買い物の支払い画面で、アドレスの左あたりを目で探したことはないでしょうか。「鍵マークがあれば安全」と、どこかで教わった記憶があるからです。
鍵マークというのは、アドレスの左に出る小さな南京錠の絵のことです。
ところが探しても見つからない。壊れているのだろうか、と手が止まります。
あるいは、届いたメールやSMSのリンクを開いたら「保護されていない通信」と出て、あわてて閉じた。そんな場面かもしれません。
実は、Google Chrome では鍵マークは表示されないと、公的な資料が説明しています。しかも、鍵マークが出るブラウザで鍵マークが出ていても、それは「このサイトは信用できる」という意味ではありません。
鍵マークが示しているのは、通信の中身が途中で読まれないことだけです。相手が本物かどうかは、まったく別の話なのです。
鍵マークは探さなくてかまいません。ブラウザによっては、そもそも出なくなっています。
見るのはドメイン名です。アドレスの「https://」の右から、最初の「/」までの部分。ここが、フィッシング対策協議会のガイドラインが「安全性を判断するために最も重要な要素」としているものです。
ただし、読めば必ず見破れるわけでもありません。だから、よく使うサービスは入口をいつも同じにしておくのがいちばん効きます。理由をこの記事で解説します。
いま、その画面の前にいるなら——メールやSMSのリンクから来たのなら、いったん閉じてください。自分でブックマークか公式アプリから開き直してから、続きをします。
この記事では、ITやネットワークの知識がない方でもわかるように、鍵マークが本当は何を保証しているのか、なぜ偽サイトにも鍵マークが付くのか、そして鍵マークの代わりにアドレスのどこを見ればよいのかまでを解説していきます。
目次
鍵マークは「安全なサイト」の印ではない
まず、いちばん意外なところから始めます。
鍵マークが「安全の印ではない」と言っているのは、ブラウザを作っている側です。
Chrome の開発チームは、鍵マークを別のアイコンに置き換えると発表したAn Update on the Lock Icon（Chromium Blog・2023年5月2日）で、鍵マークはサイトの信頼性を示すものではないと書いています。原文はこうです。
we know that the lock icon does not indicate website trustworthiness
「鍵マークはサイトの信頼性を示すものではない、と私たちは知っている」という意味です。作った側が、読者の理解とのズレを認めているということになります。
同じ記事によると、2021年に行った調査で鍵マークの正確な意味を理解していた参加者は11%でした。これは Chrome 自身が行った調査の数字です。
実際、Chrome のヘルプはいま、アドレスの左のアイコンを「デフォルト（保護されている）」などと呼んでおり、「鍵」という語をどこにも使っていません。日本の公的な資料も、それを前提に書いています。利用者向けフィッシング詐欺対策ガイドライン 2026年度版（フィッシング対策協議会）は、ブラウザごとの違いをこう書いています。
Microsoft Edge、Safari では「https://」のサイトではドメインの左に鍵マークが表示されます。
Google Chrome 「https://」のサイトでは鍵マークは表示されません。一方で「https://」で暗号化されていないサイトにアクセスすると「保護されていない通信」と表示されます。
| ブラウザ | 「https://」のサイトでの見え方（同ガイドラインの説明） |
|---|---|
| Microsoft Edge ／ Safari | ドメインの左に鍵マークが表示される |
| Google Chrome | 鍵マークは表示されない |
つまり、「鍵マークが無いから危ない」とも一概には言えません。Chrome のように、そもそも鍵マークを出さないブラウザがあるからです。
逆に、いつも鍵マークが出ている Edge や Safari でそれが出ていないなら、そこには意味があります。同じ画面でも、ブラウザによって読み方が変わるということです。
鍵マークの代わりに、Chrome には何が出ているのか
鍵マークが消えたなら、その場所には何があるのでしょうか。Chromium Blog は、パソコンと Android について、置き換え先の名前をこう書いています。
we will be replacing the lock icon in Chrome with a variant of the tune icon
「Chrome の鍵マークを、tune アイコンの一種に置き換える」という意味です。tune というのは、設定や調整を表すときによく使われる絵柄のことです。
同じ記事は、その絵柄を選んだ理由を3つ挙げています。「信頼できる」を意味しないこと、押せることが分かりやすいこと、設定や操作を表す形として広く使われていること。
この置き換えは、2023年9月に出る Chrome 117 で始まると同じ記事が告知したものです。ある日いきなり自分の画面だけ変わった、という話ではありません。
⚠ iPhone・iPad の Chrome は扱いが違います。同じ記事は、iOS では鍵マークは押せないので完全に取り除く、としています。置き換えではなく、削除です。
つまり、パソコンと Android の Chrome では、いまその位置にあるのは「安全の印」ではなく「サイトの設定を開くボタン」です。Chrome のヘルプ（パソコンのページ）は、そのアイコンを選ぶと「サイトのプライバシー、Cookie とサイトデータ、サイトの設定、ページに関する情報の概要」が見られると案内しています。
⚠ この記事では絵柄の形そのものは扱いません。覚えてほしいのは、その位置にあるものが安全の証明ではなくなったということだけです。
アメリカの捜査機関も、鍵マークや https があるというだけで信用してはいけないと2019年の時点で公表しています。Cyber Actors Exploit ‘Secure’ Websites In Phishing Campaigns（FBI / IC3・2019年6月10日）の推奨事項の4番目です。
Do not trust a website just because it has a lock icon or “https” in the browser address bar.
