【GoDaddy爆認證危機】逾40萬張SSL證書遭撤銷　網站未換證恐現安全警告

合規災難爆發：40 萬張證書一次過報銷

全球最大網域及網站服務供應商 GoDaddy，近日證實旗下憑證簽發機構（包括子公司 Starfield）簽發的 SSL／TLS 證書，大規模出現「不符規格」問題，須啟動撤銷程序。據公開資料顯示，事件最初涉及 404,607 張證書，經核實後受影響總數定為 403,643 張，當中 378,067 張已正式撤銷，其餘 25,576 張在程序完成前已自然屆滿，截至處理完畢已無任何問題證書仍然有效。按類型劃分，受影響證書絕大部分屬網域驗證（DV）等級，當中 Starfield R1 DV 及 G2 DV 兩系列合計佔整體逾九成，另有少量機構驗證（OV）及延伸驗證（EV）證書。

問題根源：並非私鑰外洩 而是文件對不上

公開資料顯示，事件起因並非黑客入侵或私鑰外洩，而是證書內部記載的「證書政策」（Certificate Policy）相關資料，與 GoDaddy 及 Starfield 對外公開的《證書政策》（CP）及《認證實務聲明》（CPS）文件內容不一致。具體而言，問題出在證書內的政策識別碼（OID）及 CPS 網址限定符（CPS URI qualifier）——這兩項資料本應準確指向發證機構所採用的政策文件版本，但實際簽發時卻與官方公布版本不符。消息指，有第三方率先發現相關差異並通報，促使 GoDaddy 展開內部調查，其後一度暫停新證書簽發，待修正公開文件及簽發流程後才恢復運作。值得留意的是，相關證書在技術層面本身並無缺陷，加密及驗證功能正常運作，問題純屬文件合規性不符，但按行業規則，只要簽發流程與官方政策文件有出入，仍必須撤銷。

撤銷限期一再落後 二次違規浮現

根據憑證機構／瀏覽器論壇（CA/Browser Forum）訂立的 TLS Baseline Requirements，發證機構一旦發現證書簽發不符既定政策或認證實務聲明，須在知悉問題起計 5 日內完成撤銷。然而公開時序顯示，GoDaddy 未能如期完成：限期屆滿時僅撤銷 170,566 張，完成率約四成二；限期後一日，數字升至 227,422 張；直至 10 月 21 至 23 日期間，才將全部有效問題證書撤銷完畢。換言之，GoDaddy 不但要為簽發出錯負責，更因錯過法定撤銷期限而衍生第二層合規問題，事件現已被納入相關瀏覽器廠商的憑證機構合規追蹤程序持續監察。據報道，GoDaddy 解釋延誤原因包括需優先協調持有大量證書的客戶，以及政府、金融及醫療等敏感行業機構，以免倉卒撤銷引發更大規模服務中斷。

網站管理員須做足三件事 否則訪客見警告

對一般網站管理員而言，證書被撤銷不代表網站自動失效，但若未及時更換，訪客在瀏覽器就有機會見到安全警告，甚至無法正常連線。消息指，受影響客戶應先登入 GoDaddy 帳戶後台，在「管理全部」頁面查核所有 SSL 證書狀態；確認有證書受影響後，應立即下載替換證書；最後須將新證書實際部署至所有對外端點，包括伺服器、反向代理、負載平衡器及內容傳遞網絡（CDN）節點，並以查核工具確認部署成功。公開資料提醒，部分機構誤以為後台顯示「已重新簽發」即代表問題解決，但若新證書未實際安裝至伺服器，舊證書失效後網站仍會出現警告，此步驟經常被忽略。另有報道指，受影響範圍橫跨全球不同地區，包括部分政府機構網站，惟相關機構已澄清事件屬行政及合規失誤，並非遭受網絡攻擊。

瀏覽器反應不一 用戶未必即時察覺

值得留意的是，不同瀏覽器對於大規模撤銷事件的反應機制有明顯差異。據報道，部分新版瀏覽器已採用本機即時撤銷清單核查技術，一旦證書被列入撤銷名單，幾乎可以即時在用戶端生效，相關網站會較快出現安全警示；但另有主流瀏覽器仍依賴體積有限的撤銷清單集合，只能覆蓋一小部分撤銷記錄，意味部分仍使用問題證書而未撤換的網站，短期內或未必會即時觸發警告畫面，換言之用戶單靠瀏覽器有否顯示警告，並不能完全判斷網站證書是否安全，網站管理員主動查核才是關鍵。

事件表面看似一次單純的技術文件對不上，但背後反映的是大型證書機構在合規與營運規模之間的拉鋸——一邊要守住瀏覽器論壇訂立的硬性撤銷期限，一邊又要顧及數十萬客戶同時換證可能引發的連鎖故障風險。對網站管理員而言，這次事件最實際的啟示，是定期主動查核證書狀態，不能只靠被動等待系統警示，否則一旦撤銷生效而未及時換證，受損的將是網站自身的可用性與訪客信任。最終 GoDaddy 能否藉此強化內部簽發流程把關，避免同類事故重演，仍需時間及後續追蹤觀察。

免責聲明：本專頁刊載的所有投資分析技巧，只可作參考用途。市場瞬息萬變，讀者在作出投資決定前理應審慎，並主動掌握市場最新狀況。若不幸招致任何損失，概與本刊及相關作者無關。而本集團旗下網站或社交平台的網誌內容及觀點，僅屬筆者個人意見，與新傳媒立場無關。本集團旗下網站對因上述人士張貼之資訊內容所帶來之損失或損害概不負責。