TWCA憑證異常波及962政府機關、9,772張TLS憑證！11/6零時前須更換，網站跳「不安全」怎麼辦？SSL檢查與修復重點

TWCA憑證出了什麼問題？近萬張政府網站TLS憑證必須緊急更換

平時造訪政府網站、銀行或企業官網， 多數民眾不會特別查看瀏覽器背後的憑證資訊。 但確保HTTPS網站能建立可信任加密連線的TLS憑證， 正是2026年11月初不少網站維運團隊 必須緊急處理的工作。

數位發展部11月2日晚間公布， TWCA部分憑證序號的亂數產生方式 不符合國際憑證規範。 經盤點，政府端涉及962個機關、 共9,772張網站TLS憑證。

這些憑證已由TWCA重新產製， 但重新簽發不是部署完成。 各機關仍須將新憑證和完整憑證鏈 安裝到實際對外服務的網站伺服器、 反向代理或其他TLS終止節點。

TWCA公告舊中繼憑證必須於 2026年11月6日00:00前廢止。 若仍有網站沿用受影響憑證鏈， 可能導致Chrome、Edge、Firefox 或其他客戶端出現安全警告， 甚至阻止連線。

對一般使用者，影響可能是政府線上服務突然無法登入； 對網站維運人員，還可能包含會員系統、 表單、API、金流或其他HTTPS依賴服務。 即使目前沒有證據顯示發生實際攻擊， 仍須依期限完成合規更換。

128 bits的憑證序號，為何只有24 bits亂數？問題不是加密金鑰被破解

這次事件最容易被誤解的技術細節， 是128 bits、24 bits和64 bits三組數字。 它們討論的是憑證序號及其亂數輸出， 不是HTTPS對稱加密金鑰的長度。

根據數發部與Mozilla Bugzilla原始通報， 部分TWCA CA憑證的序號長度雖為128 bits， 但具有可辨識的固定結構。 官方公告將實際亂數概括為約24 bits， 未達CA/Browser Forum至少64 bits的規範要求。

CA憑證的序號是用來識別憑證的資訊， 必須符合公開信任體系的產製規則。 一旦上層CA憑證不符規範， 即使網站目前看似正常， 也可能因換證或廢止措施 而必須更新信任鏈。

因此新聞不應使用 「加密被降成24位元」 或「民眾帳密已遭破解」等表述。 真正需要處理的是憑證合規、 憑證鏈部署與連線驗收。

TWCA事件如何被發現？Mozilla Bugzilla揭露CA序號結構，另有63 bits新疑點

事件起點是Mozilla Bugzilla公開通報。 2026年10月30日， 研究人員提出編號2087236的問題， 指出TWCA部分CA憑證序號包含日期、 固定填充值、計數器與少量亂數。

研究人員核對24張 由TWCA公開信任根憑證簽發的CA憑證， 發現相似的序號結構。 其中有些CA憑證是在相關國際規範 已生效後簽發。

原始通報特別區分 上層CA憑證與網站使用者端憑證， 並指出目前沒有證據顯示 此問題已造成金鑰遭竊、 憑證被濫用或已發生攻擊。

公開信任憑證體系依賴憑證機構、 瀏覽器、作業系統、網站業者 共同遵守標準。 即使違規尚未被利用， 憑證產製流程的合規性 仍會影響整個信任機制。

962個政府機關、9,772張憑證，等於9,772個政府網站都遭駭嗎？

不等於。 數發部公布的是政府機關數量 與網站TLS憑證張數， 並不是受駭網站清單或獨立網站數。

一個機關可能管理多個網站、 子網域與應用系統； 一張憑證可能同時涵蓋多個主機名稱， 也可能有多張憑證用於同一網站的 不同伺服器或環境。

因此，不能把這起事件寫成 「9,772個政府網站遭到入侵」， 也不能只要看到.gov.tw網域， 就認定它的憑證必然有問題。

TWCA還有民間企業、金融機構 及其他類型客戶。 政府端9,772張是特定盤點口徑， 不能當成全台公私部門受影響憑證的總數。

11月1日已重新產製9,772張憑證，為什麼11月2日晚間只更新926張？

這裡必須區分「重新簽發」 與「網站完成部署」。 TWCA在11月1日 已重新產製9,772張政府端憑證， 並透過正式管道提供給原承辦人。

但新憑證檔案寄送完成， 不代表每個網站伺服器 都已開始使用新憑證。 維運人員仍須安裝憑證、 更新中繼憑證鏈、 套用服務設定並完成測試。

根據數發部11月2日晚間統計， 當時完成更新926張， 仍有8,846張待部署。

iThome11月3日報導， TWCA代表曾稱政府與企業端 更新比例均已達約兩成， 但這是另一次時間點的業者說法， 未提供可直接替換政府端9,772張統計的 完整精確張數。

