SSL 憑證是網站的「數位身分證」，做兩件事：證明這個網站真的是它說的那個網站，並讓你和網站之間傳的資料加密，別人看不到。網址列出現鎖頭、網址開頭是 https，就代表網站有有效的 SSL 憑證。現在幾乎所有網站都需要它，沒有憑證的網站，瀏覽器會直接標示「不安全」。
這篇從零開始講 SSL 憑證：它怎麼運作、有哪幾種、要花多少錢、多久要換一次，以及最近一個真實事件告訴我們的事：2026 年 10 月，一家憑證機構有 8 張重要憑證的私鑰被發現可以被任何人算出來，影響範圍包含瀏覽器、作業系統與 Java（細節見 Java 漏洞 CVE-2026-91403 白話拆解）。
SSL 憑證是什麼？一張表看懂它在保護什麼
一句話：SSL 憑證讓瀏覽器能確認「我連到的是真的網站」，並把傳輸內容加密。用寄信比喻，沒有憑證就像寄明信片，郵差和路上的人都看得到內容，也無法確定寄件人是誰；有憑證就像寄掛號的密封信，信封上還有官方認證的寄件人章。
沒有 SSL 憑證（http） | 有 SSL 憑證（https） | |
|---|---|---|
傳輸內容 | 明文，同一個網路上的人可能看得到 | 加密，只有你和網站看得懂 |
網站身分 | 無法確認是不是冒牌網站 | 由憑證機構證明網站身分 |
瀏覽器顯示 | 標示「不安全」 | 顯示鎖頭 |
表單與登入 | 帳號密碼、個資可能被看到 | 加密傳送 |
搜尋排名 | 較不利 | Google 把 https 列為排名參考因素之一 |
名稱上，SSL 是比較早的技術名稱，現在實際使用的是它的後繼版本 TLS，但大家仍習慣叫「SSL 憑證」，兩者指的是同一件事。
憑證怎麼被信任？用印章看懂信任鏈
一句話：你的瀏覽器相信一張憑證，是因為它能一路追到瀏覽器內建名單裡的「根憑證」。這條追溯的路徑叫做信任鏈。
層級 | 生活比喻 | 做什麼 |
|---|---|---|
根憑證 | 戶政事務所總部 | 最上層的信任來源，內建在瀏覽器與作業系統的信任名單裡 |
中繼憑證 | 總部授權給分處的印章 | 由根憑證授權，實際替網站簽發憑證，根憑證因此可以安全地收起來 |
網站憑證 | 分處發給民眾的身分證 | 裝在你的網站上，證明網域屬於你 |
這個設計的好處是，最重要的根憑證可以離線保管，平常由中繼憑證負責簽發。但它也有一個前提：每一層的私鑰都必須安全。只要某一張中繼憑證的私鑰外洩，任何人都能用它替任何網站簽發「看起來完全合法」的憑證。
SSL 憑證有哪幾種？DV、OV、EV 怎麼選
一句話：三種憑證的加密強度一樣，差在憑證機構「驗證你身分」的嚴格程度。大部分企業官網用 DV 就夠了。
種類 | 驗證什麼 | 多久拿到 | 適合誰 | 價格參考 |
|---|---|---|---|---|
DV（網域驗證） | 只驗證你擁有這個網域 | 幾分鐘 | 企業官網、部落格、一般網站 | 可以不用錢，例如 Let's Encrypt |
OV（組織驗證） | 驗證網域，加上公司是真實存在的組織 | 幾天 | 需要在憑證裡顯示公司資訊的企業 | 每年數千元台幣起 |
EV（延伸驗證） | 最嚴格的公司身分審查 | 數天到數週 | 金融、大型電商等有特殊要求的單位 | 每年數萬元台幣起 |
很多人以為付費憑證比較「安全」，其實三種的加密強度沒有差別。像 Let's Encrypt 這類非營利憑證機構提供的 DV 憑證，已經是大量網站的標準選擇，搭配自動續期幾乎不用管。要選 OV 或 EV，通常是因為法規、合約或採購規範有要求。
另外要注意別跟其他「憑證」搞混。工商憑證、自然人憑證是用來證明「人或公司」身分、用來簽章或報稅的，跟網站用的 SSL 憑證是不同的東西，可以參考 工商憑證用途。
SSL 憑證多久要換一次？有效期正在變短
一句話：公開網站的 SSL 憑證有效期正在一路縮短，手動更新會越來越跟不上。根據業界組織 CA/Browser Forum 的決議（整理說明），新簽發的憑證最長有效期如下：
生效日期 | 新憑證最長有效期 | 代表什麼 |
