サブディレクトリインストールしたWordPressに、SSLサーバー証明書が適用されない

Question

ドキュメントルート・サブディレクトリそれぞれにWordPressをインストールしているのですが、両方ともhttps化するためにSSLサーバ証明書（クイック認証SSL/ワイルドカード非対応）を購入しました。

各WordPressは、以下のURLにてアクセスするようになっています。

・メインサイト(ドキュメントルート)
http://main.com/
・サブサイト（サブディレクトリ）
http://main.com/sub/

また、main.comに対してバーチャルホストを設定しております。

<VirtualHost *:80>
  ServerName main.com
  DocumentRoot /var/www/main/
  <Directory "/var/www/main/">
    AllowOverride All
  </Directory>
</VirtualHost>

以上の環境にて証明書を適用するために、httpd.confを以下のように変更いたしました。

<VirtualHost *:443>
  ServerName main.com
  DocumentRoot /var/www/main/
  SSLEngine on
  SSLCertificateChainFile /etc/httpd/conf/ssl.crt/chaincert.cer
  SSLCertificateFile /etc/httpd/conf/ssl.crt/ssl.main.com.crt
  SSLCertificateKeyFile /etc/httpd/conf/ssl.key/ssl.main.com.key
  <Directory "/var/www/main/">
    AllowOverride All
  </Directory>
</VirtualHost>

また、http→httpsへ301リダイレクトさせるために、各サイトの.htaccessに以下を記述しました。

メインサイト

RewriteEngine on
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://main.com/$1 [R=301,L]

サブサイト

RewriteEngine on
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://main.com/sub/$1 [R=301,L]

設定後、メインサイト（https://main.com/）は「保護された通信」となり証明書が正常に適用されました。

一方、サブサイト（https://main.com/sub/）にもアクセス出来るのですが、「このサイトへの接続は保護されていません」と正常に適用されていないようです。

ワイルドカード非対応の証明書でも、サブディレクトリのサイトも自動的にhttps化される認識だったのですが、何か設定が不足しているのでしょうか？

他にどのような情報をお伝えすれば良いか分からなかったのですが、ぜひアドバイスをいただければと思っております。

参考になるか分かりませんが、サブサイト（https://main.com/sub/）にアクセスすると、一瞬だけ「保護された通信」と表示された後に、リダイレクトされたような挙動となり、上記の通り「保護されていません」となってしまいます。

よろしくお願いします。

Answer 1

サブディレクトリだけ「このサイトへの接続は保護されていません」となるということで、サブディレクトリにインストールされたアプリケーション側の問題ではないでしょうか。

例えば、サブディレクトリの WordPress のテンプレートに http:// で始まる記述はないでしょうか。

デベロッパーツールの Network タブで確認してもよいかもしれません。

Comments

[退会済みユーザー]

ご回答ありがとうございます。
サブサイトではhttp通信している部分がありますので、Chromeの開発者ツールでエラーが出ている事は確認していました。
ただし、httpsとhttpが混在している環境でも、サーバ証明書自体が適用されていれば「保護された通信」と表示されると思い込んでおりました。
実際には、httpsとhttpが混在された環境では、サーバ証明書が適用されていても「保護されていません」となるようなので、それを適用されていないものと勘違いしておりました。

アドバイスありがとうございました。

[bezeklik]

なるほど状況は確認されていたんですね。

ちょうど今年に入ってからか Chrome で「保護された通信」と表示されるようになりましたが、これは Google による Always on SSL の啓蒙の一環と思われ、通信全体を暗号化する流れになっています。
ソースの一部に HTTP 通信が発生するようなリソース参照があると、その通信は一部が「保護されていない」通信になってしまうわけですね。

リダイレクト時のような挙動も、ソースをレンダリングしてから判断しているためかと思います。