SSL 憑證是什麼？

它是什麼

憑證是安裝在伺服器上的小檔案。它包含適用的網域名稱、到期日與公開金鑰，並由瀏覽器已信任的憑證授權單位（CA）簽署。瀏覽器連線時，伺服器會出示憑證。瀏覽器檢查名稱、日期與簽章，然後雙方協議用來加密工作階段的金鑰。

SSL 是這個協定的舊稱。它多年前已被 TLS 取代，但「SSL 憑證」這個說法沿用至今。兩者指的是同一種憑證。

為什麼這對企業很重要

• 沒有憑證，瀏覽器就會警告：沒有憑證或憑證已過期的網站，會顯示「不安全」或全頁警告，多數訪客不會繼續點進去。
• 登入與表單受到保護：密碼、聯絡表單與信用卡資料，無法被同一網路上的人讀取。
• 搜尋引擎期待有它：https 多年來一直是排名訊號。
• 不只網站需要：郵件伺服器、VPN 入口網站、電話系統與內部應用程式也都使用憑證。

憑證的種類

• 網域驗證（DV）：授權單位只檢查您是否掌控該網域。幾分鐘內即可核發，通常免費。多數網站使用這種。
• 組織驗證（OV）與延伸驗證（EV）：授權單位還會檢查網站背後的公司。費用較高、耗時較長。瀏覽器已不再在網址列以不同方式顯示它們。
• 萬用字元（Wildcard）：涵蓋同一層級的所有子網域，例如 anything.example.com。
• 多網域（SAN）：一張憑證列出多個名稱。
• 自簽或私有：由您自己或您自己的內部授權單位簽署。適合裝置已設定為信任它的內部系統，其他地方則會出現警告。

會出什麼問題

• 到期：每張憑證都有結束日期，而且有效期限越來越短。忘記續期會讓網站因警告頁面而無法使用。續期應該自動進行並受到監控。
• 名稱不符：憑證涵蓋 www.example.com，但訪客輸入的是 example.com，或反過來。
• 缺少憑證鏈：伺服器沒有送出中繼憑證，導致部分裝置信任該網站，其他裝置則不信任。
• 混合內容：頁面是 https，卻透過 http 載入圖片或指令碼，被瀏覽器封鎖。
• 鎖頭不代表可以信任：它只表示連線已加密且名稱相符。假網站也可能有鎖頭。

KawaConnect 如何處理憑證

我們代管的網站都以 https 提供服務，憑證會自動續期。對於我們所營運的 Linux 伺服器、反向代理與其他系統，我們在建置時就設定好憑證，並記錄每張憑證在哪裡核發與續期。Let's Encrypt 的免費憑證能滿足多數需求，許多網站則透過 Cloudflare 取得憑證。憑證仰賴正確的 DNS，因此我們會兩者一併檢查。

瞭解更多

• 維基百科的公開金鑰憑證條目對憑證所含內容與信任鏈運作方式的中立說明。
• Cloudflare：什麼是 SSL 憑證？以圖解簡短說明憑證與 TLS 交握。
• SSL Labs 伺服器測試免費工具，可為公開網站的憑證與 TLS 設定評分，並指出問題所在。
• Let's Encrypt 的運作方式說明憑證如何自動申請、驗證與核發。