元伸科技
你的網站鎖頭背後，藏著多少學問？
每天我們打開瀏覽器，網址列旁那個小小的鎖頭圖示已經成為理所當然的存在——就像出門時鎖上家門一樣自然。但你可能不知道，同樣是「鎖」，有的是普通門鎖，有的是指紋辨識電子鎖，有的則是銀行金庫等級的防護。SSL/TLS 憑證的世界也是如此：雖然都能讓網址出現 HTTPS，但背後的驗證等級、加密強度和信任程度天差地別。
如果你已經了解 HTTPS 的基本概念（還不清楚的話，建議先閱讀 HTTPS 與 SSL 憑證完全指南），這篇文章將帶你深入憑證選擇的進階世界——幫助你為企業網站挑選最合適的安全防護等級。
SSL 與 TLS 的差異：別再搞混了
很多人把 SSL 和 TLS 當作同義詞使用，但嚴格來說它們是不同世代的協定：
- SSL（Secure Sockets Layer） 是 Netscape 在 1990 年代開發的加密協定，最後版本是 SSL 3.0（1996 年）。由於存在已知的安全漏洞，SSL 協定已於 2015 年被正式棄用。
- TLS（Transport Layer Security） 是 SSL 的後繼者，目前主流版本為 TLS 1.2 和 TLS 1.3。TLS 1.3 於 2018 年發布，大幅改善了握手效率和安全性。
業界慣例上仍稱為「SSL 憑證」，但實際運作的協定早已是 TLS。選擇主機或 CDN 服務時，務必確認支援 TLS 1.2 以上，TLS 1.0 和 1.1 已被主流瀏覽器停止支援。
三種驗證等級：DV、OV、EV 憑證完整比較
SSL/TLS 憑證依照憑證機構（CA）的驗證嚴格程度，分為三個等級。每個等級提供相同的加密強度，但在身分驗證和信任度上有明顯差異：
DV 憑證（Domain Validation）
DV 憑證只驗證申請者擁有該網域的控制權，不驗證組織身分。這是最基本的憑證類型：
- 驗證方式：DNS 記錄驗證或 Email 驗證，通常幾分鐘內即可完成
- 費用：免費（Let's Encrypt）至 NT$1,500/年
- 適合對象：個人部落格、小型形象網站、開發測試環境
- 限制：憑證資訊中不包含組織名稱，無法證明「這個網站屬於哪家公司」
OV 憑證（Organization Validation）
OV 憑證除了驗證網域所有權外，還會驗證申請組織的合法性。CA 會確認公司的營業登記、地址和聯絡資訊：
- 驗證方式：需提供公司登記文件，CA 會進行電話或書面驗證，通常需要 1～3 個工作天
- 費用：約 NT$3,000～12,000/年
- 適合對象：企業官網、B2B 平台、政府機關網站
- 優勢：點選憑證資訊可看到完整的組織名稱和地址，提升企業可信度
EV 憑證（Extended Validation）
EV 憑證是最高等級的驗證，CA 會對申請組織進行最嚴格的身分審查，包括法律存續狀態、實體營運地址、申請人授權等：
- 驗證方式：全面的組織審查，需要 3～7 個工作天
- 費用：約 NT$8,000～30,000/年
- 適合對象：金融機構、電子商務平台、處理敏感資料的企業
- 優勢：憑證詳細資訊中顯示完整的組織法律名稱，部分瀏覽器會在憑證檢視器中特別標註
值得注意的是，自 2019 年起，主流瀏覽器已不再於網址列顯示 EV 憑證的綠色組織名稱。但 EV 憑證的嚴格驗證程序本身仍有價值——它能有效防止釣魚網站冒用你的企業名稱申請憑證。
TLS 加密連線的運作流程
理解 TLS 握手（Handshake） 的流程，有助於你評估不同憑證和設定對網站效能的影響：
TLS 1.3 的握手流程大幅簡化為 1-RTT（一次來回），相較 TLS 1.2 的 2-RTT 減少了一半的握手時間。對於行動裝置使用者來說，這個差異尤為明顯——在高延遲的行動網路環境下，每減少一次來回可節省 50～100 毫秒的連線建立時間。
關鍵加密元素
- 非對稱加密（RSA / ECDSA）：用於握手階段的身分驗證和金鑰交換。ECDSA 憑證比傳統 RSA 憑證體積更小、效能更好
- 對稱加密（AES-256-GCM / ChaCha20）：用於實際資料傳輸的加密，速度遠快於非對稱加密
- 前向保密（Forward Secrecy）：即使伺服器的私鑰日後洩漏，過去的加密通訊仍然安全。TLS 1.3 強制啟用此機制
免費 vs 付費憑證：怎麼選？
Let's Encrypt 的出現讓免費 SSL 憑證成為主流，但這是否意味著付費憑證沒有存在的必要？答案是：看你的需求。
| 比較項目 | Let's Encrypt（免費） | 付費 DV 憑證 | 付費 OV/EV 憑證 |
|---|---|---|---|
| 加密強度 | 與付費憑證相同 | 與免費憑證相同 | 與免費憑證相同 |
| 驗證等級 | DV（僅網域驗證） | DV | OV 或 EV |
| 有效期限 | 90 天（需自動續簽） | 1 年 | 1～2 年 |
| Wildcard 支援 | 支援（需 DNS 驗證） | 視方案而定 | 支援 |
| 技術支援 | 社群支援 | 廠商客服 | 優先技術支援 |
| 保險賠償 | 無 | NT$30K～300K | NT$300K～5,000K |
| 組織身分驗證 | 無 | 無 | 有 |
