網站顯示「不安全」怎麼辦：憑證警告的判斷與修復步驟

網站跳出「不安全」或「你的連線不是私人連線」，原因通常是：網站沒有 HTTPS、憑證過期、憑證上的網域名稱和網址不符、伺服器沒送出完整的憑證鏈，或網頁混用 http 圖片與腳本。先點網址列左側的圖示看憑證到期日與核發對象，再用線上 SSL 檢測工具確認。找到原因後，多半是續期或重新安裝憑證、修正網址與連結，不需要重做網站。

Chrome 說明中心指出，出現「你的連線不是私人連線」時，問題可能在網站、網路或裝置。先分清楚，才不會白忙。

• 多位客人反映，你用手機行動網路也看到：幾乎確定是網站端的問題，往下檢查憑證。
• 只有一位客人看到：先請對方確認裝置的日期和時間。裝置時間不準，Chrome 會顯示「你的時鐘時間過慢／過快」或 NET::ERR_CERT_DATE_INVALID。
• 只在某個公司網路或某台電腦出現：防毒軟體的「HTTPS 掃描」、會攔截 HTTPS 的公司 Proxy、需要先登入的公共 Wi-Fi 都可能造成憑證錯誤。請客人換網路試試。
• 整頁紅色警告寫著「危險」：這是 Google 安全瀏覽把網站標記為不安全，和憑證無關，要另外檢查網站是否遭入侵。

不要請客人點「繼續前往」或自行安裝憑證繞過警告，Chrome 說明中心也提醒自行安裝憑證通常有安全風險。

Chrome 憑證有問題時會整頁顯示「你的連線不是私人連線」，下方那行錯誤代碼就是判斷關鍵。Safari 則可能顯示「不安全」「網站不安全」或「此連線並不安全」；Apple 支援文件說明，網站使用 HTTP、憑證過期或無效、仍用 TLS 1.1 以前的舊協定，都可能出現這些字樣，需要實際檢查才知道是哪一種。

1. 換環境重現：用電腦和關掉 Wi-Fi 的手機各開一次，Chrome、Safari 都試，把錯誤代碼截圖，之後交給主機商或網站管理者。
2. 點網址列左側的圖示看憑證：Chrome 點網址左側圖示，進入連線安全的詳細資訊即可開啟憑證；Mac 版 Safari 從選單列「Safari」選「連線安全詳細資訊」，出現警告時也可點「顯示憑證」。看三件事：有效期限是否已過或快到期；核發對象是否包含有 www 與沒有 www 等所有在用的網址；核發者是否為公開信任的憑證機構。
3. 用免費的線上 SSL 檢測工具：搜尋「SSL 檢測」或「SSL server test」，輸入網域即可。看到期日、名稱是否相符、憑證鏈是否完整、支援的 TLS 版本；有評分的話，扣分項目就是要修的地方。
4. 用 Chrome 開發人員工具：按 F12，在「Privacy and security」面板的 Security 區塊可以看到憑證，以及頁面是否從不安全的來源載入資源。
5. 四種網址都測：http、https、有 www、沒有 www，確認最後都到同一個 https 網址且沒有錯誤。
6. 找出憑證由誰管理：是主機內建、外包廠商安裝還是另外購買？有沒有自動續期？到期通知若寄到離職員工或廠商的信箱，就可能沒人發現。

這些步驟多半要在主機控制台或伺服器上操作。網站由主機商或外包廠商管理的，把檢查結果交給他們處理。

• 憑證過期：續期或重新申請並安裝。換了新憑證、檢測仍顯示舊到期日，可能是網站伺服器沒有重新載入，或 CDN、負載平衡器等其他地方還沒換。
• 網域名稱不符：列出所有對外網址，包括有無 www、子網域與仍在使用的舊網域，確認憑證全部涵蓋。轉址是在 HTTPS 連線建立之後才發生，所以 https://www 版本本身也要有有效憑證，不能只靠轉址。
• 憑證鏈不完整：伺服器除了網站憑證，還要一起送出中繼憑證。TLS 1.3 標準 RFC 8446 規定，伺服器自己的憑證排第一，之後每張應直接認證前一張。各瀏覽器與裝置遇到缺少中繼憑證時處理不同，有的能自行補齊、有的直接報錯，所以會出現「我的電腦正常、客人手機不行」。解法是安裝供應商提供的完整憑證鏈檔案。
• 自簽或協定過舊：對外網站要用公開信任的憑證機構簽發的憑證，Chrome 信任的根憑證列在 Chrome Root Program。協定方面，Chrome 說明中心建議網站擁有者使用 TLS 1.3，要支援舊裝置可同時提供 TLS 1.2。

