その鍵マーク、本当に安全の証拠ですか？ SSLの仕組みを調べてみた

2026年10月14日 07:00

こんにちは。まなぶです。
ふだんはシステムエンジニアをしながら、noteの記事を書いています。
前回の記事「パスワードがなくなる日は来るのか。パスキーの仕組みを調べてみた」を読んでくださった方、ありがとうございます。

恥を忍んで言うと、アドレスバーの鍵マークを見て「鍵がついているから、このサイトは安全」と、ずっと単純に判断していました。

仕組みを知らないまま「鍵マーク＝安全」という合言葉だけを信じていたんだと思います。

今回は、鍵マークが本当は何を保証しているのかを、自分なりに調べてみます。

鍵マークが保証しているのは「暗号化」だけ

鍵マークは、SSL（正確には、その後継であるTLSという仕組み）によって、ブラウザとサイトの間の通信が暗号化されていることを示しています。

通信が暗号化されていると、入力した情報を途中で誰かに盗み見られても、中身を読み取られにくくなります。だから、ログインやカード情報の入力をするときは「鍵マークがあるか確認しましょう」と言われるわけです。

ただし、鍵マークが保証しているのは、あくまで「この通信が暗号化されていること」だけです。「このサイトの運営者が信頼できること」や「このサイトの中身が安全であること」までは、保証していません。

鍵マークを表示するには、サイト側が「SSL証明書」を取得する必要がありますが、この証明書にはいくつか種類があります。

今いちばん広く使われているのは「ドメイン認証（DV）」という種類で、これは「そのドメインを、申請した本人が管理している」ことだけを自動的に確認する仕組みです。運営者が実在する組織か、何をしているかまでは審査しません。

Let's Encryptのような無料の認証局を使えば、誰でも数分でこの証明書を取得できます。実際、"PayPal"という文字列を含むドメインに対して、無料のドメイン認証証明書が1万5千件以上発行され、その99%以上がフィッシング目的だった、という調査結果もあるそうです。

2018年、GoogleはChromeで「暗号化されていないサイトすべて」に警告を表示するようにしました。これをきっかけに、鍵マークを付ける「常時SSL化」が、ネット全体の標準になっていきました。

皮肉なことに、これは攻撃する側にも同じように広がりました。2026年第2四半期の調査では、フィッシングサイトのうち77.6%が鍵マーク（HTTPS）付きだったそうです。3年前は10%程度、1年前でも55%程度だったことを考えると、急激に増えています。

「鍵マークがあるから安全」ではなく、「鍵マークは、もはや攻撃する側も当たり前に付けてくるもの」になっている、ということです。

鍵マークを見て安心していた自分には、少し耳が痛い話でした。サイトのURLが本物か、入力を求められている情報が不自然ではないか、といった確認が、鍵マーク以上に大事なんだと思います。

最後まで読んでいただき、ありがとうございました。

サイトの鍵マークを見て、「安全だ」と判断したことはありますか？ ひと言でもコメントで教えてもらえるとうれしいです。