SSL 是什麼？網站為什麼一定要安裝
它在做什麼
網站與訪客的裝置之間，資料是透過網路傳輸的。這些資料如果沒有加密，在傳輸過程中被攔截時，內容會直接被看見——包含表單填寫的姓名電話、後台登入的帳號密碼。
加密的作用就是：即使被攔截，攔截者也看不懂內容。
實務上它同時提供三件事：
- 加密——傳輸內容不會被第三方讀取
- 完整性——內容在傳輸中被竄改會被發現
- 身分驗證——確認你連到的確實是那個網站，而不是偽冒的
SSL 與 TLS 的關係
兩個名詞常被混用。技術上現在使用的是 TLS，SSL 是它的前身，早已停止使用。
但業界習慣仍稱為「SSL 憑證」，多數服務商也沿用這個說法。兩者在日常溝通中指的是同一件事，不必特別區分。
現在是基本配備，不是加值選項
幾年前 SSL 還常被當成「購物網站才需要」的選配項目，現在情況已經完全改變：
- 瀏覽器會對未加密的網站顯示不安全警告——訪客看到警告的第一反應通常是離開
- 沒有加密的網站，表單送出的資料是明文傳輸
- 部分瀏覽器功能在未加密的環境下無法使用
- 加密與否是搜尋排名的參考訊號之一
結論：所有網站都應該安裝，不論有沒有交易功能。
兩個過時的說法要更新
「加密會讓網站變慢」
這在早期有一定道理，但現在通常不成立。加密連線的建立確實多了一道程序，但現代的傳輸協定需要加密才能啟用，而那些協定帶來的效能改善，通常超過加密本身的成本。
實務上，正確設定的加密網站往往比未加密的更快。
「維護成本會增加」
免費憑證加上自動續期機制普及之後，維護成本已經趨近於零。多數主機面板都支援一鍵申請與自動更新。
真正的成本只出現在需要較高等級驗證的憑證，或環境特殊無法自動化的情況。
訪客看到的差別
| 已加密 | 未加密 | |
|---|---|---|
| 網址開頭 | https | http |
| 網址列顯示 | 通常顯示鎖頭或無特別標示 | 不安全警告 |
| 填表單時 | 正常 | 可能出現額外警告 |
瀏覽器的呈現方式會調整——早期會用綠色標示加密網站，現在多改為不特別標示正常的、只警告有問題的。
這代表：有加密不會加分，但沒有加密會扣分。
它不能做什麼
這一點常被誤解。加密保護的是傳輸過程，不代表網站本身是安全的。
- 不能防止網站被入侵
- 不能保證網站的內容可信——詐騙網站也可以有加密
- 不能保護存在伺服器上的資料
- 不能取代密碼管理與權限控制
看到鎖頭只代表「連線是加密的」，不代表「這個網站值得信任」。 這一點在提醒客戶注意釣魚網站時很重要。
網站本身的安全見後台的資安：密碼、登入保護與被入侵怎麼辦。
對搜尋的影響
加密是搜尋排名的參考訊號之一，但權重不高——它不會讓內容不好的網站排上去。
比較實際的影響是間接的：未加密網站的警告會提高跳出率，而使用者行為本身會影響評價。
什麼時候需要更高等級的憑證
多數企業網站使用基本的憑證就足夠。需要考慮升級的情況：
- 直接串接銀行端的金流服務——通常有較嚴格的要求
- 需要在憑證資訊中顯示公司名稱以增加可信度
- 特定產業的合規要求
類型的選擇見憑證有哪些種類。
憑證的類型、有效期限、瀏覽器的呈現方式與相關規範會不定期調整，本文說明的是原則與判斷方式。實際規格請以憑證核發單位與瀏覽器官方之現行公告為準。