TWCA 憑證 11 月 6 日前要換：網站沒換會跳不安全警告

白話重點

• 誰要處理：公司網站、對外 API 或 App 用的是 TWCA（台灣網路認證）SSL 憑證的，都要處理。
• 多急：原中繼憑證在 11 月 6 日 00:00 前廢止；TWCA 11 月 5 日公告，同一時間起也廢止序號不合規範的舊網站憑證。沒換的網站，瀏覽器會跳出不安全警告。
• 今天做一件事：問 IT 或網站廠商「我們的網站憑證是不是 TWCA 的？收到重新簽署的新憑證了嗎？裝了沒？」
• 不是被駭：起因是憑證序號不符國際規範，沒有發現金鑰外洩或濫用的證據。
• 給老闆的一句話：公司網站使用的 TWCA 憑證須在 11 月 6 日前換新，已請 IT 確認並安裝，完成日期 ＿＿。

技術摘要（給 IT 人員）

怎麼確認網站是不是用 TWCA 憑證？

用電腦版 Chrome 打開公司網站，點網址列左邊的圖示 →「連線安全」→「憑證有效」，在「簽發者」與「憑證路徑」裡找 TWCA（Chrome 說明：查看網站連線是否安全）。

也可以用 TWCA 的線上憑證檢測輸入網域，檢查憑證與憑證鏈是否已更新。網站多、有對外 API 或郵件伺服器的，請 IT 逐台查。下面這行列出伺服器送出的整條憑證鏈，看 i:（簽發者）有沒有 TWCA：

openssl s_client -connect www.example.com.tw:443 -servername www.example.com.tw -showcerts </dev/null 2>/dev/null | grep -E "^ *[0-9]+ s:| i:"

www.example.com.tw 換成你的網域。內部系統、印表機、VPN 設備也要查。

TWCA 憑證怎麼換？

1. 找出 TWCA 的通知信：TWCA 11 月 1 日晚間已寄出通知信，內含新憑證鏈與更新資訊。找不到就打 TWCA 客服 02-2370-8886 分機 9（TWCA 公告）。網站是廠商代管的，請廠商處理
2. 連同完整憑證鏈安裝：網站憑證和新的中繼憑證都要裝，只換一個，11 月 6 日後一樣會出錯
3. 換完再檢查一次：用 TWCA 線上檢測或重跑上面的指令，確認沒有警告
4. 別漏掉不在瀏覽器上的地方：對外 API、手機 App 若有綁定憑證（certificate pinning），要一併測試

TWCA 預計 11 月 12 日前在 Mozilla 提出完整報告（Bugzilla 2087236），有新要求我們會更新本文。

自己申請免費憑證的步驟見〈Google 免費 SSL 申請教學〉。近半年其他事件整理在資安事件時間軸。

更新紀錄

• 2026 年 11 月 5 日：補充 TWCA 公告，11 月 6 日起舊網站憑證也會廢止，並加入 TWCA 線上檢測工具
• 2026 年 11 月 4 日：首次發布

我們怎麼做？

不確定公司網站、API 或內部系統有沒有用到 TWCA 憑證，可以寫信告訴我們網域，我們先免費幫你查、該找誰換。網站、郵件與帳號的整體風險檢查，見企業雲端建置與資安防護（服務全台）。

常見問題

怎麼知道公司網站是不是用 TWCA 憑證？

用電腦版 Chrome 打開官網，點網址列左邊的圖示，選「連線安全」再點「憑證有效」，看「簽發者」或憑證路徑裡有沒有 TWCA。網站很多、或有對外 API 的，請 IT 用指令逐一檢查。

換 TWCA 憑證要另外付錢嗎？

TWCA 的公告沒有提到費用，說明這次是依規範重新簽署、沿用原本的金鑰，收到新憑證後直接安裝即可。實際作法以 TWCA 客服說明為準。

11 月 6 日前沒換會怎樣？

舊中繼憑證廢止後，還串著它的網站，瀏覽器會判定憑證無效，訪客看到「你的連線不是私人連線」這類警告；數發部也說明民眾瀏覽時可能出現安全性警示。程式呼叫 API、手機 App 連線也可能失敗。

這是被駭客攻擊嗎？網站資料有外洩嗎？

不是攻擊。這是憑證序號的隨機性不符國際規範，回報的研究者表示沒有發現金鑰外洩或憑證遭濫用的證據。要換是因為規範要求不合格的中繼憑證限期廢止。

本文引用資料來源

• TWCA：SSL 更換憑證公告（2026/10/31）
• Mozilla Bugzilla：2087236（中繼憑證序號）、2087918（網站憑證序號）
• TWCA：接軌國際憑證規範，全面啟動網站憑證升級更新作業（2026/11/02）
• TWCA：SSL 憑證更新進度暨憑證廢止公告（2026/11/05）
• 數發部：已督促 TWCA 完成產製符合標準新憑證，籲各機關儘速更新
• Chrome 說明：查看網站連線是否安全