對大型網站、委外系統與多節點服務， 部署速度還受到管理權限、 主機種類、維護窗口及驗收流程影響。

TWCA說11月6日零時前廢止，能等到星期五白天才換憑證嗎？

不建議。 TWCA10月31日公告， 原中繼憑證需在 2026年11月6日00:00前廢止。

這是11月5日星期四結束、 11月6日星期五開始的交界。 不等於11月6日晚上23:59前 都還能安排作業。

若網站還有CDN、負載平衡、 多個子網域或API， 更換憑證後仍需逐一測試。 將部署排在最後幾分鐘， 可能來不及發現漏裝的中繼憑證 或未更新的節點。

不需虛構即時倒數計時器。 網頁只要明確標示日期、 00:00前及公告來源， 就能避免誤導讀者。

TLS憑證是什麼？為什麼會影響政府網站、網銀與企業官網？

TLS是Transport Layer Security的縮寫， 是建立安全網路通訊的重要協定。 使用者透過HTTPS開啟網站時， 瀏覽器會檢查伺服器提供的憑證， 包含網域名稱、有效期間、 簽發機構及憑證信任鏈。

憑證驗證與TLS交握成功後， 使用者才可透過可信的加密通道 與預期的網站服務交換資料。 這對政府申辦、網路銀行、 電商結帳、會員登入 與企業後台尤其重要。

不過，HTTPS代表連線符合相應安全機制， 不等於網站內容必然正確， 或網站經營者一定合法。 詐騙網站也可能取得有效TLS憑證， 因此仍須核對網址與服務來源。

TWCA本次的核心爭議 是CA憑證序號規格與信任鏈更新， 不代表所有原有HTTPS通道 已直接失去加密功能。

根憑證、中繼憑證、網站憑證有何差別？三層概念圖不能代替實際安裝

瀏覽器判斷網站憑證是否可信， 會依據憑證鏈建立信任關係。 其中包括根憑證、 中繼憑證與網站憑證。

TWCA此次公開的新憑證鏈 包含根憑證、交互憑證、 不同用途的中繼憑證與終端網站憑證， 層級比一般三層示意更完整。

依TWCA正式安裝資料， 新憑證鏈中還包含 TWCA CYBER Root CA、 TWCA CYBER Root CA G3等交互憑證， 並依一般SSL或EV SSL申請類型 使用對應中繼憑證。

如果網站憑證已換新， 但伺服器仍提供舊版、 錯誤或缺漏的中繼憑證， 部分用戶端仍可能判定 無法建立完整可信任的憑證鏈。

因此應依TWCA實際提供的憑證資料 與主機環境安裝， 不能直接照概念圖自行拼接憑證鏈。

TWCA換證一定要重新產生私鑰嗎？官方原則上沿用原有金鑰對

TWCA10月31日公告指出， 本次主要是依國際規範 調整中繼憑證規格， 使用新中繼憑證重新簽署客戶憑證。

官方說明此次重新簽發 原則上使用原有金鑰對， 客戶取得新憑證後 可依環境直接安裝。

也就是說， 這次合規換證並非要求 所有網站都重新建立私鑰。

但前提是原有私鑰安全、 未曾洩漏且仍符合實際部署需要。 如果個別網站另有遭入侵、 金鑰遭竊、錯誤分享私鑰 或其他資安問題， 就應依個案重新評估金鑰處理方式。

企業網站、WordPress、電商都要更換SSL嗎？先查憑證簽發來源

不一定，但使用TWCA憑證的網站 應優先確認是否在這次更新範圍內。 TWCA11月2日表示， 更新安排涵蓋政府機關、 金融機構、企業網站及部分設備應用憑證。

如果網站使用其他未受本事件影響的CA， 例如Let’s Encrypt， 不能僅因這次TWCA事件 就推定必須立即重新申請憑證。

對WordPress網站尤其需要注意： WordPress是內容管理系統， TLS憑證通常安裝在網頁伺服器、 主機商控制台、反向代理或CDN， 而不是透過文章編輯器 或更換WordPress外掛就能完成修復。

