打開一個網站，網址列旁邊出現「不安全」三個字，大部分人的第一個反應是關掉。就算只是一個介紹店家的形象官網，沒有填表單、沒有付款，客人也會覺得這個網站怪怪的。
讓這三個字消失的，就是 SSL 憑證。這篇用白話說明 SSL 憑證是什麼、網站是不是一定要裝、免費和付費差在哪，以及裝好之後還要確認的幾件事。
SSL 憑證是什麼？
客人瀏覽網站時，資料會在客人的手機或電腦，和你的網站主機之間來回傳送：打開哪一頁、表單填了什麼、登入的帳號密碼。沒有加密的話，這些資料在傳送途中有機會被看到或竄改，例如在公共 Wi-Fi 上。
SSL 憑證做兩件事：
- 加密：把傳送的資料上鎖，只有瀏覽器和網站主機打得開
- 證明身分：由憑證機構確認「這個網域真的是這個網站的」，避免客人連到冒牌網站
裝好之後，網址會從 http:// 變成 https://，多出來的 s 就是 secure（安全）。
順帶一提，SSL 是比較早期的技術名稱，現在實際使用的是它的後繼版本 TLS。不過大家習慣了，主機商和平台還是叫它「SSL 憑證」，指的是同一件事。
網站一定要裝 SSL 嗎？
一定要。現在已經不是「有表單才需要」的時代，原因有三個：
1. 瀏覽器會擋在前面
依 Google 安全性部落格（2025 年 10 月發佈），Google 宣布從 Chrome 154 版開始（公告時預定 2026 年 10 月），把「一律使用安全連線」改成預設開啟：客人第一次打開沒有 https 的公開網站時，Chrome 會先跳出警告，問他要不要繼續前往。也就是說，沒有 SSL 的網站，客人還沒看到內容，就先看到一個警告頁。
2. 客人的信任
網址列的「不安全」標示，對一般人來說很直觀。客人不一定懂加密，但看到警告就會猶豫要不要留電話、要不要下單。
3. Google 的網頁體驗
依 Google 搜尋中心對網頁體驗的說明（2026 年 9 月更新），Google 建議網站自我檢查的項目裡，就包含「網頁是否透過 HTTPS 提供」。Google 也說明，這類項目不一定會直接讓排名上升，但能讓網站更符合使用者的需求。換句話說，裝 SSL 不是拿來衝排名的，而是基本門檻。
免費和付費的 SSL 憑證差在哪？
SSL 憑證有免費的，也有一年要價上萬的。差別主要在「憑證機構確認了多少身分資料」：
| 類型 | 確認什麼 | 費用 | 適合 |
|---|---|---|---|
| 網域驗證（DV） | 只確認你管理這個網域 | 多半免費，很多主機和平台已內建 | 大部分品牌官網、部落格、一般電商 |
| 組織驗證（OV） | 另外確認公司或組織的真實資料 | 付費 | 想在憑證資料中顯示公司名稱的企業 |
| 延伸驗證（EV） | 更嚴格的公司身分審查 | 付費，最高 | 金融、大型企業等有特殊需求的網站 |
這三種在加密強度上沒有差別，客人在網址列看到的鎖頭也一樣。依網站架設費用行情，付費憑證每年約 2,000～30,000 元，依等級而定。
一般品牌網站用免費的網域驗證憑證就夠了，例如 Let's Encrypt 這類免費憑證機構發的憑證，許多主機和架站平台都已經直接附上。如果報價單上有一筆 SSL 費用，可以問清楚是哪一種、為什麼需要付費版。網站每年還有哪些固定費用，可以參考〈網站架設費用拆解〉。
憑證效期越來越短，續期一定要自動化
SSL 憑證有使用期限，到期沒有更新，網站會直接出現「你的連線不是私人連線」這類全頁警告，比沒裝還嚴重。
而且這個期限正在縮短：
- 依憑證機構與瀏覽器共同組成的 CA/Browser Forum 決議（2025 年 4 月通過），公開憑證的最長效期從 2026 年 3 月起分階段縮短。依 DigiCert 的整理（2025 年 5 月發佈），2026 年 3 月 15 日起最長 200 天、2027 年起 100 天，2029 年 3 月起只剩 47 天。
