網站憑證效期一路縮短到 47 天，Chrome 也開始提醒 HTTP 網站：小店要確認的是自動續期

前幾天我讀一篇架站服務的入門文章，把網域、主機、SSL 比喻成店面的地址、店面和門鎖，最後提醒一句：免費憑證很常見，重點是會不會自動續期。這句話只帶了一行，但我查完相關規定之後，覺得它值得寫成一整篇，因為接下來幾年，這把「門鎖」換新的頻率會越來越高。

我的看法是：對多數小店來說，HTTPS 已經不是要不要做、要花多少錢的問題，而是「有沒有人在顧」的問題。憑證本身多半免費，風險在某一天自動續期失敗、沒有人發現，客人打開網站看到一整頁紅色警告。以下我依 CA/Browser Forum 的決議、Let's Encrypt 與 Chrome 的官方公告，以及 Google 搜尋中心的說明，整理小店要知道的部分。

先講清楚：憑證是什麼，過期了會怎樣

網址開頭是 https 的網站，瀏覽器和網站之間的資料會加密，旁人看不到你在表單裡填了什麼。要做到這件事，網站要有一張由公開信任的憑證機構簽發的「憑證」，證明這個網站確實屬於這個網域。憑證有使用期限，到期就要換一張新的。

憑證過期時，訪客用 Chrome 打開網站，會看到整頁的「你的連線不是私人連線」，錯誤碼是 NET::ERR_CERT_DATE_INVALID。詳細說明會寫出這張憑證已經在幾天前到期，並提醒「這可能是因為設定錯誤，或有攻擊者攔截你的連線」。訪客可以點進進階選項繼續前往，但連結旁邊會標著「不安全」。

有一點容易讓店家誤判：Chrome 說明中心把這個錯誤碼主要歸因於訪客裝置的日期或時間不正確，所以客人可能以為是自己手機的問題。但 Chromium 的原始碼說明寫得很清楚，伺服器設定錯誤、沒有提供有效的憑證，也會出現同一個錯誤碼。如果好幾個客人同時反映打不開，先檢查的應該是你的網站，不是他們的手機。

效期時程：從 398 天到 47 天

公開信任的網站憑證，最長能用多久，是由憑證機構和瀏覽器共同組成的 CA/Browser Forum 訂定。2025 年 4 月，這個組織通過 SC-081v3 決議，由 Apple 提案，Google Chrome 與 Mozilla 附議；投票結果是憑證機構 25 票贊成、0 票反對、5 票棄權，瀏覽器方面 Apple、Google、Microsoft、Mozilla 全數贊成。決議內容是分階段縮短效期：

資料來源：CA/Browser Forum Ballot SC-081v3（2025 年 4 月 11 日通過）、Baseline Requirements 第 4.2.1 節與第 6.3.2 節，資料截至 2026 年 10 月。

右邊那一欄也值得注意。憑證機構簽發前，要先確認申請人確實控制這個網域，這份驗證結果可以重複使用一段時間；2029 年起只剩 10 天。換句話說，以後不只憑證要常換，連「證明網域是你的」這一步也要常做，靠人工上傳檔案、手動貼 DNS 記錄的做法會越來越吃力。

為什麼要縮短？決議的背景說明提到兩個理由。第一，憑證撤銷機制在今天的網路規模下，無法充分保護使用者；效期短，壞掉的憑證能被濫用的時間就短。第二，效期短，業界在需要更換加密技術時，可以更順利、必要時更快速地完成轉換。

把效期換算成「一年要換幾次」，會更有感。下表依 Let's Encrypt 建議的做法，假設每張憑證在用掉大約三分之二效期時續期：

資料來源：依 CA/Browser Forum 決議與 Let's Encrypt 公告的效期自行換算，資料截至 2026 年 10 月。換算方法：續期間隔 = 效期 × 2/3，四捨五入到整數天；一年次數 = 365 ÷ 未四捨五入的續期間隔，取到小數點後一位。

以前一年換一次，交給人記在行事曆上還做得到；到了一年要換十二次，就只能交給程式。這也是 Let's Encrypt 在 2025 年 12 月的公告直接寫「不建議手動續期」的原因。

這張表也代表一件小店可能沒想到的事：就算你向廠商買的是「一年期」的付費憑證方案，2026 年 3 月 15 日以後簽發的憑證本身，最長也只能用 200 天，中途一定要重新簽發一次。花錢買的是方案和服務，不是更長的效期。

Let's Encrypt：免費憑證也在改

很多小店網站用的是 Let's Encrypt 提供的免費憑證，幾乎所有主機商與架站平台都內建。它的變化比上面的上限更早、更快：

資料來源：Let's Encrypt 官方部落格（2025 年 6 月 26 日、2025 年 12 月 2 日、2026 年 1 月 15 日、2026 年 10 月 7 日）與設定檔說明文件，資料截至 2026 年 10 月。