「アドレスバーに鍵マークや https があるというだけで、そのサイトを信用してはいけない」。ブラウザを作る側も、捜査する側も、同じことを言っているわけです。
鍵マークが保証しているのは、通信の中身が読まれないこと
では、鍵マークはまったくの無意味だったのでしょうか。そうではありません。意味はあるが、意味の範囲が思われているより狭いのです。
同じ Chromium Blog が、鍵マークは通信の経路が守られていることを示すためのものだと、本来の意味を書いています。
The lock icon is meant to indicate that the network connection is a secure channel between the browser and site and that the network connection cannot be tampered with or eavesdropped on by third parties
「鍵マークは、ブラウザとサイトのあいだの通信が守られた経路であること、その通信が第三者に改ざんも盗み見もされないことを示すためのものだ」という意味です。
言い換えると、鍵マークが答えているのは「途中で読まれないか」という質問だけです。この暗号化のしくみそのものについては、別記事で解説しています。
守っているのは「経路」であって「相手」ではない
手紙にたとえると分かりやすくなります。
鍵マークは、誰にも開けられない封筒に入れて送っていることを示しています。配達の途中で中身を読まれる心配はありません。
けれど、封筒がどれだけ丈夫でも、宛先が詐欺師の住所なら意味がありません。中身は誰にも読まれずに、詐欺師の手元へ確実に届くだけです。
答えている：この通信は、途中の誰かに読まれたり書き換えられたりしないか
答えていない：この画面の向こうにいるのは、自分が思っている会社か
これは筆者の解釈ではありません。Chrome のヘルプサイトの接続が安全かどうかを確認する（Google Chrome ヘルプ）は、いちばん安全な状態（さきほどの「デフォルト（保護されている）」）の説明に、わざわざ注意書きを添えています。保護されていても、正しいサイトかどうかは別に確かめてくださいという趣旨で、パソコン・Android・iPhone のどのページにも次の一節が入っています。
アドレスバーでサイト名を確認
保護されている状態であっても、正しいサイトかどうかは別に確かめてください、という案内です。守られていることと、相手が本物であることは、最初から別々に扱われています。
鍵マークがあっても、相手が本物とは限らない
ここまでは「鍵マークの意味が狭い」という話でした。もう一歩踏み込むと、もっと直接的な問題があります。
偽サイトの側も、鍵マークを出せます。
フィッシングサイトでも証明書は取れる
鍵マークを出すブラウザでそれが出るかどうかは、そのサイトがサーバー証明書を用意しているかで決まります。証明書とは、簡単に言うと「このドメイン名の持ち主は確かにこのサーバーです」と第三者が確認した書類のことです。これはサイト側が用意するもので、こちらが何かする必要はありません。
ここが肝心なところです。証明書が確認しているのはアドレスの持ち主が一致していることであって、その持ち主が善良な会社かどうかではありません。
だから、詐欺のために用意されたサイトでも証明書は手に入ります。フィッシングとは（フィッシング対策協議会）は、「フィッシングサイトは見破れません！」という見出しの中で、鍵マークをその理由のひとつに挙げています。
フィッシングサイトでも簡単に証明書を取得できるため、鍵マークが表示されてしまうことがあります。
同じ協議会が事業者向けに出しているフィッシング対策ガイドライン 2026年度版（フィッシング対策協議会）は、付録でその手口をこう説明しています。
フィッシングにおける調達、構築において濫用されている認証局より取得した無料証明書の悪用によるフィッシングサイトのHTTPS化（TLS/SSL化）などが問題となっている
無料で取れる証明書が悪用されているということです。証明書は本来、通信を守るために誰でも使えるようにしたものです。無料で取れるものがあるため、詐欺のために用意されたサイトにも同じ印が付きます。
どれくらいの割合なのかについては、先ほどの Chromium Blog が2023年5月時点でほぼすべてだと書いています。
nearly all phishing sites use HTTPS, and therefore also display the lock icon
「フィッシングサイトのほぼすべてが HTTPS を使っており、したがって鍵マークも表示する」。鍵マークの有無では、偽サイトを選り分けられないということになります。
その会社が実在するか
入力した情報が、そのあと悪用されないか
