官方域名證書核對方法：檢查SSL證書簽發機構、有效期限與域名是否一致

鎖頭是傳輸加密，核對才是驗明正身

瀏覽器地址欄的鎖頭僅表明三項技術條件已成立：通訊過程具備傳輸加密、該證書仍在宣告的有效期間內、證書內的域名與地址欄文字吻合。鎖頭本身無法保證網站背後是真正的銀行、政府機關或特定企業主體。只要攻擊者持有相近拼寫的惡意域名，同樣能順利獲發合法且受信任的 SSL/TLS 憑證。

執行證書核對的核心目標非常明確：確認簽發機構（CA）具備公信力、確認有效期限合理、確認主體別名（SAN）與打算訪問的官方網址完全相符。在輸入帳號密碼、信用卡號或敏感個人資料前，這項檢查能攔截絕大多數偽裝攻擊。

日常核對的核心原則：花費數十秒完成「對簽發者、對有效期限、對主體域名」三項比對，及時排除假冒網站風險。

必備核對的三大核心欄位

各主流瀏覽器查看證書詳細資訊的路徑

1. Google Chrome 與 Microsoft Edge

點擊地址欄左側的圖示（控制設定或鎖頭按鈕），點選「連線已安全保護」或「連線安全」，隨後點擊「憑證有效」即可展開視窗。在彈出視窗中，「一般」分頁顯示頒發對象與期限；切換至「詳細資料」可逐項檢視 主體替代名稱（SAN）；「憑證路徑」則顯示從終端網站到根 CA 的完整鏈條。亦可直接透過快捷鍵 Ctrl + Shift + I（macOS 為 Cmd + Option + I）開啟開發人員工具，進入「Security」分頁點選「View certificate」。

2. Apple Safari（macOS）

點擊地址欄左側的鎖頭圖示，點選「顯示憑證」或相關連線安全選項，展開「詳細資訊」即可查閱主體名稱、簽發機構、公開金鑰演算法及 SAN 清單。Safari 會完整呈現 SAN 包含的所有網域名稱，適合快速比對是否包含偽裝後綴。

3. Mozilla Firefox

點選地址欄鎖頭，選擇「已建立安全連線」，點擊「更多資訊」，在彈出的頁面資訊視窗中點選「檢視憑證」。Firefox 採用獨立的根憑證儲存庫，可直接分頁檢視主體別名與憑證指紋。

4. 行動裝置端檢視說明

Android 平台的 Chrome 可點擊地址欄圖示進入「連線資訊」再點「憑證」查看基本簽發者與有效期。iOS 系統的 Safari 原生介面並未提供直接展開憑證底層 SAN 欄位的入口；如需在行動端深度核實官方憑證細節，建議切換至電腦端瀏覽器或使用命令列工具進行遠端讀取。

檢查簽發機構（CA）：認清合法機構與信任鏈

公開受信任的 SSL/TLS 憑證通常由國際標準認可的 CA 機構簽發，例如 DigiCert、GlobalSign、Sectigo、Let’s Encrypt（ISRG）、Google Trust Services 或 Amazon Trust Services。雲端服務業者（如 Cloudflare）亦會代表客戶簽發帶有自家中間 CA 的證書。

比對簽發機構時需注意以下關鍵點：

• 憑證鏈完整性：正常憑證鏈通常包含三層（終端實體證書、中間 CA 證書、根 CA 證書）。若路徑僅有一層且簽發者與主體相同，即為未獲公網信任的自簽證書。
• 企業內部網路解密差異：在受企業 IT 管理的辦公電腦上，為進行資安流量檢驗，同一個網站看到的簽發者可能被替換為公司內部自建 CA 或資安閘道設備名稱（如 Zscaler、Fortinet 等）。此屬於內部管理策略，需與 IT 確認，不直接代表目標網站為假冒。
• 驗證等級概念：基礎 DV 證書僅驗證域名持有權，不包含組織實體審查；如需核對組織身份，可於「詳細資料」的主體（Subject）欄位中確認「O（Organization）」欄位是否載明企業合法註冊名稱（OV/EV 證書）。