表裡第一列，是我認為小店最需要知道的一件事。以前就算自動續期壞了，Let's Encrypt 還會寄信提醒你憑證快到期；2025 年 6 月起不寄了，官方也刪除了先前存放的電子郵件地址，建議改用第三方監控服務。如果你的網站一直是靠那封信在提醒，現在已經沒有這道保險。

Let's Encrypt 對既有使用者的說法是：已經自動續期的人，多半不需要做任何改變，但要確認自動化流程能處理效期較短的憑證。它特別提醒，把續期寫死成「每 60 天一次」的做法，在 64 天憑證時代會不夠用；建議改成大約在效期三分之二時續期，並在 2026 年 10 月的公告中，請管理者到排程與腳本裡搜尋 60、80、83 這類寫死的數字。另外它也推薦支援 ACME 續期資訊（ARI）的工具：憑證機構需要提前撤換憑證時，可以主動告訴續期程式提早換新。官方的說法是，依賴系統管理員手動處理的流程，來不及照顧到大多數網站。

Chrome 也在推：HTTP 網站會先跳警告

另一邊，瀏覽器對沒有 HTTPS 的網站也越來越不客氣。Chrome 從 2018 年 7 月的 Chrome 68 起，網址列會把所有 HTTP 網頁標成「不安全」。2025 年 10 月 28 日，Google 宣布把「一律使用安全連線」改成預設開啟：桌機版從 Chrome 154 開始，穩定版在 2026 年 9 月 22 日發布；Android 版從 Chrome 155 開始。

開啟之後，訪客第一次連到沒有 HTTPS 的公開網站時，Chrome 會先顯示「你與這個網站的連線不安全」，說明這個網站不支援 HTTPS，讓訪客選擇「返回」或「繼續前往網站」。Google 的說明是，這是可以略過的警告；使用者經常造訪的網站不會一再跳出，只有新的、或最近沒去過的 HTTP 網站才會警告，使用者也可以自己關掉這個設定。

對小店來說，這個「新的、或最近沒去過」正好是最要緊的訪客：第一次從搜尋結果或分享連結點進來、還不認識你的客人。

有聯絡表單、預約表單或訂購頁的網站，更不能停在 HTTP。Chrome 從 2018 年 10 月的 Chrome 70 起，使用者在 HTTP 網頁上輸入資料時，網址列的「不安全」會變成紅色警告。客人正要留下姓名和電話的那一刻，看到的是一個紅色的「不安全」，這筆詢問很可能就不會送出。HTTPS 加密的正是這段傳輸，讓客人填的資料在送到你的網站之前，不會被同一個網路上的其他人看到或竄改。

HTTPS 現在有多普及？依 Google 透明度報告，2026 年 10 月 11 日當週，Chrome 在各平台載入的網頁中，使用 HTTPS 的比例是 Windows 95.2%、Mac 97.9%、Android 99.0%、ChromeOS 99.5%、Linux 87.8%。報告沒有台灣的分國數據。Google 自己的說法是，這個比例在 2015 年約 30% 到 45%，2020 年前後到了 95% 以上，之後就大致停滯了；剩下沒有 HTTPS 的網站，就是這次預設警告要處理的對象。

Google 搜尋怎麼看 HTTPS

很多架站文章會說「HTTPS 能提升排名」，我查了 Google 搜尋中心的說法，需要更精確一點。Google 在 2014 年 8 月宣布把 HTTPS 當成排名信號，但當時就說明這只是非常輕微的信號，影響不到全球 1% 的查詢。現行的〈瞭解 Google 搜尋結果中的網頁體驗〉則寫明，除了 Core Web Vitals 指標，其他網頁體驗層面不會直接幫你提高排名；同一份文件仍把「網頁是否以安全的途徑提供」列為自我評估問題，也建議沒有 HTTPS 的網站改用 HTTPS。

比排名更實際的是索引。Google 從 2015 年 12 月起，同一網址有 HTTP 與 HTTPS 兩個版本時，通常優先索引 HTTPS 版，前提之一是伺服器有有效的憑證；現行的〈整合重複網址〉也寫，HTTPS 網頁含有無效的憑證時，Google 可能改為偏好 HTTP 版本。也就是說，憑證壞掉不只嚇走訪客，也可能讓搜尋結果裡出現的網址跟著亂掉。同一份文件也列出兩種不要採用的做法：使用無效的憑證，以及把 HTTPS 網址重新導向回 HTTP，因為這很可能讓 Google 改偏好 HTTP 網頁。實務上的做法很單純：所有 HTTP 網址都轉到對應的 HTTPS 網址，憑證保持有效，不要反過來轉。換網址、換主機的時候，這一點特別容易被忽略，搬家後記得用 Search Console 確認首頁的標準網址是不是 https 開頭。

小店要確認的五件事

把上面整理成一張檢查表。前四項不需要懂技術，問你的架站服務或主機商就能確認：

資料來源：依 Let's Encrypt 官方公告、Chrome 與 Google 安全性部落格公告、CA/Browser Forum 決議整理；分項方式是我的判斷，資料截至 2026 年 10 月。

