【Webサイト】httpsがないサイトはどうやって作られていますか？

Question

Webサイトの中にはhttpsがない（暗号化されていない）ものがありますが、それらのサイトはどのように作られていると考えられますか？　今、とあるサイトを見ていたのですがそのサイトがhttpsがついておらずどのように作られたか（公開されたか）気になったので質問しました。そのサイトは独自ドメインはついてることは確認しています。

私の予想→しっかりしたレンタルサーバー借りたらhttpsはつきますよね？そう考えると無料のレンタルサーバーを使ったのかなと思っています。

Answer 1

有料のレンタルサーバでも勝手に https://〜 になることはないと思いますよ。ドメインの手続きは必要になりますし、証明書の発行も一手間は必要だったりします。説明通りにボタン押すくらいで全然難しくないですが、その辺のことをあまりシビアに考えてない人はやらないのだと思います。

Answer 2

しっかりしたレンタルサーバー借りたらhttpsはつきますよね？

それって、「共用レンタルサーバー」つまり、自分でOSやWebサーバーを管理することなく、そのあたりは全部サーバー会社に任せて、特定のディレクトリー以下だけ間借りして使うという場合の話ですよね？

自分でOSを構築して、自分でウェブサーバーをインストールして起動している場合は、SSLにしようとすると、自分でSSL証明書を発行してもらう申請をして有料ならお金を払って、ウェブサーバーにその証明書を設定してなどの作業が必要です。まあ、知っていればそこまで大変なことではないですが、未経験なら勉強から始めないと。「このサーバーだとSSLじゃなくていいな」と思ったら手を抜きたいのが人間です。

またSSL証明書は期限があるので、定期的な作業も発生します。無料のLet's Encryptだと3ヶ月ごと。有料だと昔は2-3年だったと思いますが、今は13ヶ月のようで、いずれは3ヶ月になるかもという話も聞いたことあります。この証明書更新作業を忘れると、ウェブサーバーにアクセスできなくなります。そこそこの企業でもたまに更新ミスをやって数日間アクセスできなくなってますね。
作業は自動化が可能ですが、「自動化するという設定」をしないといけないし、更新時期に「自動更新が成功したかエラーで失敗したか」の確認は必要です。また、サーバー構築から設定から定期更新から全部を外部委託することも可能ですが、お金も手間も掛かります。

ということで、SSLじゃない方が「楽だから」でしょう。
特に昔からあるサイトだと10年20年を非SSLでやってきたわけで、わざわざ手間を掛けてまで、今SSL化の必要性を感じてないところが多いのかと思います。まあ、OSや各種ソフトは定期的に更新しているはずなので、いずれはどこかでSSL化を考えるのでしょうけど。

Comments

[utm.]

もしかしたらドメインの取得とSSLの取得をごちゃ混ぜにしているかもしれません。

以下は余談というか合わせて確認しておきたい内容ですが
ちなみに10年も保守されていない(あるいは管理がずさんな)サイトはドメインが乗っ取られて詐欺サイトになっている可能性もあり、ユーザーにとって危険な可能性もあります。

[otn]

> もしかしたらドメインの取得とSSLの取得をごちゃ混ぜにしているかもしれません。
どうなんですかね。質問からダイレクトにそのようには読み取られません。
共用レンタルサーバーを借りて、ボタンクリックポチポチでやるケースのことを言ってると思うので、
ドメインがレンタルサーバー会社の物か、独自ドメインかはあまり関係ない気がします。

> ちなみに10年も保守されていない(あるいは管理がずさんな)サイトは
「非SSL」＝「保守されてない/管理がずさん」という趣旨ですか？
仮にそういう趣旨でも、それはまた別の話で、今回の質問とは関係ないのではないですか？

[utm.]

