網站安全鎖背後的技術細節
許多經營者誤以為網址列的鎖頭都代表相同保護層級。實際上，憑證依驗證程序可區分多種等級，雖然都能啟用 HTTPS，但身分確認與信任建立程度明顯不同。若已熟悉 HTTPS 基本概念，本文將進一步說明如何為企業挑選合適的安全等級。
SSL 與 TLS 的協定差異
SSL 是早期加密協定，最後版本已於 2015 年停用；TLS 為其後繼者，目前主流為 1.2 與 1.3 版。選擇主機或 CDN 時應確認支援 TLS 1.2 以上版本，以避免瀏覽器警示。
DV、OV、EV 三級驗證比較
憑證依 CA 驗證嚴格度分為三類，加密強度相同但身分核實程度不同。
DV 憑證
僅驗證網域擁有權，適合個人網站與測試環境。費用從免費到每年數千元不等，憑證不顯示組織名稱。
OV 憑證
除網域外還驗證組織合法性，需提交公司文件，適合企業官網與政府網站，提升可信度。
EV 憑證
驗證程序最嚴格，適合金融與處理敏感資料的平台。雖然瀏覽器不再顯示綠色標示，但嚴格審查仍能防範冒名申請。
TLS 握手流程說明
TLS 1.3 將握手簡化為單次往返，較舊版大幅縮短連線時間，尤其在行動網路環境下更明顯。
加密機制要點
- 非對稱加密用於身分驗證與金鑰交換，ECDSA 憑證效能優於傳統 RSA。
- 對稱加密負責資料傳輸，速度更快。
- 前向保密機制確保即使私鑰日後外洩，過去通訊仍安全。
免費與付費憑證的取捨
Let’s Encrypt 提供免費 DV 憑證且支援自動續簽，適合大多數企業形象網站。若需客服支援、保險賠償或組織驗證，則可考慮付費方案。
多網域憑證管理方式
Wildcard 憑證
以萬用字元保護單一網域下的所有子網域，新增子網域無需重複申請，但僅涵蓋一層子網域。
SAN 憑證
可同時保護多個獨立網域，適合多品牌企業，但新增網域需重新簽發。
憑證部署實務建議
強制 HTTPS 轉向
設定 HTTP 自動導向 HTTPS，並啟用 HSTS 標頭。
加密套件設定
停用不安全演算法，優先採用 TLS 1.3 支援的 AEAD 模式。
OCSP Stapling 啟用
伺服器主動提供憑證撤銷狀態，提升速度與隱私。
CAA 記錄配置
在 DNS 指定允許簽發憑證的 CA，防止未授權發行。
到期監控
設定自動警示，避免憑證過期導致網站顯示不安全。
常見迷思澄清
免費憑證是否安全
加密標準與付費相同，差異僅在驗證層級與附加服務。
SSL 是否降低速度
TLS 1.3 搭配 HTTP/2 與 HTTP/3 反而可提升效能。
只有電商需要 SSL
HTTPS 已成為搜尋排名因素，所有企業網站皆應啟用。
Wildcard 風險
私鑰外洩會影響所有子網域，建議搭配嚴格金鑰管理。
企業 SSL/TLS 策略建議
- 個人網站：採用 Let’s Encrypt 免費 DV 並設定自動續簽。
- 企業形象官網：搭配 CDN 與免費或付費 DV 憑證。
- 電子商務：選擇 OV 或 EV 憑證。
- 金融醫療：使用 EV 憑證並定期稽核。
- 多子網域：以 Wildcard 為主，關鍵系統另加獨立 EV。
重點在於正確部署、持續有效並維持最新安全設定。