這張表裡，我最在意的是第三項。自動續期失敗本身不可怕，可怕的是沒有人知道。如果你是請廠商架站，順便確認主機與後台帳號在誰名下、合約結束時憑證與主機怎麼交接，這部分我在〈請人架網站、做 SEO 之前，先確定網域、帳號和文章都在你名下〉整理過。

舉一個示意情境，不是真實案例：一家小店幾年前請朋友幫忙架了網站，憑證是朋友當初手動申請、手動安裝的，每次到期前都靠一封提醒信，朋友收到後再幫忙換。2025 年那封信不再寄了，朋友也早就換了工作。某天憑證到期，店家要等到客人傳訊息說「你們網站好像被駭了」才發現。這種情況下，問題不在憑證要不要錢，而在沒有任何一個人、任何一個系統負責「到期前換好」。比較穩當的處理順序是：先請朋友或新的技術人員把憑證換好，讓網站恢復；接著改成主機控制台內建的自動續期，或換到會替你處理憑證的主機或平台；最後設定一個你自己收得到的到期監控通知，並把「憑證由誰負責」寫進交接文件。修好一次不難，難的是確保下一次不會再發生。

依你的網站怎麼架，要做的事不一樣

同樣是確認自動續期，不同的架站方式，該問的人和該看的地方不一樣：

• 用架站服務或電商平台。 憑證通常由平台統一申請與續期，你要確認的是：接上自己的網域之後，平台有沒有同時替這個網域簽發憑證、網址是否確實變成 https；以及平台的服務條款或說明頁裡，有沒有寫明憑證由平台負責。
• 請工作室或接案者架站、主機由對方代管。 憑證、主機、續期排程都在對方手上。請對方用文字說明：憑證由哪個機構簽發、用什麼工具自動續期、失敗時通知寄給誰；合約結束時，這些也要一起交接。
• 自己租主機、自己管。 多數主機控制台都有一鍵啟用免費憑證的功能，啟用後要確認它是自動續期，而不是只申請一次。自己寫排程的人，照 Let's Encrypt 的建議，檢查有沒有把續期天數寫死，並另外設定到期監控。

不管哪一種，最簡單的自我檢查是：每隔一段時間，自己用手機的行動網路打開一次網站，看網址列是否正常、有沒有跳出任何警告。客人看到的畫面，你應該比客人先看到。

我的判斷在哪些情況下不成立

• 用大型架站或電商平台開店。 平台通常會統一處理所有店家的憑證，你能做的不多，也不太需要做；這時第三項的通知對象是平台，你只要確認自訂網域接上後，網址確實是 https。
• 公司內部系統或私有憑證。 本文說的效期上限，規範的是瀏覽器公開信任的網站憑證；企業內部自建的憑證機構不在 CA/Browser Forum 決議的範圍內，規則由各公司自己訂。
• 需要組織驗證或延伸驗證憑證的企業。 這類付費憑證會在憑證裡載明公司身分，有些產業或客戶要求使用，花錢仍有理由；但效期上限一樣是 200 天、100 天、47 天，自動化同樣重要。
• 時程可能再調整。 CA/Browser Forum 與 Let's Encrypt 的時程，未來仍可能修改；Chrome 的警告行為也可能隨版本調整。以官方最新公告為準。

常見問題

網站一定要有 HTTPS 嗎？

Chrome 從 2018 年起把 HTTP 網頁標為不安全，Chrome 154 起還會對第一次造訪的訪客先跳出警告。Google 搜尋也建議網站使用 HTTPS，並在選擇標準網址時偏好有有效憑證的 HTTPS 版本。

SSL 憑證要花錢買嗎？

多數小店不需要。Let's Encrypt 提供免費憑證，多數主機商與架站平台都內建。付費的組織驗證或延伸驗證憑證會載明公司身分，有特殊需求才需要；不論付費或免費，最長效期都受同一套上限限制。

憑證現在最長可以用多久？

2026 年 3 月 15 日起簽發的公開信任網站憑證，最長 200 天；2027 年 3 月 15 日起縮為 100 天，2029 年 3 月 15 日起縮為 47 天。Let's Encrypt 目前預設 90 天，2027 年 2 月 10 日起改為 64 天，2028 年 2 月 16 日起改為 45 天。

憑證過期了，客人會看到什麼？

用 Chrome 會看到整頁的「你的連線不是私人連線」，錯誤碼是 NET::ERR_CERT_DATE_INVALID，詳細說明會寫憑證已在幾天前到期。客人可以選擇繼續前往，但會被標示為不安全。

Let's Encrypt 還會寄到期提醒信嗎？

不會。Let's Encrypt 在 2025 年 6 月 4 日停止寄送到期提醒，並刪除了先前存放的電子郵件地址，建議改用第三方監控服務。自動續期要另外設定失敗通知，或請主機商確認有人負責。

資料來源