SSLの認証が切れたところでサイトにアクセス出来なくなるということはないとは思うので、誤認しているのではないかという趣旨の回答への補足でした。

大きなお世話であれば失礼しました。
謝罪申し上げます。
申し訳ございません。

[otn]

ブラウザで見る場合、SSL証明書の期限が切れると、不正な証明書かもしれないという意味の画面になって、「それを承知の上で接続する」という意味のリンクをクリックしない限りアクセスできないので、「アクセスできない」と書きました。
「それを承知の上で接続する」でアクセスできるんだからアクセスできるでしょ？という指摘ならその通りです。そうするのが世間一般で普通なんですかね？であれば私の認識不足ですが、そうなるとSSL要らないじゃんと思っちゃいますね。
クライアントがブラウザでない場合は、そのプログラムにSSL証明書の確認をしないというオプションがあって、ユーザーがそれを知っていればアクセスできますね。

私が書いたは、放置してるのじゃなくて維持管理はちゃんとしているというサイトについて、SSL化すると期限切れしないように含めて、こんな追加の手間が掛かるという説明なので、万が一期限が切れたの時の状況を詳しく説明するつもりは無かったです。管理者はそんな状態を望んでないので、手間は必要です。
本筋じゃないところを詳しく書きすぎるとわかりにくくなると思いました。

[sirayu]

回答ありがとうございます。お二人のやり取りも含めてとても参考になりました。

[utm.]

回答に不満があるわけでも、過不足があると指摘している訳でも無いです。
私の補足が混乱をきたすものであれば申し訳ありません。
(返信欄は他人が補足するためのものでもあるような認識なのですが、このサイトの詳しいルールを知らないので回答者さんに誤解させてしまったものと私の方では認識しています)

個人的には「SSLの認証が切れたことでサーバーにアクセスできない」という回答は誤解を招くような表現であろう認識は覆らないので、補足に関して特に後悔はありません。

回答者さんが引っかかるとは思ってもみなかったので、断っておきますが
こういったやり取りをする意図は当方ありませんでした。
すみませんでした。

「余談というか合わせて確認したい内容」というのが同じ文脈のように感じさせてしまったものかと思いますが、こちらはパブリックに向けたものでありなんの他意もございません。個人的に自身も回答しているのでそっちでやるかも悩みはしましたが、ほかの方々が追加で補足等を行う場合分散しているとぐちゃぐちゃになりそうだったので、まとめた次第です。

こちらの意図としては特に議論したいわけでもなんでもないので、繰り返しになりますがすみませんでした。

[otn]

いえ、「よいアドバイス」と思っています。ありがとうございます。

本筋でないところにも正確性を保つとなると、「ブラウザにこれこれの内容の画面が出て、～～～」などと、記述が長くなって（しかもブラウザによっても文章違うだろうし）、本筋じゃない部分に注意が取られてしまうのを防ぐという意図でした。
そういうケースでは時々は「(注)」とか書いて、末尾に、「（注)この部分は正確には～～～」と書いたりもするのですが、今回はそこまでする必要も無いと思いました。ただ、確かに今回の質問と関係なく、「SSL証明書の期限が切れたらどうなるか」に関心のある人がこの回答を見ると誤解を与えるので、コメントのやりとりで補足できて良かったと思っています。

今回の回答では、サボらず「（注）この部分は正確には～～」を末尾に書いておくのが良かったと思います。
今から追記すると、コメントのやりとりが意味不明になるので、止めておきます。

Answer 3

単に、「常時HTTPS」が普及する前からのサイトの仕組みを引き継いでいる、というだけの事情ではないでしょうか。

Answer 4

httpsはサーバ証明書とドメインを紐付け公開しますが、
httpはその紐付けをせずに単にサーバーを公開します

Answer 5

[香車]東上☆Aho(英帆)☆海美「
http なサーバーを使えば http だし、https なサーバーを使えば https です。

無料のレンタルサーバーを利用しています。
金勘定(キャッシュカードのやりとり等)をしているわけではないので、http でいいのでは ?
」