檢查有效期限：掌握標準週期與異常狀態

證書的有效期包含「Not Before（生效時間）」與「Not After（到期時間）」。核對時應重點關注兩個維度：

1. 國際規範下的有效期常態：全球標準（CA/Browser Forum）持續推進憑證生命週期縮短進程，90 天或數百天的短期憑證已成為業界常態。看到證書有效期僅有數個月屬於正常安全實踐，並非可疑漏洞。

2. 突發異常與維運故障：若一張公有商業服務的證書剩餘有效時間僅剩數小時卻未見自動輪替續期，或生效日期落在未來，通常意味著網站自動化維運機制失效或本機電腦時間嚴重偏差。這可能導致連線中斷或觸發瀏覽器安全阻攔，需保持警惕。

檢查域名一致性：SAN 欄位是真正判斷基準

現代瀏覽器在驗證網址時，完全以 主體替代名稱（Subject Alternative Name, SAN） 為準，早期的 Common Name（CN）僅作兼容參考。進行域名一致性核對時，請依照下列要點逐一比對：

• 完全比對規則：若訪問地址為 bank.example.com，SAN 列表中必須包含精確對應的 bank.example.com 或涵蓋該層級的通配符。
• 通配符限制：通配符 *.example.com 僅覆蓋單一層級子域名（例如 api.example.com），不覆蓋二級子域（如 sec.api.example.com），亦不覆蓋根域名本身。
• 多域名共用憑證：在 CDN 或託管平台上，一張證書的 SAN 清單常包含數十個不同企業的域名，這屬於多租戶合併簽發技術，並不代表憑證遭到篡改；但若目標官方網站的 SAN 僅列出單一完全不相干的第三方域名，則高度疑似釣魚重定向。
• 國際化域名（IDN）：非英文字元的域名會被編碼為 xn-- 開頭的 Punycode 格式，需比對轉換後的代碼是否正確，防範同形異義字（Homograph Attack）詐騙。

進階命令列與第三方交叉核驗

針對批次核驗或自動化檢測需求，命令列工具能提供客觀、不受快取干擾的即時資料。

1. OpenSSL 工具檢查

echo | openssl s_client -connect www.example.com:443 -servername www.example.com 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates -ext subjectAltName

註：-servername 參數用於傳遞 SNI（伺服器名稱指示），確保多主機環境下伺服器能正確返回對應域名的證書。

2. cURL 快速提取

curl -vI https://www.example.com 2>&1 | grep -A6 "Server certificate"

3. 憑證透明度（CT）與 WHOIS 職責分工

憑證透明度日誌（Certificate Transparency, 如 crt.sh） 是公開的證書簽發歷史記錄庫，可用於核查該域名過去由哪些 CA 簽發過憑證，防範未經授權的冒名申請；而若需查驗網域本身的註冊時間與登記實體，則應透過 ICANN RDAP 或 WHOIS 查詢工具 進行，兩者用途不同，互相配合可構建完整的外部核驗鏈條。

標準化核對步驟與異常應對指南

1. 檢視完整網址：注意地址欄是否存在轉址跡象，確認當前停駐的完整網域名稱。
2. 開啟證書面板：在瀏覽器中點開憑證詳細視窗。
3. 核對簽發機構與路徑：確認根憑證為國際認可的受信任 CA，憑證鏈完整。
4. 比對有效時間：確認生效日與截止日合理覆蓋當前時間。
5. 嚴格比對 SAN 列表：確認主體別名精確包含目標訪問域名。
6. 異常處理措施：若發現域名不符或簽發異常，立即終止操作並關閉網頁。切勿繞過瀏覽器安全警告繼續訪問；可更換網路環境交叉驗證，並透過官方渠道進行舉報反饋。

常見問題（FAQ）