三年前我幫一位朋友把架好的部落格上線，網站打開的瞬間，Chrome 直接在網址列旁邊跳出紅字「不安全」。他傻眼，我也尷尬——明明 WordPress 裝好了、佈景主題也選好了，怎麼會這樣？問題其實只有一個：SSL 憑證沒設定。後來我經手過大大小小三十幾個自架站，幾乎每一個新手都卡在同一關。今天就把這件「90% 的人會漏掉」的關鍵設定，從原理到實作一次講清楚。
看完這篇你會學到：
- 為什麼沒裝 SSL 會直接傷害你的 SEO 與訪客信任
- 免費（Let’s Encrypt）和付費憑證該怎麼選
- 六步驟自己安裝 SSL，外加 WordPress 一鍵設定法
- 裝完之後 90% 人忽略的混合內容與強制轉向細節
SSL 憑證到底是什麼？為什麼自架站非裝不可
講白話，SSL（Secure Sockets Layer）憑證做的事情就是把你網站與訪客之間傳輸的資料「上鎖加密」。沒有它，使用者在你網站上輸入的帳號、密碼、信用卡號，都是用明碼在網路上裸奔——只要中間有人攔截，全部一覽無遺。裝了之後，你的網址會從 http:// 變成 https://，那個多出來的「s」就是 secure 的意思。
我自己最在意的其實是兩件實際後果：
- SEO 排名：Google 早在 2014 年就官方公告 HTTPS 是排名訊號之一。我手上有個站從 HTTP 換成 HTTPS 後，三週內幾個關鍵字的排名平均上升 2 到 4 名。雖然不是唯一因素，但這是「不做就先扣分」的基本盤。如果你正在為流量掉了煩惱，可以搭配看這篇 網站流量暴跌時的 3 招 SEO 急救包。
- 訪客信任：現在 Chrome、Safari、Edge 看到 HTTP 表單頁都會跳「不安全」警告。我做過一個小測試，同一個落地頁掛上「不安全」標籤後，表單填寫率掉了將近三成。訪客不會管技術細節，他們只看到那行紅字就關掉了。
免費 vs. 付費 SSL 憑證：新手到底該選哪一個
這是我最常被問到的問題。先講結論：九成以上的個人部落格、內容站、甚至小型電商，免費的 Let’s Encrypt 就完全夠用了。它的加密強度跟付費憑證是一樣的（都是業界標準的 TLS），瀏覽器一樣顯示鎖頭，Google 一樣認可。
那付費憑證貴在哪？貴在「組織驗證」「保固金額」跟「售後支援」。如果你是要做需要客戶高度信任的金流、企業官網，或想要綠色公司名稱的 EV 憑證，才需要考慮付費。下面這張表是我給客戶選憑證時的實際判斷依據：
| 項目 | 免費 SSL（Let’s Encrypt） | 付費 SSL（DigiCert、Sectigo 等） |
|---|---|---|
| 費用 | $0 | 每年約 NT$1,500–15,000 |
| 加密強度 | 與付費相同（TLS 標準） | 與免費相同（TLS 標準） |
| 有效期 | 90 天，多數主機自動續約 | 1 年（2020 後業界上限） |
| 驗證層級 | 網域驗證（DV） | 可選 DV／OV／EV |
| 保固賠償 | 無 | 數萬至百萬美元不等 |
| 適合對象 | 部落格、內容站、小型電商 | 金流、企業官網、需 EV 綠標者 |
我的建議很直接：先用 Let’s Encrypt 上線，等真的有需求再升級。不要因為「免費好像比較不安全」這種錯覺就多花錢，技術上它一點都不輸。
手把手實作：六步驟安裝 SSL 憑證
很多教學把安裝寫得像火箭科學，其實現在大部分主機都做得很傻瓜化。以下是通用流程，如果你用的是 cPanel 或寶塔面板，幾乎都能對應到這幾步：
- 確認主機支援：登入主機控制台，找「SSL/TLS」或「SSL 憑證」區塊。多數虛擬主機（如 Bluehost、Cloudways、台灣的 Hostgator）都內建 Let’s Encrypt 一鍵安裝。
- 選擇憑證來源：新手直接選「免費 Let’s Encrypt」。如果面板沒有，可向客服申請開啟，通常當天就能搞定。
- 產生 CSR（若需要）：一鍵安裝通常會自動產生 CSR，你不用手動處理。只有手動上傳付費憑證時，才需要自己在面板產生 CSR 這個包含網站資訊的請求檔。
- 驗證網域所有權：系統會用 HTTP 檔案驗證或 DNS 記錄確認這個網域是你的。Let’s Encrypt 多半幾秒內自動完成。
- 安裝並套用憑證：勾選你的網域，按下「安裝」。面板會把憑證綁定到網站，這一步完成後，
https://你的網域就能打開了。 - 設定強制 HTTPS：最後在面板裡開啟「強制 HTTPS 轉向」，或在