同一個企業可能同時管理 `www`、未加`www`、 多語系站、會員系統及API。 即使首頁憑證正常， 仍須檢查其他對外服務 是否使用不同的憑證或節點。

網站管理員怎麼確認TWCA憑證是否受影響？六步驟完成換證與驗收

以下流程適合網站設計公司、 企業IT、機關資訊人員 與委外維運團隊作為檢查清單。 核心不是要求所有網站重新購買SSL， 而是先確認憑證來源及是否受影響， 再依正式通知更新。

正式安裝方式取決於Nginx、 Apache、IIS、CDN及其他實際環境。 不要直接套用不相符的主機指令， 也不要把新憑證與私鑰 上傳到陌生網站要求代為轉換。

Chrome顯示「你的連線不是私人連線」怎麼辦？不一定都是TWCA問題

如果11月6日前後開啟政府或企業網站， 瀏覽器突然顯示 「你的連線不是私人連線」、 「憑證不受信任」 或類似警告， 應先停止輸入帳號、 密碼及其他敏感資訊。

但憑證錯誤有多種原因， 並非所有警告都能直接歸因於TWCA。

1. 先停止登入、付款及輸入個人資料。
2. 核對網址是否為原本預期的官方網站。
3. 不要為了繼續瀏覽而任意略過安全警告。
4. 由可信的官方入口或客服確認網站狀況。
5. 若正進行換證，可在管理單位確認修復後再次使用。

不要隨便安裝 所謂「政府網站SSL修復工具」、 陌生根憑證或不明瀏覽器外掛。 清除快取也不保證修復 伺服器端的憑證鏈問題。

更換TWCA憑證後，網站仍顯示不安全？五個最容易漏掉的地方

維運中最容易誤判的情況， 是取得新憑證後， 便認為全部服務已完成更新。 實際上，憑證要正確部署到 每個對外連線節點， 才算完成相應的技術工作。

1. 只更新網站憑證，沒換中繼憑證

   TWCA已要求安裝完整新憑證鏈； 若伺服器仍提供舊版或不完整鏈， 可能造成客戶端信任失敗。

2. 只更新一台伺服器

   負載平衡環境可能有多個TLS入口， 部分節點未更新， 造成有些使用者正常、有些出現警告。

3. CDN與來源站不同步

   如果對外TLS在CDN終止， 須檢查CDN憑證； 如CDN到來源站仍使用TLS， 也需核對來源站是否受影響。

4. 忽略www、子網域、API或舊站

   不同主機名稱可能使用不同憑證， 不能只看首頁正常就宣布全站驗收完成。

5. 只使用單一瀏覽器測試

   不同系統與瀏覽器 可能有不同憑證信任及鏈建構行為， 應依使用者環境進行交叉測試。

對網站設計及多站維運團隊， 建議將外部TLS掃描、 手機版HTTPS、登入頁、 重要表單及主要API， 一併納入驗收， 並保留實際檢查結果。

TWCA憑證事件會讓網站Google排名下跌、無法收錄嗎？應區分合規事件與實際斷線

截至本文查核， 沒有足夠證據證明 此次TWCA事件已造成 相關政府或企業網站 大規模搜尋排名下滑， 或遭Google全面移除索引。

但如果網站因憑證錯誤 長時間無法建立HTTPS連線， 確實可能影響使用者存取、 搜尋引擎抓取及網站可用性。

換證後應確認正式網址 是否仍可成功建立HTTPS連線， 並觀察Google Search Console 是否出現新的抓取或連線問題。

除非網站另有網址架構問題， 否則不應因TWCA換證事件 就重新設定全部canonical、 變更301轉址或重做整站sitemap。 TLS維護與SEO網址結構 是不同的工作層次。

