SSL 證書是安裝在網站伺服器上的數碼檔案，讓瀏覽器核實自己連接的是真正的網站，並與網站建立加密連線。網址以 https:// 而非 http:// 開頭，靠的就是它。證書缺失、與網址不符或已過期，瀏覽器便會顯示安全警告，不少訪客看到後會直接離開。
「SSL」其實是舊稱。SSL 是最初的協定，現在的連線使用其後繼協定 TLS。由於大部分服務商仍稱之為「SSL 證書」，本文兩個名稱通用。
證書實際上做甚麼
訪客開啟網站時，瀏覽器與伺服器會先協商如何加密雙方之間傳送的資料。證書在這過程中有兩個作用：
- 證明身份：證書為指定域名簽發，並由瀏覽器信任的證書機構（CA）簽署。瀏覽器會檢查證書上的域名是否與正在瀏覽的網址相符。
- 建立加密：證書載有公開金鑰，用來建立加密連線，令表格內容、登入資料及付款資料在傳送途中不易被讀取或篡改。
證書保護的是連線，並不代表網站本身安全。背後的應用程式、伺服器及帳戶仍需各自管理。
每張證書都有到期日
證書只在固定期限內有效。期限一過，即使網站其他部分完全沒有改動，瀏覽器也不再信任該證書，訪客會看到警告頁面。過期亦可能影響訪客看不到的連線，例如手機 App 呼叫網站的 API。
這個期限正大幅縮短。CA/Browser Forum 是由證書機構及瀏覽器開發商組成、為公開信任證書訂立規則的組織，於 2025 年通過 SC-081 提案，分階段縮短證書的最長有效期：
- 2026 年 3 月 15 日前簽發：398 天
- 2026 年 3 月 15 日起：200 天
- 2027 年 3 月 15 日起：100 天
- 2029 年 3 月 15 日起：47 天
不少網站使用的免費證書機構 Let's Encrypt，有效期本來已較短。它在 2026 年 10 月 7 日公布，由 2027 年 2 月 10 日起，預設有效期由 90 天改為 64 天，並計劃於 2028 年再縮短至 45 天。現有證書不會被撤銷，最後一批 90 天證書預計約於 2027 年 5 月 11 日到期。域名授權的重用期亦會由 30 天縮短至 10 天，2028 年再減至 7 小時。
官方解釋，縮短有效期是為了減低私密金鑰外洩或證書錯誤簽發時的影響：證書有效期愈短，可被濫用的時間也愈短。
對日常管理有甚麼影響
以往一年人手續期一次尚算可行。有效期縮短至以星期計，只要漏掉一次，網站便會出現警告，所以續期必須自動化。
自動續期大多採用 ACME 標準協定，Certbot、acme.sh 等工具及不少寄存平台都以它申請和安裝證書，毋須人手操作。Let's Encrypt 的建議包括：
- 使用支援 ARI（ACME Renewal Information）的客戶端。ARI 讓證書機構通知客戶端何時續期，有效期改變時也能自動配合。
- 取消固定的續期時間。不少腳本按 90 天證書設定固定日數才續期。Let's Encrypt 建議改為在有效期約三分之二時續期。
- 先測試。Let's Encrypt 計劃於 2026 年 10 月 14 日起在測試環境（staging）簽發 64 天證書，方便團隊預先測試。
- 整個流程都要自動化。證書續期後，如網頁伺服器、負載平衡器或 CDN 仍在使用舊證書，續期便沒有作用。重新載入及部署也應納入自動流程。
- 續期失敗要發出提示。DNS 或防火牆設定改動後，續期可能靜悄悄地失敗，應在到期前及早通知負責人。
以下示例僅供說明：一間公司的主網站經寄存平台自動續期，但多年前在另一部伺服器設立的預約子域名，仍靠一個設定了固定日期的腳本。主網站一切正常，預約頁面卻開始出現瀏覽器警告。如果早已列出所有使用證書的域名，這個問題便能及早發現。
從哪裡開始
- 列出所有使用 HTTPS 的域名及子域名，包括 API、管理後台及測試網站。
- 逐一記錄證書由誰簽發、如何續期及安裝在哪裡。
- 確認續期是否由頭到尾自動化，以及所用工具是否支援 ARI。
- 把證書到期日加入網站監察，到期日臨近時發出提示。
- 議定續期失敗時由誰處理，例如納入軟件支援 SLA。
如使用商業證書機構，或由寄存服務商代為管理證書，可向對方查詢如何應對新的有效期上限。如需協助維護及監察已上線的系統，可參閱 technine.io 的託管支援及 SLA 服務。
常見問題
SSL 證書和 TLS 證書有分別嗎？
沒有。「SSL 證書」是慣用名稱，證書實際配合取代了 SSL 的 TLS 協定使用。服務商通常兩個名稱通用。
付費證書的有效期會比免費證書長嗎？
不能超過業界上限。CA/Browser Forum 的上限適用於所有公開信任的證書，付費證書同樣會按時間表縮短有效期。
續期已經自動化，還需要做甚麼嗎？
未必需要，但值得檢查：確認工具沒有依賴固定的續期日數、續期後的證書確實已部署，以及續期失敗時有人收到通知。