| 適合情境 | 大多數網站 | 需要客服支援的企業 | 金融、電商、品牌信任 |
實務建議：對於大多數企業形象網站來說，Let's Encrypt 搭配自動續簽機制就已足夠。如果你的網站處理信用卡交易或敏感個資，付費 OV 或 EV 憑證提供的保險和組織驗證會是值得的投資。
Wildcard 與 SAN 憑證：多網域管理策略
當企業擁有多個子網域或多個網域時，逐一購買憑證既不經濟也不好管理。這時需要考慮以下兩種方案：
Wildcard 憑證
Wildcard 憑證使用萬用字元（*.example.com）保護一個網域下的所有子網域：
- 一張憑證涵蓋
www.example.com、mail.example.com、shop.example.com等 - 新增子網域時不需重新申請憑證
- 注意：只涵蓋一層子網域，
sub.shop.example.com需要另外的 Wildcard 憑證 - 費用約為單域名憑證的 2～3 倍，但管理 3 個以上子網域就比較划算
SAN 憑證（Subject Alternative Name）
SAN 憑證（又稱 Multi-Domain 或 UCC 憑證）可以在一張憑證中保護多個不同的網域名稱：
- 一張憑證同時涵蓋
example.com、example.com.tw、another-brand.com - 適合擁有多品牌或多個獨立網域的企業集團
- 新增網域時需要重新簽發憑證
- 通常有數量上限（5～100 個網域，依 CA 方案而定）
選擇原則：子網域多用 Wildcard，獨立網域多用 SAN，兩者也可搭配使用。
憑證部署的最佳實踐
選對憑證只是第一步，正確的部署和設定同樣重要。以下是企業網站應遵循的安全最佳實踐：
1. 強制 HTTPS 重導向
確保所有 HTTP 請求自動重導向到 HTTPS，避免使用者透過不安全的連線存取網站。同時在回應標頭中加入 HSTS（HTTP Strict Transport Security），告訴瀏覽器未來一律使用 HTTPS 連線。
2. 設定正確的加密套件
停用已知不安全的加密套件（如 RC4、3DES），優先使用 TLS 1.3 支援的 AEAD 加密模式。建議使用 Mozilla SSL Configuration Generator 產生適合你伺服器的設定。
3. 啟用 OCSP Stapling
OCSP Stapling 讓伺服器主動向 CA 查詢憑證的撤銷狀態，並將結果快取後附在 TLS 握手中回傳給瀏覽器。這比讓瀏覽器自行查詢更快、更保護隱私。
4. 設定 CAA 記錄
在 DNS 中設定 CAA（Certification Authority Authorization）記錄，明確指定哪些 CA 有權為你的網域簽發憑證。這能有效防止未授權的 CA 發出假憑證。如果你想了解更多 DNS 安全設定，可參考 DNS 安全防護指南。
5. 監控憑證到期日
憑證過期是最常見也最容易避免的事故。建議設定自動化監控，在憑證到期前 30 天發出警報。使用 Let's Encrypt 搭配 Certbot 可實現全自動續簽，但仍需監控續簽是否成功。
常見問題與迷思破解
「免費憑證不安全？」
錯誤觀念。 Let's Encrypt 簽發的憑證使用與付費憑證完全相同的加密標準。免費與付費的差異在於驗證等級和附加服務，而非加密強度。
「安裝 SSL 憑證會拖慢網站速度？」
過時的觀念。 在 TLS 1.3 環境下，加密握手只需一次來回。搭配 HTTP/2（要求 HTTPS）和 HTTP/3（基於 QUIC），啟用 HTTPS 反而能提升整體傳輸效能。
「只有電商網站需要 SSL？」
嚴重錯誤。 Google 已將 HTTPS 列為排名因素之一。沒有 SSL 的網站不僅會被標示為「不安全」，還會影響搜尋排名和使用者信任。每一個企業網站都應該啟用 HTTPS。更多資安防護觀念，請參考網站資安防護基礎。
「Wildcard 憑證的安全風險？」
部分正確。 Wildcard 憑證的風險在於：如果私鑰洩漏，所有子網域都會受到影響。建議搭配適當的私鑰管理政策，並考慮為高敏感度的子網域（如支付系統）使用獨立的 EV 憑證。
為你的企業選擇最適合的 SSL/TLS 策略
選擇 SSL/TLS 憑證不是「越貴越好」，而是要根據企業的實際需求做出務實的決策。以下是我們的建議：
- 個人網站 / 部落格：Let's Encrypt 免費 DV 憑證 + 自動續簽
- 企業形象官網：Let's Encrypt 或付費 DV 憑證，搭配 Cloudflare 的 CDN 和安全防護
- 電子商務平台：OV 或 EV 憑證，展現企業信譽
- 金融 / 醫療 / 政府：EV 憑證 + 嚴格的加密套件設定 + 定期安全稽核
- 多子網域企業：Wildcard 憑證 + 關鍵系統獨立 EV 憑證
無論你選擇哪種方案，最重要的是確保憑證正確部署、持續有效、加密設定維持在最新的安全標準。一張過期的 EV 憑證，還不如一張自動續簽的免費憑證。
如果你不確定自己的網站該使用什麼等級的 SSL/TLS 憑證，或需要協助進行安全設定，想了解 客製化網頁設計 完整資安方案，歡迎聯絡元伸科技，我們的團隊將為你提供完整的網站安全諮詢與建置服務。
