HTTPとHTTPSの違い｜安全な通信をどう見分けるか

比較表で見る

この表だけで全部を判断するのではなく、「通信を守ること」と「サイトを信頼できること」は別の確認だと分けてください。

通常のWebサイトで選ぶ第一候補はHTTPSです。ログインや決済のときだけでなく、ページ閲覧を含む通信全体を守ります。

第53話「SSL/TLSは何を守る？」の安全確認所を入口に、HTTPのやり取り、TLSの保護、サイト自体の信頼確認を三つに分けて見ていきます。

イト

HTTPとHTTPSは、どちらもWeb通信の約束なの？

ピコ

HTTPSはHTTPのやり取りに保護を重ねた形だよ。安全確認所で、守るものと見分ける場所を分けよう。

どこを見分ければよいか

イトが買い物サイトを開いたとき、ピコは三つの場所を見るように言いました。

1. URLが https:// で始まっているか
2. ドメイン名が正しいか
3. ブラウザの警告が出ていないか

アドレス欄の接続状態表示は参考になりますが、それだけで判断しません。表示方法はブラウザや版によって変わります。似せたドメイン名、余計な単語、不自然な日本語、急がせる表示があれば、HTTPSでも立ち止まります。

安全確認所でたとえと実際を分ける

ピコルート・ラボでは、HTTPとHTTPSの違いを安全確認所で見ることにしました。HTTPは普通の受付で会話するようなもの、HTTPSは受付までの通路に見張りと鍵付きの封筒を足すようなものです。このたとえで、「会話の内容を守る」という方向はつかめます。

ただし実際には、見張りや封筒がいるわけではありません。TLSによる暗号化、証明書による接続先の確認、通信中の改ざん検知に関わる仕組みが使われます。だから説明するときは、たとえで入口を作ったあと、「実際にはTLSでHTTP通信を保護している」と戻すのが安全です。

特にフォーム入力やログインでは、次を分けて確認します。

• 通信はHTTPSで守られているか
• ドメイン名は正しいか
• ブラウザが証明書の警告を出していないか
• ページの内容や入力要求は自然か
• 急がせる文言や不自然な誘導がないか

この五つをまとめて見ると、HTTPSを過信せず、HTTPを単に古いものとして片づけずに済みます。

HTTPが出てくる場面

現在のWebではHTTPSが標準的です。それでも、学習や開発の場面ではHTTPという言葉をよく見ます。ローカル環境、社内検証、古い説明資料、HTTPステータスコード、HTTPヘッダーなどです。

つまりHTTPは「古くて不要な言葉」ではありません。Webのお願いと返事を理解するための中心語です。お願いする側と返す側の関係は、クライアントとサーバーで整理できます。安全な通信を学ぶ入口としてHTTPSがあり、通信の仕組みそのものを学ぶ入口としてHTTPがあります。

違いを説明するミニワーク

次の二文を完成させてください。

• HTTPは、ブラウザとサーバーが＿＿＿＿するための約束です。
• HTTPSは、その通信を＿＿＿＿しながら行う形です。

答えの例は、「お願いと返事をやり取り」「暗号化などで守る」です。さらに「HTTPSでもURL確認は必要」と添えると、現実の使い方に近づきます。

HTTPとHTTPSの確認クイズ

Q1. HTTPSはHTTPと無関係な別物ですか？

無関係ではありません。HTTPSはHTTPの通信をTLSで保護して使う形です。

Q2. HTTPSならサイトの中身もいつも正しいですか？

そうとは限りません。HTTPSは通信の保護に関わりますが、サイト内容の正しさまでは別に確認します。

Q3. 違いをさらに理解するには？

お願いと返事の流れを リクエストとレスポンスとは で見ると、HTTPの役割がはっきりします。

安全確認所を出る前に｜HTTPとHTTPS

ラボに戻ると、HTTPとHTTPSのために使ったお願いと返事を書いた作業票は机の上で静かに光っていました。ピコは今日の説明を一文に縮め、イトは「今度は隣の仕組みも見よう」とうなずきます。

HTTPとHTTPSをあとで思い出すなら、今日のメモは三つに絞ります。

• HTTPとHTTPSは何のための言葉か
• HTTPとHTTPSをお願いと返事を書いた作業票のたとえではどこに置けるか
• HTTPとHTTPSは実際の画面で何を確認すればよいか

いま開いているページのURLと接続状態の表示を確認し、「通信は保護されているが、内容の正しさは別に確かめる」と一文で残してください。ブラウザがその結果をどう表示するか知りたいなら、ブラウザとは へ進めます。