Question 1

什麼是 SSL 憑證？

Accepted Answer

SSL（安全通訊端層）憑證是一種數位憑證，用於驗證網站身份並建立加密連線。它確保網頁伺服器與瀏覽器之間傳輸的資料保持私密和安全。

Question 2

SSL 和 TLS 有什麼區別？

Accepted Answer

SSL（安全通訊端層）是 TLS（傳輸層安全）的前身。SSL 3.0 因安全漏洞已於 2015 年被棄用。TLS 1.2 和 1.3 是目前的標準。當人們說「SSL 憑證」時，通常指的是 TLS 憑證。

Question 3

SSL 憑證有哪些類型？

Accepted Answer

主要有三種類型：DV（網域驗證）— 僅驗證網域所有權；OV（組織驗證）— 驗證網域和組織身份；EV（延伸驗證）— 提供最高級別的身份驗證，在舊版瀏覽器中會顯示綠色網址列。

Question 4

什麼是憑證機構（CA）？

Accepted Answer

憑證機構是受信任的第三方組織，負責簽發數位憑證。瀏覽器和作業系統內建了受信任的根憑證機構清單。常見的 CA 包括 DigiCert、Sectigo、GlobalSign 和 Let's Encrypt。

Question 5

什麼是 CSR（憑證簽名請求）？

Accepted Answer

CSR 是發送給 CA 以申請數位憑證的訊息。它包含您的公鑰和識別資訊（網域名稱、組織等）。CA 使用 CSR 來建立您的憑證。

Question 6

什麼是私鑰？

Accepted Answer

私鑰是用於非對稱加密的密鑰。它用於解密由對應公鑰加密的資料，以及建立數位簽章。切勿與任何人分享您的私鑰。

Question 7

SSL 憑證的有效期有多長？

Accepted Answer

自 2020 年 9 月起，公開信任的 SSL 憑證最長有效期為 398 天（約 13 個月）。Let's Encrypt 憑證有效期為 90 天，但可以自動續約。

Question 8

如何選擇適合的 SSL 憑證？

Accepted Answer

根據您的需求：個人部落格使用 Let's Encrypt 的免費 DV 憑證即可；商業網站建議使用 OV 憑證以增加可信度；電子商務或金融網站則建議使用 EV 憑證以提供最大的信任保障。

Question 9

我需要萬用字元憑證嗎？

Accepted Answer

萬用字元憑證可保護一個網域及其所有子網域（例如 *.example.com）。如果您有多個子網域，萬用字元憑證可能比個別憑證更經濟。但它無法保護多層級子網域。

Question 10

什麼是多網域（SAN）憑證？

Accepted Answer

多網域憑證可以使用單一憑證保護多個不同的網域名稱，透過主體別名（SAN）實現。例如，它可以涵蓋 example.com、example.net 和 another-site.com。

Question 11

免費 SSL 憑證安全嗎？

Accepted Answer

是的，來自可信 CA（如 Let's Encrypt）的免費憑證提供與付費憑證相同級別的加密。主要區別在於有效期較短、無保固，以及有限的支援選項。

Question 12

什麼是 SSL 保固？

Accepted Answer

保固是 CA 在憑證因錯誤簽發而造成依賴該憑證的使用者損失時，願意支付的金額。它保護的不是網站所有者，而是信任該憑證的訪客。

Question 13

如何安裝 SSL 憑證？

Accepted Answer

流程取決於您的伺服器：1) 生成 CSR 和私鑰，2) 將 CSR 提交給 CA，3) 接收憑證，4) 在伺服器上安裝（Apache、Nginx、IIS 等），5) 設定伺服器使用 HTTPS，6) 測試安裝。

Question 14

什麼是憑證鏈？

Accepted Answer

憑證鏈（或信任鏈）透過中間憑證將您的伺服器憑證連結到受信任的根 CA。瀏覽器需要完整的鏈結來驗證您的憑證。請務必在伺服器憑證旁安裝中間憑證。

Question 15

如何在 Nginx 上安裝憑證？

Accepted Answer

將您的伺服器憑證和中間憑證合併為一個檔案，然後在 Nginx 伺服器區塊中設定 ssl_certificate 指向合併後的檔案，ssl_certificate_key 指向您的私鑰。

Question 16

如何在 Apache 上安裝憑證？

Accepted Answer

在 Apache VirtualHost 設定中，將 SSLCertificateFile 設為您的伺服器憑證，SSLCertificateKeyFile 設為您的私鑰，SSLCertificateChainFile 設為中間憑證。

Question 17

如何強制 HTTPS 重新導向？

Accepted Answer

設定您的伺服器將所有 HTTP 流量（連接埠 80）重新導向到 HTTPS（連接埠 443）。在 Apache 上，使用 RewriteEngine 和重新導向規則。在 Nginx 上，在連接埠 80 的伺服器區塊中使用 return 301 重新導向。

Question 18

為什麼瀏覽器顯示「憑證不受信任」？

Accepted Answer

常見原因：缺少中間憑證、憑證已過期、自簽憑證不在信任存放區、憑證與網域不符，或瀏覽器/系統的根存放區過舊。

Question 19

「憑證名稱不符」是什麼意思？

Accepted Answer

此錯誤發生在憑證中的網域與正在訪問的網域不相符時。例如，example.com 的憑證被用在 www.example.com 上（除非是萬用字元或 SAN 憑證）。

Question 20

為什麼 SSL 憑證顯示為已過期？

Accepted Answer

檢查憑證的有效日期。憑證會過期，必須續約。同時驗證伺服器的系統時鐘是否正確 — 錯誤的系統時間可能導致錯誤的過期提示。

Question 21

什麼是混合內容警告？

Accepted Answer

當 HTTPS 頁面透過 HTTP 載入資源（圖片、腳本、CSS）時會出現此警告。瀏覽器會在安全頁面上封鎖不安全的內容。解決方法是將所有資源 URL 更新為使用 HTTPS。

Question 22

如何修復 ERR_CERT_REVOKED 錯誤？

Accepted Answer

這表示 CA 已撤銷您的憑證，可能是因為安全漏洞或錯誤簽發。您需要取得新憑證。請向您的 CA 查詢原因並重新簽發。

Question 23

為什麼 OCSP 檢查失敗？

Accepted Answer

OCSP（線上憑證狀態協定）可能因網路問題、防火牆封鎖或 OCSP 回應器離線而失敗。作為替代，瀏覽器可以改為檢查 CRL（憑證撤銷清單）。

常見問題