Sectigo 網誌
如何避免 SSL 服務中斷並完成證書續期
在現今的數碼環境中，確保企業線上產品與服務持續可用至關重要。網站停機有一個常見且可預防的誘因，就是與 SSL 證書相關的服務中斷。這類故障的成因多樣，包括 SSL 證書過期、證書無效或 SSL 證書配置不當。無論原因為何，這類中斷都可能導致用戶無法存取你的整個網站或線上服務。為避免此類問題，機構必須建立完善的 SSL 證書監控與續期機制。
SSL 證書服務中斷是甚麼意思？
SSL（安全套接層）/TLS（傳輸層安全）證書的作用是在互聯網上為客戶端與伺服器之間建立安全的通訊通道。當網頁瀏覽器無法驗證網站上安裝的證書時，就會發生 SSL 證書服務中斷或錯誤。此時瀏覽器不會為請求方建立連線，而是顯示錯誤訊息，警告該網站可能不安全。
SSL 證書服務中斷的誘因有多種，當中最常見的是證書過期。SSL 證書過期後，瀏覽器和用戶將無法再信任該網站，進而觸發安全警告，亦可能造成流量損失。這類與證書相關的服務中斷不僅會干擾業務運作，還可能暴露可供網絡犯罪分子利用的安全漏洞。為防範這類問題，IT 團隊必須保持警覺，對 SSL 證書管理採取主動預防的策略。
根據行業標準，目前公網 SSL 證書的有效期最長不得超過 200 天。這意味着每個網站都需要每年對 SSL 證書進行近兩次續期或替換.
這項規則將會調整，因為47 天有效期規則將於 2029 年 3 月前正式實施。
請注意，SSL/TLS 證書分為三個驗證等級：域名驗證（DV）用於基礎的域名擁有權驗證，組織驗證（OV）包含額外的組織合法性核驗，擴展驗證（EV）為最高信任等級，需要經過全面的企業身份驗證（是電子商務網站的標準配置）。
SSL 證書過期會造成甚麼後果？
Web 伺服器停機的代價十分高昂。根據資訊科技情報諮詢（Information Technology Intelligence Consulting）第十一屆年度《停機小時成本調研》，超過 98% 員工規模達 1000 人以上的大型企業表示，平均而言每年單小時停機就會為公司帶來超過 10 萬美元的損失。折算下來單台伺服器停機每分鐘損失達 1667 美元，若停機影響 10 台伺服器以及核心業務應用或數據資產，每分鐘損失將升至 16670 美元。
未被發現的過期 SSL 證書會導致多種流程中斷，輕則在頁面顯示簡單錯誤提示，重則因協議錯誤造成服務突然終止。SSL 證書問題和服務中斷的其他原因包括：
- 證書不屬於受信任證書，即該證書未經過證書頒發機構（CA）的數碼簽署。瀏覽器僅信任其證書列表內受信任機構頒發的證書，不信任非受信網站的證書。這類問題可能需要安裝中繼證書，以證明網站證書由合法根證書頒發機構（CA）簽發。
- 承載網站的單台或多台伺服器上未正確完成證書安裝。
- 目標 URL 出現名稱不匹配錯誤。例如，證書中可能包含域名https://www.example.com，而https://example.com與之不同，可能未被納入該 SSL 證書的保護範圍。這類場景下需要使用能夠同時保護多個子域名以及根域名的 SSL 證書。
- 網站缺少獨立 IP 位址。
- 安全頁面（HTTPS）中包含從非安全頁面（HTTP）加載的元素。非安全頁面上的這類元素可能是圖片、iframe、Flash 動畫或 JavaScript 程式碼片段，會導致瀏覽器顯示錯誤提示而不加載頁面。這類混合內容錯誤會破壞頁面安全性，給網絡犯罪分子實施中間人攻擊留下可乘之機。
- 若網站擁有者在 Web 伺服器或 CDN 上安裝證書時，未正確提供相關證書詳情，就可能出現 SSL 證書無效或中繼證書錯誤。
未部署 SSL 會產生什麼後果？
未通過 SSL 證書獲得加密保護的網站極易遭受網絡攻擊和數據泄露，將訪客和客戶的數據置於風險之中。此外，搜索引擎會對未受安全保護的網站採取懲罰措施，包括阻止用戶訪問、降低網站 SEO 排名，以及在 Google Chrome、Firefox 等瀏覽器中顯示「不安全」警告。這類警告以及 ERR_SSL_PROTOCOL_ERROR 等錯誤提示會消磨客戶信任，損害企業品牌形象。