「証明書を開けば発行先が読めるので、そこで見抜ける」という案内も見かけます。ただ、フィッシングサイトが使うような無料で取れる証明書では、確認されているのはドメイン名の持ち主が一致することだけです。それだけでは、相手が本物かどうかの判断材料になりません。
ここまでは「鍵マークでは分からない」という話でした。では何を見ればいいのか——それを次の章で見ていきます。
偽サイトそのものの手口や、ほかの詐欺の型については、こちらの記事で扱っています。
鍵マークではなく、URLのどこを見るか
鍵マークが使えないなら、代わりに何を見ればよいのでしょうか。
答えははっきりしています。ドメイン名です。フィッシング対策協議会の事業者向けガイドラインは、Webサイトの運営者に向けてこう書いています。
ドメイン名は利用者が安全性を判断するために最も重要な要素である。
鍵マークではなく、ドメイン名が「最も重要」だと言い切っています。
ドメイン名はURLのどこにあるか
ではドメイン名は、アドレスのどの部分でしょうか。利用者向けガイドラインが位置を定義しています。
ドメイン名の位置は、リンクURLの場合「https://」の右側から最初の「/」（スラッシュ）の間に位置する（特殊な場合を除く）。メールアドレスの場合は、一番右に登場する「@」以降がドメインの位置となる。
読む手順にすると2段階です。
- STEP
「https://」の右から、最初の「/」までを切り出す
その先に長い文字列が続いていても、いったん無視します。ここだけがドメイン名です。
- STEP
切り出した部分の、右端から読む
ドメイン名は「.」（ドット）で区切られていて、右へ行くほど上の階層です。会社の正体を表しているのはドットで区切られた右端の2つか3つで、左側は自由に足せます。
この記事のアドレスで試してみます。https://network-beginners-handbook.com/https-lock-icon/ なら、「https://」の右から最初の「/」までは network-beginners-handbook.com。ドットで区切ると network-beginners-handbook と com の2つで、これがこのサイトの正体です。うしろの /https-lock-icon/ は、そのサイトの中のどのページかを表しているだけなので、見なくてかまいません。
左から読むと引っかかります。左側は誰でも好きな文字を足せるので、本物の会社名を左に並べた偽アドレスが作れてしまうからです。ドメイン名が右から左への階層になっている理由は、別記事で解説しています。
FBI の推奨事項も、リンクの綴り間違いとドメインの末尾の2つを挙げています。
Check for misspellings or wrong domains within a link (e.g., if an address that should end in “.gov” ends in “.com” instead).
「リンクの中に、綴り間違いや違うドメインが無いか確かめること（たとえば、本来 .gov で終わるはずのアドレスが .com で終わっている場合）」。末尾が違っていれば、そこで気づけるという考え方です。
正規のドメイン名がそのまま使われることがある
ただし、ここで留保が要ります。末尾を見ても分からない型が、いま増えています。
フィッシング対策協議会の2026/07 フィッシング報告状況（フィッシング対策協議会）には、次の記述があります。
amazonaws.com のホスト名をそのまま使うケースが急増し、報告全体の約 23.2 % を占めました。
その他、短縮 URL サービスや sendgrid.net からリダイレクトでフィッシングサイトへ誘導したり、フィルター等で不正な URL として検知されにくい正規サービスのドメイン名を使用するケースは 6 月より増加傾向となり、報告全体の約 25.8 % を占めました。
amazonaws.com は Amazon が本当に持っているドメイン名です。誰でも借りられるサーバーのサービスなので、末尾は正規のまま、中身だけが偽サイトという形が成り立ちます。
資料の書き方に合わせると、2026年7月の報告全体の約23.2%がこの型です。ここに、短縮URLや正規サービス経由の約25.8%が加わります。
逆の型もあります。利用者向けガイドラインが挙げているタイポスワッピングです。
ただし、ブックマークを作成する際やアプリをダウンロードする際には、タイポスワッピング（似たような文字列のドメイン名を利用した詐欺）に特に注意が必要です。ドメイン名やアプリ名を入力する時には、文字の一つ一つを慎重に確認してください。
一文字だけ違うドメイン名を用意する手口です。見比べる相手が手元にないと、気づきようがありません。