|---|---|---|
2026 年 3 月 15 日起 | 200 天 | 一年至少要換兩次 |
2027 年 3 月 15 日起 | 100 天 | 大約每三個月換一次 |
2029 年 3 月 15 日起 | 47 天 | 每個多月就要換，只能靠自動化 |
縮短有效期的理由，跟這次的憑證事件有關：憑證活得越短，萬一出問題，被濫用的時間就越短。對企業來說，這代表「憑證到期、網站突然打不開」的事故會越來越常見，除非把續期交給自動化處理。
做法 | 優點 | 缺點 |
|---|---|---|
手動申請、手動安裝 | 不需要額外設定 | 有效期越來越短，很容易忘記，到期就整站出現警告 |
主機或平台自動續期 | 幾乎不用管 | 要確認自動續期真的有在跑，並設定失敗通知 |
CDN 代管憑證 | 憑證由 CDN 處理，還能加上防護 | 主機到 CDN 之間的連線也要有憑證 |
怎麼檢查網站的 SSL 憑證？看懂常見錯誤訊息
一句話：不用任何工具，用瀏覽器就能看到憑證是誰發的、什麼時候到期。點網址列左邊的鎖頭或網站資訊圖示，選「連線安全」或「憑證有效」，就能看到憑證的詳細資料。
要看什麼 | 在哪裡看 | 要注意什麼 |
|---|---|---|
發給哪個網域 | 憑證的「核發對象」 | 跟你的網址一致，子網域也要涵蓋到 |
誰發的 | 憑證的「核發者」 | 是知名的憑證機構 |
什麼時候到期 | 憑證的「有效期間」 | 剩不到 30 天要確認續期有在跑 |
如果瀏覽器出現警告，通常是下面幾種情況。看懂訊息，就知道該找誰處理：
常見訊息 | 白話意思 | 通常的原因 | 怎麼處理 |
|---|---|---|---|
憑證已過期 | 身分證過期了 | 續期沒有成功或忘記續 | 重新申請並安裝，之後改成自動續期 |
憑證與網域不符 | 身分證上的名字跟網址對不上 | 憑證沒有涵蓋這個子網域，或網址設錯 | 申請涵蓋正確網域的憑證 |
憑證不受信任 | 瀏覽器不認得發證的單位 | 自己簽發的憑證，或中繼憑證沒有裝好 | 改用公開憑證機構的憑證，並補上中繼憑證 |
連線不是私人連線 | 瀏覽器無法確認對方身分 | 以上幾種都有可能，也可能是網路被攔截 | 先確認不是自己網路的問題，再請網站管理者檢查 |
對訪客來說，看到這些警告最好不要硬按「繼續前往」，尤其是要輸入帳號密碼或付款資料的網站。對網站管理者來說，這些警告每出現一次，就有訪客直接離開，詢價表單和訂單也跟著流失。
憑證被盜用會怎樣？從 eMudhra 事件看真實風險
一句話：憑證機構的私鑰外洩，攻擊者就能冒充任何網站。2026 年 10 月的 eMudhra 事件就是這樣的例子。下面整理自 事件說明頁 與 Cloudflare 的說明。
項目 | 內容 |
|---|---|
發生什麼事 | 憑證機構 eMudhra 有 8 張中繼憑證，私鑰的產生方式有缺陷，任何人都能從憑證算出私鑰 |
存在多久 | 從 2025 年 4 月這些憑證建立起就存在 |
攻擊者能做什麼 | 偽造任何網站的憑證，冒充網站、攔截或竄改連線內容 |
瀏覽器的反應 | Firefox、Chrome 在 10 月 17 日、Apple 在 19 日、Microsoft 在 20 日封鎖這些憑證 |
還要處理的 | Java、Node.js、Python 等自帶信任名單的環境，以及部分作業系統工具，需要另外更新 |
這個事件說明了兩件事。第一，一般使用者有瀏覽器保護：瀏覽器廠商能遠端快速封鎖出問題的憑證，加上主流瀏覽器要求憑證公開登記，這次幾乎沒有一般使用者受影響。第二，企業系統要自己顧：系統在背景呼叫 API 時不經過瀏覽器，用的是程式自己的信任名單，名單沒更新就還會相信被破解的憑證。
Cloudflare 也提醒：更新後如果出現憑證錯誤，千萬不要用「關掉憑證驗證」來解決，那等於把鎖頭拆掉。Java 受影響的版本與處理方式，詳見 CVE-2026-91403 白話拆解。
企業網站的 SSL 憑證管理清單
