SSL 憑證效期正在縮短，手動換會撐不住

1. 憑證的效期上限正在一路縮短

先說 SSL 憑證是什麼。它是憑證機構簽發的電子證明，讓瀏覽器確認這個網域真的是你的，網址列的鎖頭就是它在運作。每一張憑證都有效期，過期之後瀏覽器就不再信任它。

訂定憑證共同規則的地方叫 CA/Browser Forum，瀏覽器廠商與憑證機構都在裡面。它通過的SC081v3 決議把憑證的最長效期從 398 天分階段降到 47 天，從 2026 年 3 月開始，2029 年 3 月完成。

現在已經是 2026 年 8 月，第一階段早就生效了。今年三月之後新簽的憑證，效期最多 200 天，一年期的選項已經不存在。這不是未來要準備的事。

要說明的是，上面這張表的日期與天數，我是從憑證機構的公告整理的，不是逐字對照規範原文。大方向不會變，但實際換發時請以你的憑證供應商當時的公告為準，有些機構會比規定更早自己縮短。

2. 憑證怎麼來的，決定你會不會痛

這件事對不同的人影響差很多，關鍵不在網站大小，在憑證是怎麼裝上去的。

把這四種排在一起會看到一件反直覺的事：受影響的程度和你花多少錢無關，只和有沒有自動化有關。免費憑證反而最安全，因為它從第一天就假設沒有人會記得。

3. 憑證過期那一天會發生什麼

憑證過期不是網站變慢或變醜，是瀏覽器直接擋在前面。訪客看到一整頁紅色警告，要點兩三次才能繼續，而絕大多數人在那一頁就離開了。搜尋結果上的連結還在，點進去卻是警告畫面。

受影響的還不只網站。同一張憑證常常也用在收發信、金流回傳與其他系統的對接上。那些東西沒有畫面，壞掉的時候沒有人看得到警告，只會發現訂單通知沒寄出去。

4. 自動續期怎麼安排

自動續期聽起來像工程師的事，實際上多數人只要確認一個開關。分三種情況講。

第一種是用主機商或架站平台附的憑證。登入後台，找到憑證或安全性那一頁，確認自動更新是開著的，再看一下上次更新的時間有沒有停在很久以前。停住了通常代表某次更新失敗而沒有人收到通知。

第二種是自己的伺服器或 VPS。裝一個自動申請與續期的工具，多數 Linux 系統上都有現成的套件，設定成每天檢查、快到期就自動換一張。裝完要做一次強制更新的測試，確認它真的跑得完，不要等到到期那天才發現權限不對。

第三種是憑證裝在不只一個地方。網站一份、寄信主機一份、流量分流設備再一份，這種最容易漏：續期成功了，卻只更新到其中一台。要問的不是憑證有沒有續，是續好的那張有沒有送到每一個用到它的地方。

5. 免費憑證和付費憑證差在哪

先講一句可能不太受歡迎的話：對絕大多數的中小企業網站來說，免費憑證就夠了。加密強度完全一樣，瀏覽器信任的程度也一樣，訪客看到的鎖頭一模一樣。免費憑證不是簡配版，保護連線的能力和一年幾千元的那種沒有分別。

付費憑證賣的是另外幾樣東西。一是驗證等級：免費憑證只驗證你控制這個網域，付費的會查證公司登記資料並把公司名稱寫進憑證裡。二是服務，出事有窗口可以聯絡、有賠償條款、有集中管理的後台。三是相容性，某些舊設備只認得少數幾家憑證機構。

至於申請，免費憑證的流程幾乎都被工具包起來了。你只要證明自己控制這個網域，通常是讓工具放一個檔案或加一筆 DNS 紀錄，幾分鐘就完成。付費憑證多一道人工查證，公司類型的要提供登記文件，等上幾天是正常的。

6. 現在該做的三件事

不必等到出事。這三件事花不到一小時，做完至少知道自己站在哪裡。

第一，確認現在的憑證是誰在管、怎麼續的。答案如果是「當初做網站的人處理的」而那個人已經聯絡不上，那本身就是要處理的問題。第二，把到期日記下來，設一個提前兩週的提醒，就算後來都自動化了，那仍是最後一道保險。第三，把憑證怎麼續、裝在哪幾台機器寫進交接文件。人會換，文件不會。

什麼時候值得找人？憑證只裝在一台機器、主機商又有自動續期的話，你自己確認開關就夠了，不需要花這筆錢。憑證散在多台機器、或和寄信與金流綁在一起的，才值得一次把自動化與監看建起來。那是一次性的工作，建好之後往後幾年的縮短都不干你的事。