だからといって、ドメイン名を読むのが無駄になるわけではありません。読めば気づける分は、確かに残っています。ただ、読むだけで全部を選り分けることはできない。ここから、次の話につながります。
いちばん確実なのは「入口をいつも同じにする」
ここまで読むと、心細くなるかもしれません。実際、公的な資料もそこは正直に書いています。事業者向けガイドラインの一節です。
さまざまな巧妙な手法により、利用者がどれほど注意をしていてもフィッシングサイトを閲覧してしまうリスクをゼロにすることはできない。
だからこそ、協議会が「必須」の対策として挙げているのは、見分けることではありません。今すぐできるフィッシング対策（フィッシング対策協議会）の一覧で「必須」に置かれているのは、次のような対策です。
| 対策 | やること |
|---|---|
| 公式サイトや公式アプリからアクセスする | メールやSMS のリンクは開かない／公式サイトは検索結果やブックマークから開く |
| 個人情報はすぐ入力しない | 入力する前に一度立ち止まり、本当に必要な手続きなのか確認する |
| アプリは公式ストアからインストール | アプリ名と提供元を確認する |
この一覧に「鍵マークを確認する」は入っていません。「URLを確認する」も入っていません。
ここまで読む手順を書いてきたのに、と思われるかもしれません。URLを読むのは、必須の対策ではなく「気づくための手立て」です。必須なのは、そもそも偽サイトを開かずに済ませることのほうだ、というのが資料の立場です。
協議会が繰り返し勧めているのは、入口を固定することです。
日頃から利用しているサービスへログインする際は、「いつも」の公式アプリ、「いつも」の公式サイト（ブックマーク）から開くよう、習慣づけましょう。
理由は単純で、入口が決まっていれば、偽サイトを開く場面そのものが来ないからです。届いたメールが本物かどうかを判定しなくてよくなります。
⚠ 検索して開くのはどうか、という点には注意が要ります。利用者向けフィッシング詐欺対策ガイドライン 2026年度版（フィッシング対策協議会）は「偽のバナー広告や検索結果からフィッシングサイトに誘導される事例もあり」と書いています。よく使うサービスは、検索ではなくブックマークか公式アプリに寄せるほうが確実です。
ブックマークの入れ方はブラウザによって違うので、分からなければ「ブックマーク 追加」で検索すると出てきます。
すでに入れてあるブックマークが正しいかどうかも、一度見ておく価値があります。同じガイドラインはこう書いています。
また、定期的にブックマークが正しいものかを確認し、更新するようにしてください。
登録したときに、すでに偽サイトだったということもありうるからです。同じガイドラインはタイポスワッピングについて「ドメイン名やアプリ名を入力する時には、文字の一つ一つを慎重に確認してください」としています。
ブックマークがまだ無い相手では、この方法が使えません。利用者向けガイドラインは、その場合の確かめ方を挙げています。
ひとつはWeb以外の情報から正しいアドレスを知ること。郵送物・利用者カード・請求書・新聞や広告に書かれたドメイン名を使います。
もうひとつはサポート窓口に電話で確認すること。資料は「厳密さが問われる場合には」としています。
3つめはそのアドレスを検索してみること。資料は「そのURLをいくつかの検索サイトで検索して、偽サイトであるという発言があるかどうかを調べる方法も考えられます」としています。
外出先のWi-Fiでこの判断をするときは、見るところがもう少し増えます。そちらは別記事にまとめています。
鍵マークが見当たらない・警告が出たときは
最後に、画面に何か出たときの読み方を整理しておきます。
ブラウザによって出方が違う
すでに見たとおり、鍵マークが出るかどうかはブラウザによります。利用者向けガイドラインは、まずこうしておくことを勧めています。
まず、ご自身が使っているブラウザーやスマートフォンでドメイン名や鍵マークが、普段、どのように表示されるのかを確認しておきましょう。
普段の見え方を知っておけば、違ったときに気づけます。「鍵マークがあるか」ではなく「いつもと同じか」で見る、ということです。
冒頭で「鍵マークは探さなくてかまいません」と書いたのと、矛盾して見えるかもしれません。役割が違います。安心する材料には使わない。ただし、いつもと違えば止まる合図にはなる——これがこの記事の立場です。
Chrome の場合は、アドレスの左のアイコンが3段階に分かれています。Chrome ヘルプ（パソコンとAndroidのページ）の呼び名は次のとおりです。
| 表示 | 意味（ヘルプの説明） |
|---|---|
| デフォルト（保護されている） | 送受信される情報はプライバシーが保護される |
| 情報、または保護されていない通信 | プライベート接続を使っていない。情報を見られる、または変更される可能性がある |
