
検索アルゴリズムの変更ではありません。

HTTP のままだとしても、クロールやインデックス、ランキングに悪い影響が出ることはありません（Google は 3年前からHTTPS をランキング要因にしているが、だからといって HTTP のページの評価を下げたりはしない）。

ラベルを見たユーザーが不安に感じ、滞在時間やページ閲覧数が減ったり直帰率が増えたりといった良くない影響が出ることは考えられます。
しかし、放置していても直接的な悪影響を検索には及ぼしたりはしません。

ユーザーのプライバシー保護もセキュリティも自分は気にしないし、PWA を実装する予定もない（PWA は HTTPS 必須）というのであれば警告を無視して、HTTPでのフォームを放置できます。

2つ目のオプションを選択するのももちろんありです。
そうは言えど、2か月での HTTPSへの移行がもし困難だったとしても、実行に着手することを僕は強く推奨します。