客人說打開我的網站寫「不安全」、憑證過期，怎麼辦？誰該修、要付多少

網站憑證過期怎麼辦？

網站憑證過期，續上就好，但要先弄清楚誰握著鑰匙。客人打開你的網站跳出一整頁紅色的「你的連線不是私人連線」，多半是網站的安全憑證到期沒續，不是被駭，網站也沒有掛。處理的順序：

1. 找出這張憑證是誰在管：網站放在誰的主機上、當初誰幫你裝，那個人才續得動。這一步才是真正要花時間的。
2. 請他把憑證續上：通常幾分鐘到一小時。
3. 客人重新整理：警告就不見，不用等 Google 審查。

憑證是網站的身分證，用來跟瀏覽器證明「這個網址真的是這家店，客人送過來的資料有加密」；身分證過期，瀏覽器就擋在門口警告。這篇照順序講：客人看到什麼、怎麼跟被駭分、該找誰、要不要付錢、以後怎麼不再發生。

憑證過期，客人打開網站會看到什麼？為什麼多半直接關掉？

客人看到的不是你的網站，是瀏覽器一整頁的警告：紅色三角形、「你的連線不是私人連線」、下面一行看不懂的英文代碼。進入網站的按鈕被藏在「進階」裡面，對一個只是想查電話、看價格的客人來說，這一頁的訊息就是「這家店有問題」。

依 Chrome 說明，瀏覽器會用網址列的圖示告訴使用者這個連線安不安全，憑證過期會被歸到不安全那一邊。

換成開店的畫面就懂了：客人走到你店門口，門上貼著一張紅底白字的「此處危險，請勿進入」。他不會去研究是誰貼的、貼錯了沒，他會走去隔壁那家。

常見的三種反應：

• 直接關掉：多數人的反應，尤其是用手機、第一次來的客人。
• 以為你被駭或倒了：有些會打電話問「你們網站怎麼了」，這是你會知道的少數情況；大多數不會通知你。
• 懷疑是詐騙：警告頁的用字是「攻擊者可能試圖竊取你的資訊」，客人會把這句話跟你的店連在一起。

所以「只是一個警告，網站還在」這句話對客人不成立。對他來說，網站等於關了。

這跟「網站被駭」是同一件事嗎？怎麼一眼分辨？

憑證過期跟被駭不是同一件事，處理方式也差很多。憑證過期是瀏覽器在講「這張身分證過期了」，網站本身乾乾淨淨，續上就好；被駭是 Google 在講「這個網站裡面有害」，要清乾淨再請 Google 復查。兩者都是紅色的一整頁，所以老闆常搞混，但看兩個地方就分得出來。

最快的分法：點網址列左邊那個圖示，跳出的小視窗若寫著憑證到期日、而且那個日期已經過了，就是這篇講的事。如果看到的是 Google 說網站有害，請改看網站被駭、Google 跳出「這個網站可能有害」怎麼辦，那篇的步驟完全不同。

還有一種也常被混在一起：網站整個打不開、連警告都沒有，那多半是網址或主機到期，不是憑證。憑證過期的網站是「開著、但被擋在門口」。網站打不開時畫面上寫了什麼、各代表哪一種原因、該先找誰，公司網站進不去怎麼辦有一張對照表。

公司網站顯示「不安全」、沒有 https，Chrome 10 月起會怎樣？

沒有 https 的公司網站，Chrome 預計從 2026 年 10 月的 154 版起，讓客人第一次打開時先看到一頁「連線不安全」的警告，問他要不要繼續。這是 Google 2025 年 10 月的公告：Chrome 會把「一律使用安全連線」改成預設開啟。公司網站一打開就顯示「不安全」，除了憑證過期，另一種情況就是這個網站從來沒有安全連線：網址是 http 開頭，網站沒有憑證。

https 就是網址開頭多一個 s、網址列有鎖頭，代表客人和網站之間傳的資料有加密。依 Chrome 說明，沒有使用 https 的網站，網址列就會標「不安全」。