數發部為什麼啟動第三方檢測？TWCA是否已經遭到裁罰？

數發部11月2日指出， 雖然目前尚未發現具體資安危害， 仍已委託獨立第三方專業機構， 深入檢測TWCA憑證產製 與管理機制。

同時，主管機關將調查 是否涉及契約違約， 並依結果及相關契約 處理罰款與求償事項。

這代表後續可能涉及契約責任， 但不等於現在已確認 TWCA被裁罰特定金額。

值得持續追蹤的項目包括： 影響範圍、完整根因、 換證完成情況、 第三方檢測結果 及後續內控改善措施。

另外，Mozilla公開技術追查 也應與台灣政府的契約及行政程序 分開理解； 二者的權責與結論不一定相同。

企業網站要重新購買SSL憑證嗎？TWCA已啟動重新簽發，但部署費用須看契約

不一定需要重新購買。 TWCA公告此次主要是配合 國際規範更新中繼憑證， 並已啟動受影響憑證的重新簽發 與客戶通知。

政府端相關新憑證 也已由TWCA重新產製， 原申請機關不需全部重新提出申請。

但「重新簽發憑證」 和「委託廠商更換及測試網站」 並非完全相同的服務。 如企業由外部主機商、 網頁設計公司或系統整合商維護， 是否另有技術服務費用， 應依原契約與供應商安排確認。

不要因陌生簡訊或Email聲稱 「TWCA憑證全面失效， 立刻匯款才能保住網站」， 就直接付款或下載附件。

11月6日之後，所有政府網站都會打不開嗎？

不會因公告期限到來， 就讓所有政府網站 自動停止服務。

實際影響取決於 網站是否使用受影響的憑證鏈、 是否完成換證， 以及瀏覽器和其他連線軟體 如何驗證憑證信任。

如果已正確安裝新憑證鏈、 完成測試且沒有其他問題， 網站理應可以繼續提供HTTPS服務。

未使用本次受影響TWCA憑證的服務， 也不能因為同樣是.gov.tw網站， 就推定必然出錯。

不過，舊中繼憑證預定 在11月6日零時前廢止， 尚未完成更新的相關網站 確實存在信任驗證失敗 或瀏覽器警告風險。

管理單位應盡可能提前完成部署； 一般民眾遇到憑證警告， 則不應自行繞過安全保護。

TWCA憑證事件留下什麼提醒？網站信任不能只靠每年續約SSL

TLS憑證是政府線上服務、 電商、金融及企業網站 維持可信連線的重要基礎設施。 但憑證管理不只是 到期前記得續約。

憑證簽發方式是否符合國際標準、 信任鏈是否完整、 管理者能否快速更新部署， 都是日常網站營運的一部分。

這次事件尤其凸顯： CA完成新憑證產製 只是第一步， 真正的技術挑戰 是讓分散在不同機關、 主機、CDN及委外環境的服務， 都能在期限前完成更新。

對網站營運團隊而言， 應持續保有憑證盤點、 到期監控、信任鏈檢查、 主機變更紀錄及跨節點驗收能力。

網站看起來還在線上， 不代表支撐連線的 信任機制可以永遠不檢查。 11月6日的期限， 正是一次大規模憑證治理與維運能力考驗。

TWCA憑證事件時間軸：10月30日通報到11月6日零時廢止期限

1. 2026/10/30
   Mozilla Bugzilla公開通報

   研究人員指出TWCA部分CA憑證序號的隨機性不足。

2. 2026/10/31
   TWCA發布換證公告

   宣布更新中繼憑證，原中繼憑證須於11月6日00:00前廢止。

3. 2026/11/01
   政府端新憑證重新產製完成

   TWCA完成9,772張新憑證產製，並提供給原申請機關。

4. 2026/11/02
   數發部公布政府端影響規模

   962個機關、9,772張憑證；當晚已有926張完成網站端更新。

5. 2026/11/03
   技術細節及更新進度受到關注

   資安媒體進一步報導CA憑證24 bits亂數問題與TWCA換證進度。

6. 2026/11/04
   網站端持續更新及驗收

   公開技術追查還有終端憑證63 bits的新疑點；完整影響及根因仍待調查。

7. 2026/11/06 00:00前
   原中繼憑證廢止期限

   受影響網站應於期限前完成必要的憑證鏈更新與連線驗收。

TWCA憑證異常15項事實查核：已確認、錯誤推論與仍待調查

新聞編輯應把憑證張數、網站數、 重新產製張數與完成部署張數分開， 並標示統計日期。 技術通報、公司回應及主管機關調查 也應清楚區分。