网站安全锁背后的技术细节
许多经营者误以为网址列的锁头都代表相同保护层级。实际上，凭证依验证程序可区分多种等级，虽然都能启用 HTTPS，但身分确认与信任建立程度明显不同。若已熟悉 HTTPS 基本概念，本文将进一步说明如何为企业挑选合适的安全等级。
SSL 与 TLS 的协定差异
SSL 是早期加密协定，最后版本已于 2015 年停用；TLS 为其后继者，目前主流为 1.2 与 1.3 版。选择主机或 CDN 时应确认支援 TLS 1.2 以上版本，以避免浏览器警示。
DV、OV、EV 三级验证比较
凭证依 CA 验证严格度分为三类，加密强度相同但身分核实程度不同。
DV 凭证
仅验证网域拥有权，适合个人网站与测试环境。费用从免费到每年数千元不等，凭证不显示组织名称。
OV 凭证
除网域外还验证组织合法性，需提交公司文件，适合企业官网与政府网站，提升可信度。
EV 凭证
验证程序最严格，适合金融与处理敏感资料的平台。虽然浏览器不再显示绿色标示，但严格审查仍能防范冒名申请。
TLS 握手流程说明
TLS 1.3 将握手简化为单次往返，较旧版大幅缩短连缐时间，尤其在行动网路环境下更明显。
加密机制要点
- 非对称加密用于身分验证与金钥交换，ECDSA 凭证效能优于传统 RSA。
- 对称加密负责资料传输，速度更快。
- 前向保密机制确保即使私钥日后外洩，过去通讯仍安全。
免费与付费凭证的取捨
Let’s Encrypt 提供免费 DV 凭证且支援自动续签，适合大多数企业形象网站。若需客服支援、保险赔偿或组织验证，则可考虑付费方案。
多网域凭证管理方式
Wildcard 凭证
以万用字元保护单一网域下的所有子网域，新增子网域无需重复申请，但仅涵盖一层子网域。
SAN 凭证
可同时保护多个独立网域，适合多品牌企业，但新增网域需重新签发。
凭证部署实务建议
强制 HTTPS 转向
设定 HTTP 自动导向 HTTPS，並启用 HSTS 标头。
加密套件设定
停用不安全演算法，优先采用 TLS 1.3 支援的 AEAD 模式。
OCSP Stapling 启用
伺服器主动提供凭证撤销状态，提升速度与隐私。
CAA 记录配置
在 DNS 指定允许签发凭证的 CA，防止未授权发行。
到期监控
设定自动警示，避免凭证过期导致网站显示不安全。
常见迷思澄清
免费凭证是否安全
加密标准与付费相同，差异仅在验证层级与附加服务。
SSL 是否降低速度
TLS 1.3 搭配 HTTP/2 与 HTTP/3 反而可提升效能。
只有电商需要 SSL
HTTPS 已成为搜寻排名因素，所有企业网站皆应启用。
Wildcard 风险
私钥外洩会影响所有子网域，建议搭配严格金钥管理。
企业 SSL/TLS 策略建议
- 个人网站：采用 Let’s Encrypt 免费 DV 並设定自动续签。
- 企业形象官网：搭配 CDN 与免费或付费 DV 凭证。
- 电子商务：选择 OV 或 EV 凭证。
- 金融医疗：使用 EV 凭证並定期稽核。
- 多子网域：以 Wildcard 为主，关键系统另加独立 EV。
重点在于正确部署、持续有效並维持最新安全设定。