- 免費憑證 Let's Encrypt 也在 2025 年 12 月宣布，預設的憑證效期會從 90 天逐步縮短，2028 年 2 月起改成 45 天，並建議不要手動續期。
以前一年手動換一次憑證還勉強可以，之後一年要換好幾次，靠人記一定會漏。所以現在挑主機或平台時，「憑證會不會自動續期」比「憑證要不要錢」更重要。主機要問的其他問題，整理在〈網站主機是什麼？〉。
裝好 SSL 之後，還要確認的 4 件事
憑證裝好，不代表就沒事了。上線前可以逐項檢查：
1. http 會自動轉到 https
在網址列輸入 http:// 開頭的網址，確認會自動跳到 https://。舊的 http 網址要用 301 轉址導到 https，原本累積的搜尋排名才會跟過去，做法可以參考〈301 轉址是什麼？〉。
2. 沒有混合內容
網頁本身是 https，但裡面的某張圖片、某段影片或程式碼還是用 http 載入，這叫「混合內容」。瀏覽器可能會擋掉這些內容，或讓鎖頭消失。常見於舊網站搬家、文章裡貼了舊的圖片網址。用瀏覽器打開每一種頁面，看鎖頭有沒有正常出現。
3. 有 www 和沒有 www 都有效
www.yourbrand.com 和 yourbrand.com 對憑證來說是兩個名稱。兩個都要能正常用 https 打開，再統一轉到其中一個當主網址。
4. 續期是自動的，而且有人收到通知
確認憑證是自動續期，並且知道萬一續期失敗，通知會寄到哪個信箱。網域的聯絡信箱和到期提醒要怎麼管，可以看〈網域是什麼？〉。
網站出現「不安全」警告，可能是這幾個原因
如果網站已經裝了 SSL，還是出現警告，常見的原因有：
- 憑證過期：續期失敗或忘記續期，最常見
- 網域名稱對不上：憑證只涵蓋
yourbrand.com，客人打的是www.yourbrand.com - 混合內容：頁面裡還有 http 載入的圖片或程式
- 剛換網域或主機：新的憑證還沒發好，通常等一段時間或請主機商重新申請即可
- 客人裝置的時間設錯：手機或電腦的日期不對，瀏覽器會誤判憑證過期，這種情況只有個別客人會遇到
先用不同的裝置和網路打開網站，如果大家都看到警告，就是網站端的問題，要找主機商或負責維護的人處理。
basedot 的做法
basedot 做的網站綁定你的網域時，會一起配置 SSL 憑證，上線前也會確認 http 轉 https、手機和電腦上的鎖頭都正常。憑證後續怎麼更新、出問題時找誰，交件時會一起說明。
SSL 憑證常見問題
沒有表單、沒有賣東西的網站，也要裝 SSL 嗎？
要。Chrome 對沒有 https 的公開網站會跳出警告，跟網站有沒有表單無關。而且現在免費憑證很普遍，沒有理由不裝。
免費的 SSL 憑證安全嗎？
安全。免費和付費憑證的加密強度一樣，差別在憑證機構確認身分的程度。一般品牌網站用免費憑證就夠了。
裝了 SSL，網站就不會被駭嗎？
不是。SSL 保護的是「傳輸過程」的資料，不會防止網站本身的漏洞，例如系統沒更新、密碼太簡單。網站安全還要靠定期更新、備份和帳號管理。
SSL 憑證要自己申請嗎？
看網站用什麼系統。架站平台和多數主機商都會自動幫你申請和續期；自己租 VPS 或雲端主機，就要自己設定，或請負責維護的人處理。
結論：SSL 是網站的基本配備，續期比申請更重要
SSL 憑證讓網址變成 https，替資料加密，也讓瀏覽器不再顯示「不安全」。Chrome 開始對沒有 https 的網站預設跳出警告後，SSL 已經是每個網站都要有的基本配備。
一般品牌網站用免費憑證就夠了。真正要注意的是後續：http 有沒有轉到 https、有沒有混合內容、續期是不是自動。憑證效期越來越短，交給系統自動處理，才不會哪天突然整個網站跳出警告。
有架設網站的需求，歡迎跟 basedot 網頁設計聯繫。