公告裡的安排，老闆要知道這幾點：

• 2026 年 4 月的 Chrome 147 版：先對開了「強化防護」的使用者開啟，「強化防護」是 Chrome 安全瀏覽設定裡最高的一級。
• 2026 年 10 月的 Chrome 154 版：改成所有人預設開啟；只管公開的網站，公司內部網路這類私人網站不算。
• Chrome 會先自己換成安全連線，網站真的沒有安全連線才跳警告；所以網站只要裝好憑證、https 打得開，客人點到舊的 http 連結也不會被擋。
• 常去的網站不會一直被問，會被擋的是第一次來、或很久沒來的人。客人可以按繼續，也可以自己關掉這個設定，但被擋在門口的，正好是你最想接住的新客人。

要請廠商做的事，跟續憑證是同一件，再多兩步：

1. 請管主機的一方裝上憑證，讓網站用 https 打得開。 Google 那篇公告寫到，公開網站要拿到 Chrome 信任的憑證是免費又容易的；廠商另外報價，後面「要花錢嗎」那一段有表可以對。
2. 舊的 http 網址自動轉到 https。 依 Google 搜尋中心的說明，網址從 http 改成 https 也算網站搬家，舊網址要轉到新網址，Google 上累積的東西才接得上。
3. 名片、Google 商家檔案、粉專上的網址，順便改成 https 開頭。

自己確認只要一分鐘：用電腦開 Chrome 打你的網址，看網址列左邊有沒有「不安全」三個字，再點一下網址列，看完整網址開頭是 https 還是 http。也可以把網址貼進網站體檢工具，第一組就會看鎖頭在不在；廠商改好後，照付尾款前的驗收清單用手機把每一頁點一遍。

憑證過期會影響 Google 排名嗎？放著幾天會怎樣？

會有影響，但不是「Google 把你拿掉」那種。Google 在 2014 年就公開說過，網站有沒有用 https（網址前面有鎖頭）是排名的參考之一，不過分量很輕；後來它把 https 列為「網頁體驗」的基本項目之一。所以憑證過期幾天，排名不會突然消失。真正會掉的是客人：搜尋結果還在，客人點進來、看到警告、回去按別家，你這一頁等於白白排在那裡。

這也是為什麼做 SEO（讓客人在 Google 上搜得到你，而且不是付廣告費的那種）的人，第一件事都是先看鎖頭在不在。

放著不管，情況會照這個順序變糟：

1. 第一天：從 Google、地圖、粉專點進來的客人全部被擋，你可能還不知道，因為多數客人不會通知你。
2. 第一週：開始有客人打電話問「你們網站是不是被駭」；表單、線上預約沒有人送出，因為根本進不到那一頁。
3. 拖到幾週以上：Google 來看你網頁時遇到的是同一個警告；依 Google 說明，https 是它看網頁體驗的項目之一，所以這一頁在它眼裡也是有問題的頁。

這件事該找誰？網站廠商、主機商，還是網址商？

找「網站放在誰的主機上」那一方，因為憑證是裝在主機上的，只有能登入主機的人續得動。多數店家的情況是：網站廠商幫你租了主機、順手裝了憑證，那就找網站廠商；如果你自己付主機費給主機商，多數主機商後台有一鍵續期、或本來就自動續，找主機商客服。

網址商（賣你 .com.tw 那家）通常只管網址指到哪裡，不管憑證，打去多半會被請回。用開店比喻：網址商是門牌，主機商是房東，網站廠商是幫你裝潢的人。身分證掛在房子上，所以要找房東或裝潢師傅，跑去戶政事務所改門牌沒用。

先花三分鐘自己查，再打電話，會省很多來回：

1. 點網址列的圖示，看憑證：會寫「發給」誰、「發行者」是誰、「有效期至」哪一天。發行者的名字常常就透露了是哪家主機商、或是哪一種免費憑證。
2. 翻每年的付款紀錄：付主機費給誰，那一方就是第一個要找的。
3. 截圖傳給對方：直接說「憑證在幾月幾日到期了，請幫我續」，比說「網站不安全」清楚十倍，對方一看就知道要做什麼。

