【網絡安全】為什麼網站會出現SSL證書安裝錯誤的問題及解決方案

網絡攻擊種類繁多，應對方法也大不相同，稍有不慎，不僅會導致網站和使用者資訊洩露，還可能讓品牌形象一落千丈、資金損失慘重。而從SEO角度來看，Google如今對網絡安全問題愈發重視，這意味著網站一旦出現任何安全問題，極有可能對整體SEO成效造成負面影響，連帶網站的流量和曝光度也出現明顯的下滑。

那麼，如何才能確保網站安全？香港網頁（HKWEB）表示，在眾多網絡安全措施中，安裝SSL證書是首要且關鍵的進一步。然而，令人費解的是，明明SSL證書安裝非常簡單，但為什麼還會有各種問題出現？

什麼是SSL證書？為什麼會出現SSL證書安裝錯誤的問題？

SSL（Secure Sockets Layer），中文翻譯為安全通訊端層，是一種加密式網際網絡安全性通訊協定。該協定最初由Netscape在1995年開發，用於確定網絡通訊中的隱私、驗證和資料整合性。

過去網際網絡上的資料都是以純文字形式傳輸的，任何人只要截獲這些訊息都可以讀取。但是，當網站安裝SSL證書後，將會對使用者和網站伺服器之間傳輸的任何資料進行加密，任何人即使截獲這些資料也只能看到混亂的字元，從而保障網站和使用者的資訊保安。此外，SSL還可以對網站伺服器進行身份驗證，阻止攻擊者透過偽造網站來欺騙與竊取使用者資訊，以及防止攻擊者篡改傳輸中的資料。

儘管SSL證書對保證網站及使用者資訊保安至關重要，但仍有不少網站管理員在安裝和使用SSL證書過程中出現各種問題，像是：

● SSL證書不受信任

此錯誤可能與證書是由瀏覽器不信任的證書授權單位辦法有關。當網站出現這種SSL證書錯誤時，瀏覽器會顯示「您的連線並非私人連線」的警告資訊，從而阻止使用者訪問網站。

【解決方案】

1. 將SSL證書更換為受信任的CA證書，如在公認的證書授權單位申請證書、避免使用自簽名證書等。

2. 檢查伺服器是否上傳完整的證書鏈，包括中間證書和根證書。

3. 檢查伺服器配置，如：

Apache：確認SSLCertificateFile和SSLCertificateChainFile配置正確。

Nginx：確保ssl_certificate指令包含完整的證書鏈（證書+中間證書）。

● SSL版本錯誤

網絡威脅並不是一成不變，而是持續進化並呈現出新的模式和技術，因此為了修復漏洞和加快驗證過程，SSL/TLS通訊協議也進行過多次的更新。目前網絡上最新且使用最廣泛的SSL版本是TLS 1.3，但TLS 1.2仍在使用中，因此如果客戶端僅接受最新版本的通訊協議，而不支援TLS 1.2版本，使用者瀏覽器可能會出現「建立 TLS 客戶端認證時發生致命錯誤」的提示。

【解決方案】

1. 禁用不安全的協議（SSLv2/SSLv3/TLS 1.0/1.1），啟用TLS 1.2和1.3，如：

Apache：SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2 +TLSv1.3

Nginx：ssl_protocols TLSv1.2 TLSv1.3;

2. 如果客戶端（如舊版瀏覽器或應用）不支援TLS 1.2，需升級客戶端或調整伺服器以提供後向相容（臨時方案）。

3. 使用openssl s_client -connect example.com:443 -tls1_2測試協議握手。

● SSL證書過期

就像我們的身份證會在一定年限後過期一樣，SSL證書同樣具備時效性。如果網站安裝的SSL憑證已經過期，就會導致網站伺服器和客戶端無法建立無法安全連線。此外，如果客戶端的時鐘不正確，同樣會出現此錯誤，這是因為瀏覽器可能無法準確判斷SSL憑證是否已經過期。

【解決方案】

1. 透過CA平臺續期證書，確保新證書已正確安裝並重啟伺服器。

2. 指導使用者同步裝置時間（如Windows時間設定或ntpdate命令）。

● 通用名稱不符的錯誤

當SSL證書上的名稱與客戶端輸入的URL不符時，就會出現這種情況的錯誤。除此之外，輸入的頂層網域與預期不同、證書上未列出「www」時輸入該名稱、錯誤拼寫網域，或者網站管理員錯誤標記其證書或未能包含其網域面向公眾的所有名稱、客戶端或伺服器不支援SNI延伸等，都有可能發生常見的名稱不符錯誤。

【解決方案】

1. 確保申請證書時包含所有需要的域名，如使用萬用字元證書或多域名證書）

2. 確保使用者訪問的URL與證書域名完全一致（包括http://和https://）。

3. 確保伺服器和客戶端均支援SNI，如伺服器配置：

Apache：確認已啟用mod_ssl且無SNI相關錯誤日誌。

Nginx：預設支援SNI，無需額外配置。

● 主伺服器不使用 SNI

伺服器名稱指示（SNI）是 TLS 通訊協議的擴充功能，主要用於一臺伺服器上託管多個網域的情況。當客戶端開始連線時，SNI就像一個智慧的地址指示器，在每個IP地址上新增一個公寓編號，以便伺服器知道將SSL連線要求導向到哪個網站。如果前往伺服器的請求不使用SNI，伺服器可能會向發起連線的客戶端顯示錯誤的SSL證書，導致常見的名稱不符錯誤。

【解決方案】

1. 使用支援SNI的伺服器版本（如Apache 2.2.12+、Nginx 1.5.0+、IIS 8+）。

2. 配置虛擬主機，如：

Apache: 為每個域名配置獨立的塊並指定證書。





3. 如果無法啟用SNI，可申請萬用字元證書（如*.example.com）覆蓋所有子域名。

【最後】

當發現網站SSL憑證出現錯誤時，建議使用線上工具如SSLChecker、SSLCertificate Checker或SSLServer Test等，診斷網站上出現SSL證書錯誤的問題，像是SSL證書是否已安裝且未過期、域名是否正確列在證書上等。

找到導致SSL憑證錯誤的原因後，你可以按照上述方法進行最佳化，又或者直接諮詢香港網頁（HKWEB）為你服務，我們將根據你的情況制定全方位的網頁方案，助你的網站在網絡市場中更上一層樓！