早速お返事ありがとうございます。
.envを調べてみたところ
ECCUBE_FORCE_SSL=false
になっていました。

一方、さくらインターネットのドメインの設定では
サイトのオープン当初はHTTPS転送設定を「HTTPSに転送する」にしていましたが、SSLの仕様が変わって、通知エラーが発生した以降、「HTTPSに転送しない」にした上で、.htaccessでhttps://へのリダイレクトという方法に切り替えました。

ただし、この時に急きょ勉強した状態ですので、正しいのかどうかも自信がありませんが、ドメイン名だけを入力すると、もしくはhttp://で入力すると一応https://にはリダイレクトされてはいます。

この状態でも、ECCUBE_FORCE_SSL=falseは危険なのでしょうか？
また、kernel.phpを改修しないと例外処理はできないのでしょうか？

最近、バージョンアップ時の不具合で大変なことが多く、できればsrcフォルダの中は改修したくない気持ちが強いです。
(4.0.6まではアップデートしたものの、それ以降はエラーで先に進まず頓挫しています。)