如果網站廠商已經聯絡不上，這件事會變成「拿回主機和網址的控制權」，處理順序在網站廠商聯絡不到怎麼辦。憑證再重要，前提都是你手上要有鑰匙。如果連網站當初做得好不好都沒把握，可以先花三分鐘做一次免費評估，看你的行業適不適合從 Google 找客人。

續一張憑證要花錢嗎？廠商另外報一筆「憑證費」合理嗎？

不一定要花錢。現在多數主機商都內建免費憑證，而且會自動換新，所以很多網站的憑證本身是零元的；廠商若報一筆「憑證費」，通常是三種情況之一：他真的幫你買了付費憑證、他把「幫你裝、幫你顧」的工錢寫成這一行、或是主機商本來就免費附而他另外收。

依 web.dev（Google 的開發者網站）的說明，憑證要向憑證機構取得，不同機構收費不同；換句話說憑證有免費也有付費的，不是一定要付。

三種情況怎麼分：

這一筆常常就躲在每年那張「網站維護費」裡面。帳單裡哪些是房租、哪些是工錢、哪些不該收，網站每年的維護費要付嗎有把整張帳單拆開講。

憑證該不該花錢，重點不是省那一筆，是搞清楚錢付了以後「誰負責它不會再過期」。

憑證是自動續的還是要人工續？

現在多數憑證是自動續的，尤其是主機商內建的免費憑證，到期前系統會自己換新。會出事的多半是三種：當初廠商手動裝的、付費憑證要每年重買重裝的、以及自動換新的機制壞掉沒人發現。你這次會過期，就表示你的網站屬於這三種之一，所以不能只續這一次，要把「以後」一起問清楚。

問廠商時不要問「憑證會自動續嗎」，對方多半回「會」，然後明年再過期一次。改問這四句，答不出來就是有問題：

1. 「這張憑證是誰發的、放在哪裡？」 答得出主機商名字或免費憑證的名字，代表他知道自己在管什麼。
2. 「是系統自動換新，還是你們有人每年手動處理？」 手動的話，接著問「到期前的提醒會寄到誰的信箱、誰負責看」。
3. 「這次為什麼會過期？」 這一題最重要。自動換新壞掉、提醒信寄到離職員工信箱、付費憑證忘了付，原因不同，防的方法也不同。
4. 「續上之後，能不能把我加進到期通知的收件人？」 讓你自己也收到，是最便宜的保險。

免費的自動續憑證有一個特點：有效期短，靠系統一直換新。一旦自動換新壞掉，過期來得很快。這反而是好事，因為壞了很快就會被發現，不會像每年才續一次的憑證那樣，出事時已經沒人記得當初是誰弄的。

以後怎麼避免？到期提醒信要寄到誰的信箱？

寄到老闆自己的信箱，而且是你每天會看的那個。憑證過期多半是「有提醒、沒人看」：信寄到廠商的工程師、離職的員工、或當初隨手建的信箱。把到期通知加上你自己，再加一個每年固定的檢查日，這件事就很難再發生。

具體做法：

• 每年一天，三樣一起查：續網址、續主機、看憑證到期日，放在同一天，跟報稅一樣固定。憑證到期日點鎖頭就看得到，不用懂技術。
• 到期通知加你的信箱：不管是主機商後台還是廠商那邊，收件人要有你。
• 每季自己開一次網站：用手機、用無痕視窗開首頁和聯絡頁，看鎖頭在不在；順手用免費網站體檢跑一次，第一項就是看網址有沒有鎖頭。
• 把「誰管憑證」寫下來：跟網址商帳號、主機商帳號放在同一張紙上，換廠商時一起交接。

網站是客人從 Google 走進來的那扇門，門要一直開著才有意義。門開了以後，客人怎麼從地圖、搜尋、粉專走到這扇門，客人怎麼在網路上找到你那一頁用開店的話講了一遍。

下一步

1. 現在：點網址列圖示，確認是憑證到期，截圖。
2. 找付主機費的那一方（網站廠商或主機商）續憑證，續完重新整理，確認鎖頭回來。
3. 問清楚這次為什麼過期、以後是自動還是手動、把你加進到期通知。
4. 訂一個每年固定的日子，網址、主機、憑證一起查。