.htaccess加上轉向規則，把所有 HTTP 流量導到 HTTPS。
如果你是用 WordPress，還有更省事的做法：安裝官方推薦的 Really Simple SSL 外掛。它會自動偵測憑證、把全站連結改成 HTTPS、處理大部分混合內容問題，按一個鍵就完成。我自己上線新站時，憑證在主機端裝好後，WordPress 這端固定就靠這個外掛收尾，五分鐘內搞定。關於外掛挑選與設定，這篇 網站速度優化的 3 招也很值得一起看，因為 HTTPS 搭配 HTTP/2 其實還能順便加速。
實務提醒：主機端裝憑證 + WordPress 端用 Really Simple SSL 收尾，是我驗證過最穩、最快的組合。先裝主機憑證，再裝外掛，順序別反。
裝完先別慶祝：90% 的人忽略的四個收尾細節
這段才是這篇文章真正想強調的重點。我看過太多人憑證裝好就以為大功告成，結果鎖頭旁邊還是有個驚嘆號，或過幾個月整站突然又變「不安全」。以下四件事一定要逐一檢查：
- 混合內容（Mixed Content）：這是最常見的雷。網頁本身是 HTTPS，但裡面某張圖片、某個 CSS 或 JS 還是用
http://載入，瀏覽器就會把鎖頭打掉。檢查方法：按 F12 打開開發者工具，看 Console 有沒有黃色的 mixed content 警告，逐一把連結改成 https 或相對路徑。Really Simple SSL 能自動修掉大半。 - 強制 HTTPS 轉向：裝了憑證不代表訪客一定走 HTTPS，他們打 http 版網址還是進得去。一定要設轉向，否則等於白裝。這也順便避免 Google 把 http 和 https 當成兩個重複網頁。
- 憑證到期續約：Let’s Encrypt 只有 90 天效期。好消息是正規主機都會自動續約，但我建議你還是用免費工具（如 UptimeRobot 或瀏覽器書籤）設個提醒，自架在 VPS 上的人尤其要確認 certbot 的自動續約排程有在跑。我就踩過一次 certbot 排程失效、憑證過期整站掛紅字的雷。
- 更新站內絕對網址：WordPress 後台「設定 → 一般」裡的網站位址，要確認是 https 開頭。資料庫裡舊文章若寫死了 http 連結，也建議用 Better Search Replace 之類的外掛統一換掉。
這些細節聽起來瑣碎，但少做一項，鎖頭就可能不完整。想看更多自架站常見的踩雷清單，我整理在這篇 自架站 90% 的人都踩過的 Bug裡，可以對照檢查。
常見問題
我的網站已經是 HTTPS 了，還需要做什麼嗎？
需要持續維護三件事：確認憑證沒過期、用開發者工具檢查有沒有混合內容、確認強制轉向有開。憑證不是裝一次就一勞永逸，尤其 Let’s Encrypt 每 90 天就要續一次。我習慣每季花十分鐘用瀏覽器開發者工具掃一遍，確保鎖頭乾乾淨淨。
免費的 Let’s Encrypt 真的安全嗎？會比較容易被駭嗎？
不會。Let’s Encrypt 用的加密標準（TLS）跟付費憑證完全相同，瀏覽器的鎖頭也一視同仁。它和付費的差別在驗證層級與保固賠償，不在加密強度。對個人站和中小型網站來說，安全性綽綽有餘。會被駭通常不是因為憑證免費，而是密碼太弱、外掛沒更新這些另外的問題。
我的網站是 HTTP，一直沒被駭，是不是就不用裝 SSL？
強烈建議還是裝。沒被駭不代表安全，HTTP 傳輸是明碼，隨時可能被攔截或被植入內容。更現實的是：瀏覽器會對 HTTP 表單頁顯示「不安全」警告，Google 也明確把 HTTPS 列為排名訊號。等於你不裝，每天都在流失信任與排名。Let’s Encrypt 免費又能在十分鐘內裝好，沒有不做的理由。
裝完 SSL 後 SEO 排名會馬上上升嗎？
不會「馬上」，但會把你從扣分區拉回基本盤。HTTPS 是排名訊號之一，不是唯一因素。實務上你會在 Google 重新檢索後的幾週內看到小幅改善，前提是同時做好強制轉向、避免產生 http/https 重複網址。把 SSL 當成 SEO 的地基，而不是魔法開關。
延伸閱讀｜WordPress 自架站系列
- 網站架設新手必看指南：主機、網域、平台一次搞懂
- WordPress 5 分鐘搞定 SSL 憑證設定
- WordPress SEO：結構化資料（Schema）設定指南
- 自架站是什麼？為何你需要一個自己的網站
- 主機、網域、平台全攻略：新手架站前必讀
💡 延伸閱讀｜準備好動手架站了嗎？先挑對主機商，能省下日後搬家的大麻煩：WordPress 虛擬主機推薦 2026：新手架站 5 大主機商比較與選擇指南。