歡迎收聽 Sectigo 的 Root Causes 播客，了解更多關於證書為何會過期的討論內容。
人工管理證書的挑戰
若未能續期或替換已過期的 SSL/TLS 證書，對應設備的所有通信都將中斷。掌握每一張證書的安裝位置、設備訪問權限管控方以及證書過期時間，對業務持續性至關重要。
對於證書創建和管理團隊分散的機構（例如網絡託管服務商），很快就會面臨數十萬張數碼證書的管理壓力，而且每天還有新的證書不斷生成。缺乏集中管理權責、自動化能力，更關鍵的是缺乏全局可見性，會為人工失誤和未被發現的 SSL 證書錯誤埋下隱患。
即便設置了證書到期電郵提醒，採用人工方式管理證書及相關續期工作的企業，仍可能因權責疏漏、人為失誤、員工休假或人員流動導致證書過期。在這種環境下發生安全事件時，時間極為緊迫，開展故障排查以緩解大範圍風險幾乎是不可能完成的任務。
落實主動監控與管理，是防範 SSL 證書服務中斷的關鍵一步。
通過自動化生命週期管理避免 SSL 證書服務中斷
當下就是梳理、管控您環境中所有數碼證書並實現其生命週期自動化管理的最佳時機，而第一步就是選擇合適的證書頒發機構。一個簡單的事實是，合適的 CA 合作夥伴可以承接一系列對業務至關重要的常規工作，這些工作往往是多數 IT 團隊沒有足夠時間、資源或專業能力自行完成的。當受信任證書的其他優勢與 CA 提供的服務相結合時，該項投資的回報會持續累積。
Sectigo是全球受信任的證書頒發機構（CA），提供證書自動化解決方案，可協助企業在保持對其環境中所有安全證書可控的同時，實現敏捷高效營運。Sectigo Certificate Management (SCM)支援透過業界領先的協議、API和第三方集成，對SSL/TLS證書及非SSL證書進行自動化安裝、吊銷和續期。所有Sectigo SSL/TLS 證書均支援256位元加密，這是現時Web連接可使用的最高強度加密。
借助SCM，企業可以搭建具備證書發現能力的自動化證書管理環境——證書發現指深度掃描整個環境內安裝的所有數碼證書並進行監控，無論這些證書由哪家證書頒發機構（CA）簽發。例如，您可以在Microsoft Windows Active Directory伺服器中部署Sectigo Proxy，即可立刻開始簽發公網證書和私有證書。
Sectigo提供多項自動化能力，包括支援自動化證書管理環境（ACME）協議。該標準可實現證書頒發機構與企業Web伺服器、郵件系統、用戶設備、應用及其他所有使用公鑰基礎設施（PKI）證書的場景之間的證書生命週期管理網絡通訊自動化。SCM對ACME的支援可確保證書無需人工干預即可正確配置和部署。這種自動化方式不僅有助於降低風險，還能幫助IT部門控制營運成本，快速擴大證書簽發規模。
Sectigo已簽發超過1億張證書，可為各種規模的網站提供豐富的選擇，能夠滿足您的SSL證書需求。
SSL證書續期步驟
請按照以下步驟續期您的Sectigo SSL證書:
- 步驟1：登入帳戶或啟動續期流程
現有客戶： 登入您的帳戶。如果您的證書將在90天內到期，對應的SSL證書旁會顯示續期選項。
新客戶： 選中對應的SSL證書後，點擊「立即續期（Renew Now）」，不要點擊「加入購物車（Add to Cart）」。
- 步驟2：填寫表單並完成支付
填寫續期表單，然後完成支付流程。
- 步驟3：生成證書簽名請求（CSR）
建立CSR，當中包含證書所需的公鑰。
- 步驟4：提交CSR
將CSR代碼發送給您的證書頒發機構Sectigo。
- 步驟5：完成驗證並安裝證書
完成驗證流程，安裝已續期的SSL證書。
在Sectigo的協助下，您可確保SSL證書維持最新狀態及配置正確，避免各類SSL錯誤或服務中斷。歡迎了解我們的SSL/TLS 證書，了解我們的自動化證書管理平台 可即時提升貴機構的網絡安全防護狀況。