| 保護されていない通信、または危険 | 「危険」ならセーフ ブラウジングが安全でないと判断している。使用しないことを勧めている |
⚠ 2段目と3段目の呼び名には、どちらにも「保護されていない通信」が入っています。言葉だけでは区別が付きません。ただ、見分けたいのは「危険」かどうかです。分かれ目はページ全体が赤い警告画面になっているかどうかで、赤い警告なら「危険」のほう。この記事では、そこだけ区別できれば十分です。
いちばん上の段でも呼び名は「保護されている」であって、「安全」でも「信頼できる」でもないことに注目してください。この記事でずっと見てきた線引きが、そのまま呼び名になっています。
「保護されていない通信」と出たときは
読むだけなら、そのまま読んでかまいません。
ただし、入力はしないでください。ヘルプが書いているとおり、送受信する情報を「見られる、または変更される可能性がある」状態です。
フィッシング対策協議会は、メールやSMSのリンクを開いてしまっただけで、個人情報を入力していない場合を「低リスク」に分類し、「個人情報を入力していなければ、被害が発生する可能性は低い」としています。
ただし、低リスクでも今すぐやることが1つ挙がっています。「アカウントのアクセス履歴を確認する」です。不審なアクセスがあれば、パスワードを変更します。
⚠ IDやパスワード、カード番号を入力してしまった場合は別です。今すぐできるフィッシング対策（フィッシング対策協議会）は「個人情報を入力したのに手続きが完了しない」を「危険」のサインとして挙げ、今すぐやることをこう書いています。
「公式アプリ、公式サイトからパスワードを変更する」。あわせて、アクセス履歴を確認し、不審なアクセスがあればサポートセンターに問い合わせます。
カードの利用明細に身に覚えのない取引があれば、こちらも「危険」のサインです。「カード会社に連絡して利用を停止」し、必要に応じてカードの再発行と、警察もしくは国民生活センター（消費生活センター）への相談まで進めます。
ページ全体が赤い警告になった場合は、意味が変わります。ヘルプは「危険」について、こう書いています。
危険: このサイトは使用しないでください。ページ全体に赤い警告画面が表示される場合、そのサイトは Google セーフ ブラウジング によって安全でないサイトとして認識されています。
この機能は、協議会の対策一覧でも「推奨」として挙げられています。ただし、そこには但し書きが付いています。
※警告が出ない場合もあるため、過信しない
警告が出れば止まれますが、出ないことは「安全である」を意味しません。鍵マークと同じ構造です。
まとめ
この記事では、鍵マークと「https://」が何を保証していて、代わりにどこを見ればよいのかを解説しました。
- 鍵マークは安全の印ではない。Chrome の開発チームは、鍵マークはサイトの信頼性を示すものではないと明言し、FBI も、鍵マークや https があるというだけでサイトを信用してはいけないとしている
- Chrome（パソコン・Android）では鍵マークの代わりに、Chromium Blog が
tuneアイコンと呼ぶ絵柄が出る。安全の印ではなく、サイトの設定を開くボタン。同じ記事は選んだ理由の1つに「信頼できる」を意味しないことを挙げている（iPhone・iPad では置き換えではなく削除） - 鍵マークが答えているのは「途中で読まれないか」だけ。丈夫な封筒であっても、宛先が偽物なら中身は確実に相手へ届く
- 偽サイトでも証明書は取れる。協議会は「フィッシングサイトでも簡単に証明書を取得できる」とし、無料証明書の悪用を問題として挙げている
- 見るのはドメイン名（「https://」の右から最初の「/」まで）を右端から。ただし
amazonaws.comをそのまま使う型が報告全体の約23.2%あり、末尾を見れば必ず分かるわけではない（2026年7月） - だから協議会が「必須」に置いているのは入口を固定すること。よく使うサービスはブックマークか公式アプリから開く。鍵マークは安心の材料には使わず、いつもと違えば止まる合図としてだけ見る
- リンクを開いてしまっても、個人情報を入力していなければ協議会は「低リスク」に分類している。ただし低リスクでもアカウントのアクセス履歴は確認する。入力してしまったら、公式アプリ・公式サイトからパスワードを変更する
次に支払い画面が出たら、鍵マークを探すのはやめて、ドメイン名の右端——「https://」の右から最初の「/」までの、その右端——を読んでみてください。そしてそのサービスをよく使うなら、その場でブックマークに入れておく。次からは、探す必要がなくなります。
参考: An Update on the Lock Icon（Chromium Blog）
参考: Cyber Actors Exploit ‘Secure’ Websites In Phishing Campaigns（FBI / IC3）