一句話：憑證要有人負責、到期有提醒、續期能自動、出事知道怎麼換。可以直接把這張表交給負責網站的人。
檢查項目 | 合格的答案 | 沒做到的風險 |
|---|---|---|
每個網域、子網域的憑證都有列清單 | 有清單，知道每張憑證在哪、誰負責 | 某個子網域憑證到期沒人發現 |
續期是自動的 | 自動續期，失敗會通知 | 有效期縮短後，手動更新很容易漏 |
到期前會收到提醒 | 有監控，到期前 14 到 30 天通知 | 使用者先看到警告，你最後才知道 |
主機到 CDN 之間也有加密 | 兩段連線都有憑證 | 只有前半段加密，後半段仍是明文 |
系統的信任名單會跟著更新 | 作業系統與執行環境定期更新 | 像這次的事件，系統仍相信被破解的憑證 |
憑證錯誤有處理流程 | 找出原因、換憑證，不關驗證 | 為了方便關掉驗證，等於沒有加密保護 |
憑證到期的監控，可以搭配服務監控一起做，參考 SLA 監控儀表板採購指南。網站前面加一層防護，可以看 WAF 是什麼；主機本身的防護，可以看 伺服器防火牆是什麼。如果網站曾經被駭，憑證與密碼都要一起換，步驟見 WordPress 網站被駭怎麼辦。網站是外包維護的話，憑證續期與更新的責任，建議寫進 維護合約。
網站放在 CDN 後面時，CDN 還能在主機出狀況時先顯示快取頁面，做法見 Cloudflare 救援機制實戰。網站的執行環境也要跟著更新，最近的例子是 PHP2Shell 漏洞修補實錄。
看到這裡，如果你也在想「我們公司的網站憑證有人在顧嗎」，我們很樂意 聽你聊聊現在網站的狀況，一起看看哪些該先補上。
ℹ️我們怎麼看
SSL 憑證已經從「買一張用一年」變成「每隔幾個月自動換一次」的消耗品，2029 年後只剩 47 天。我們的判斷是，3 年內還靠人工記得續約的網站，幾乎都會遇過至少一次憑證到期事故。我們的取捨是：所有憑證一律自動續期、到期前自動通知、系統的信任名單跟著作業系統定期更新。給老闆的判斷工具：問負責的人「我們有幾張憑證？哪一張最快到期？續期是自動的嗎？」答得出來才算有人在顧。這次 PHP 漏洞的處理經驗，也可以參考 PHP2Shell 修補實錄。
ℹ️我們做過這件事
我們累積了 40+ 企業客製案落地，網站與系統上線時的憑證設定、自動續期與到期監控，都是交付的基本項目。看到這裡，如果你也在想「我們的網站憑證該怎麼管才不會出事」，我們很樂意 聽你聊聊現在的實際情況，一起看看從哪一塊開始最划算。
QSSL 憑證是什麼？
SSL 憑證是網站的數位身分證，證明網站的真實身分，並讓瀏覽器與網站之間的資料加密。有有效憑證的網站，網址會是 https 並顯示鎖頭；沒有憑證的網站，瀏覽器會標示不安全。
QSSL 和 TLS 有什麼不同？
SSL 是較早的技術名稱，現在實際使用的是後繼版本 TLS。大家仍習慣把網站憑證叫做 SSL 憑證，兩者指的是同一件事。
Q免費的 SSL 憑證安全嗎？
安全。DV、OV、EV 三種憑證的加密強度相同，差別在憑證機構驗證你身分的嚴格程度。像 Let's Encrypt 提供的 DV 憑證已經是大量網站的標準選擇，大部分企業官網用 DV 就足夠。
QSSL 憑證多久要更新一次？
依 CA/Browser Forum 的決議，2026 年 3 月 15 日起新憑證最長 200 天，2027 年 3 月起 100 天，2029 年 3 月起 47 天。有效期越來越短，建議把續期交給自動化，並設定到期前的提醒。
Q憑證被盜用會怎樣？
攻擊者可以冒充網站，攔截或竄改連線內容。2026 年 10 月憑證機構 eMudhra 有 8 張中繼憑證私鑰可被算出，瀏覽器在幾天內就封鎖了，但 Java 等自帶信任名單的環境要另外更新。
Q網站憑證到期了會怎樣？
訪客打開網站會看到全頁的安全警告，大部分人會直接離開；系統之間的 API 連線也可能中斷。到期後重新申請安裝即可恢復，但事前用自動續期與到期提醒避免最好。
AUTHOR
恆遠數位編輯團隊
留言(0)
尚無留言，成為第一個留言的人吧！