SSL (https)

SSL、TLS和https是一樣的東西嗎？

幾乎是同樣的意思。SSL是舊技術的名稱，現在實際使用的是下一代的TLS，只是大家習慣了，還是繼續叫它SSL。

https就是在網址的通訊方式（http）上加上這種加密。網站裝上「SSL憑證」後，網址就會以https開啟。

憑證既是加密用的鑰匙，也是證明「這個網址的主人沒錯」的認證印章。客人的瀏覽器會先看憑證確認網址是真的，再建立加密連線。

所以業者說「套用SSL」、「設定TLS」、「轉換成https」，大多指的是同一件事。老闆要確認的不是技術名稱，而是客人打開網址時，是否以https開啟且沒有跳出警告。

SSL憑證免費和付費差在哪裡？

不論免費還是付費，加密等級都一樣。差別在於核發時「確認到什麼程度」。免費憑證只會自動確認您是不是網址的主人，貴的憑證則會用文件確認公司是否真實存在。

以前用通過公司驗證的憑證，網址列有時會用綠色大大顯示公司名稱，但現在主要瀏覽器幾乎都取消了這種特別標示。所以街區小店或一般購物網站，大多用免費憑證就足夠了。

最具代表性的免費憑證核發機構是Let’s Encrypt。很多主機商和部署平台都會自動幫您裝上這類免費憑證並自動續期。

值得考慮付費憑證的情況，大概只有往來廠商或投標文件要求特定憑證的時候。如果沒有這類要求，比起昂貴的憑證，確定自動續期有在運作，對客人的體驗重要得多。

SSL憑證有效期多久？為什麼會過期？

憑證只能使用幾個月、不到1年的期間，而且有效期有越來越短的趨勢。這是刻意設計得短一點，萬一鑰匙外洩，也能縮短受害期間。

例如Let’s Encrypt目前核發90天的憑證，並宣布計畫從2027年2月起縮短為64天、2028年2月起縮短為45天。這種週期很難每次都靠人工手動更新，所以自動續期幾乎是必備的。

所以比起「有沒有買憑證」，確認「有沒有在自動續期」更重要。自動續期如果因為某些原因停掉，到期日隔天客人的畫面就會直接跳出警告。

自動續期通常由主機或部署平台自動處理，但在更改網域連結設定或更換業者之後，續期有時會悄悄停掉。做完大變更後，確認一下憑證到期日有沒有重新延長，會比較安心。

有SSL就能防止網站被駭嗎？

不行，SSL只保護客人和網站之間「往來的路徑」。它能防止客人在詢問表單填寫的姓名和電話在傳送途中被偷看或竄改，但並不保護網站伺服器或管理員帳號本身。

所以就算是https網站，如果管理員密碼外洩，或舊程式的漏洞一直沒修補，還是可能被駭。伺服器和管理後台的資安，要另外靠更新、密碼管理和備份來顧好。

站在客人的角度，也不是「有https就一定是可信的網站」。假網站一樣能申請免費憑證，所以同時確認網址是否正確很重要。店家用簡訊傳付款連結或預約連結時，固定使用同一個主要網址，客人就不容易搞混。

http網站要怎麼換成https？

不是裝上憑證就結束了，還要把從舊http網址進來的客人和搜尋引擎，順利轉移到https。漏掉這一步的話，同一個頁面會被拆成兩個網址，或是夾雜出現警告。

轉移得當，原本的搜尋曝光大多都能延續。Google說明，同樣的內容如果http和https都能開啟，通常會選https網址作為代表，所以只要301轉址一個不漏地設好，搜尋結果也會自然轉到https網址。

1. 01請主機商或製作公司申請憑證並設定自動續期。
2. 02確認主要網址和www網址都能以https開啟。
3. 03設定從http進來時自動轉到https（301重新導向）。
4. 04頁面裡的照片・影片・連結網址也改成https。只要有一個還是http，就會出現「混合內容」警告。
5. 05確認Google Search Console和Naver Search Advisor登錄的網站網址是https。
6. 06把名片QR碼・廣告・社群檔案連結改成https網址。

網站為什麼會出現「不安全」警告？

大多是因為憑證過期、憑證上的網址和實際網址不同，或頁面裡夾雜用http載入的檔案。客人裝置的日期和時間不準時，也可能出現類似的警告。

每個瀏覽器的顯示方式也不同。例如Chrome在安全的網址上，有時會顯示其他形狀的圖示而不是鎖頭，所以沒看到鎖頭不一定就是有問題。最準確的判斷方式，是看網址是否以https開頭、有沒有警告文字。

如果發現警告，請截圖記下是哪個網址、用什麼裝置、出現什麼文字，傳給業者。如果是憑證過期這類緊急問題，客人可能正無法預約或詢問，最好馬上通知。

• 憑證是否同時涵蓋www網址和主要網址？
• 自動續期有開啟嗎？失敗時由誰收到通知？
• 頁面裡有沒有用http載入的照片或檔案？