混合內容是指網頁用 HTTPS 載入，頁面裡的圖片、腳本等資源卻是 http 網址。依 MDN 說明，瀏覽器會把 http 的圖片、音訊、影片自動改用 https 載入，腳本、樣式表、iframe、網頁字型則直接封鎖，所以常見症狀是破圖、版面跑掉、表單按鈕沒反應。

怎麼找：按 F12 看「Console」（主控台），瀏覽器會在這裡列出被升級或封鎖的 http 網址。Chrome 開發人員工具的 Security 區塊選「Non-secure origins」，再點「View requests in Network panel」，可只列出不安全的資源。頁面多的網站，用爬蟲或線上混合內容檢測工具掃描全站，舊文章、產品頁、活動頁最容易漏掉。

怎麼修：

• 自家資源：把網頁與佈景主題裡寫死的 http:// 改成 https:// 或相對路徑。
• 外部資源：地圖、影片、統計碼等改用對方的 https 版本，沒有的就移除或替換。
• WordPress：文章裡的網址存在資料庫，通常要用搜尋取代工具批次改成 https，動資料庫前務必完整備份。WordPress 官方文件也提醒，改網站網址設定前要先裝好憑證。
• 輔助設定：伺服器送出 Content-Security-Policy: upgrade-insecure-requests 標頭，可讓瀏覽器把頁面中所有 http 請求改用 https。前提是資源本身有 https 版本，連結還是要改正。

裝好憑證後，客人輸入網址或點舊連結仍可能進到 http 版本，所以要在伺服器把 http 請求轉到 https。

1. 用 301 永久轉址、逐頁對應：MDN 說明接受 HTTP 的主機應以永久轉址（例如 301）導向 https。http://example.com/about 要轉到 https://example.com/about，不要全部導回首頁。Google 搜尋中心說明，301 等永久轉址不會造成 PageRank 流失。
2. 統一 www 與非 www：選定一個正式網址，其他版本一律轉過去。
3. 更新站內連結、Sitemap 與 canonical：Search Console 要同時驗證 HTTP 與 HTTPS 版本；Google 說明 HTTP 轉 HTTPS 不需要使用網址變更工具。
4. 留意轉址迴圈：出現 ERR_TOO_MANY_REDIRECTS，可能是網站前面的 CDN 或反向代理與網站本身的 HTTPS 設定不一致。
5. 穩定後再設 HSTS：Strict-Transport-Security 標頭讓瀏覽器記住網站只能用 HTTPS。依 MDN 說明，啟用後若憑證出錯，瀏覽器不會讓使用者略過警告。所以要先確認自動續期穩定、子網域都有 HTTPS 再設定。

還沒改 HTTPS 的網站要注意：Google 在 2025 年 10 月宣布，Chrome 154（預定 2026 年 10 月）會對所有使用者預設開啟「一律使用安全連線」，第一次造訪不支援 HTTPS 的公開網站前會先跳出警告。

CA/Browser Forum 是憑證機構與瀏覽器廠商組成的組織，2025 年 4 月通過 SC-081 決議，Apple、Google、Microsoft、Mozilla 都投贊成票。依現行 TLS 憑證基本要求（Baseline Requirements），公開信任憑證的效期分階段縮短：

上限依核發日計算，已發出的憑證不受影響，但下次換發就適用新規定。2029 年起憑證不到兩個月就要換，靠人工記日期很容易漏掉。

自動續期這樣設定：

1. 優先用自動化：許多主機控制台提供自動申請與續期憑證的功能；自管伺服器可使用支援 ACME 協定（RFC 8555，自動驗證與簽發憑證的標準）的工具排程續期。
2. 確認驗證能自動通過：更改 DNS、加上 CDN、防火牆擋住驗證請求，都可能讓續期默默失敗。
3. 每個地方都要換：同一張憑證若也用在 CDN 或負載平衡器，續期後逐一確認。
4. 設定到期監控：通知寄到公司共用信箱，再用監控服務或行事曆提醒，自動化也可能出錯。
5. 購買型憑證要問清楚：方案期間比單張憑證效期上限長時，期間內要重新簽發、安裝，請向供應商確認是否支援自動化。

網站放在主機商的，可以直接問：憑證是否自動續期、失敗會不會通知、www 與子網域是否都涵蓋。挑選虛擬主機或WordPress 主機時也可以列入比較；不確定問題出在哪，可以請我們協助評估。

• 網站被駭怎麼辦：清除惡意程式與通報步驟
• 小店官網上線後要維護什麼：每年費用與更新清單
• 虛擬主機：了解主機方案的憑證與 HTTPS 設定方式，挑選時把自動續期列入比較。
• WordPress 主機：WordPress 網站改 HTTPS、處理混合內容時適合的主機環境。
• 聯絡我們：不確定網站的憑證問題出在哪裡，可以來信說明狀況。