# 免費申請 StartSSL™ 個人數位簽章與網站 SSL 憑證完全攻略 銷售憑證的公司競爭激烈，國外甚至於有一家簽發憑證的業者 [StartSSL™](http://www.startssl.com) 提供完全免費的 SSL 與 S/MIME 憑證，每次可申請一年期，憑證有效日到期之前還可以再次申請一次憑證，一樣是免費。這個免費的申請方案其實已經存在很多年，一年可以省下數千元的憑證簽證費用，是個不錯的選擇。但礙於申請的步驟十分繁瑣，可能還是有許多人不知道如何申請免費憑證。 **§ **瞭解根憑證的種類** §** 天下沒有白吃的午餐，看似好康的**免費生意**背後，背後總感覺有些風險，我仔細研究之後，的確發現有些值得注意的地方，但對大部分人來說，能夠申請到一個免費的 SSL 憑證或 S/MIME 憑證，還是感覺十分划算，總體來說，這個**免費生意**可以算是一個非常成功的行銷手法，像我這篇文章就是間接在幫他們宣傳，當然也是幫大家省錢啦。 (^\_^) 憑證的運作，必須靠 **信任的根憑證 (Root CA)** 安裝在系統內，這個安裝的過程大多是作業系統內建在裡面，而這些內建的根憑證就是各家認為這些根憑證是「值得信任的」，所以才會被預先置放在作業系統裡。當然，你如果是系統管理者，一樣可以手動安裝其他根憑證到你的電腦裡，或透過群組原則直接派送到公司的每一台電腦。 透過這些**信任的根憑證**所簽發的**子憑證**會被安裝到**網站伺服器**或其他服務上，當**用戶端電腦**與**伺服器**之間使用 HTTPS 進行連接時，由於會先做憑證檢查，當**用戶端電腦**上的根憑證信任**伺服器端電腦**的子憑證時**，**雙方就會產生信任關係。但如果雙方沒有**信任關係**存在，透過瀏覽器連接網頁時，就會看見以下警告畫面，各位應該多多少少會有看過個幾次： ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/cd4b2b388dc2ee0c198a-image_1724.png) 然而，憑證在簽發時，通常會先確認購買人的身份，做一個基本的背景檢查，例如公司的姓名、地址、電話等等，但這個「檢查」的動作，全靠憑證廠商自由心證，他們不做檢查也沒人知道。所以，的確也有些憑證廠商在簽發憑證時是不做身份檢查的，有人來買，就立刻簽發一個憑證出去，先收錢再說。 相對的，當你上網時看到一個「信任的」憑證，但使用這個憑證的單位（個人或公司）是否真得可靠？出問題是否找的到連絡人？這都是未知數！所以，要說憑證市場是一個販售「信任」的行業，一點也不為過。 大約在 2005 年以前，全球憑證的市場只有一種等級的**根憑證**，也就是 **Class 1 憑證**，我們稱這類憑證為「**一般憑證**」或是「**比較早期的根憑證**」，可以用在沒那麼需要安全的網路環境。也就是比較沒那麼需要購買「信任」的網路環境。「信任」這件事的嚴重性因人而異，我不能告訴你什麼使用情境是「一定要」購買「信任」的憑證，只能跟我說有 **Class 1 憑證**的存在，而且對一般大眾使用的瀏覽器的確也會被識別為「**信任的憑證**」。 在 2005 年之後，憑證市場出現了一些變化，有不少**軟體開發商**與**系統管理員**覺得，把這些「有驗證身份」的憑證與「沒有驗證身份」的憑證歸納在一起，感覺不太公平，這兩者信任程度是有差的！所以，之後就出現了一個新的 **Class 3 憑證**類別，這種憑證類別就屬於這種「**高安全性**」的憑證等級，可以用在**高度信任**的網路環境下，且這類憑證因為簽發之前都需要做身份檢查，因此向憑證廠商購買時都會需要一年**幾千塊**到**幾萬塊**不等的憑證簽發費用。 至於為什麼**價差**這麼大？不都是一個「簽發憑證」的動作嗎？就算身份檢查需要成本，也沒差這麼多吧？這個問題我們許多客戶都會問起，本文稍早有講過，憑證市場是一個販售「信任」的行業，當廠商覺得自己比較可靠（可被信任），他的定價就會比較高，但不管你支付多少錢請憑證廠商幫你簽發憑證，你的網站外觀根本沒差別！ 不過也有可能會有以下情況：當使用者發現你的網站憑證跟 [VeriSign](http://www.verisign.com/) 這家老牌的公司採購憑證，他們可能會覺得：「**他們的憑證是跟 VeriSign 買的耶，這一定是可靠的大公司才會跟他們買這種貴森森的憑證！**」至於使用者是不是真的會這樣覺得，那就就見仁見智了！ XD 目前市面上，大多數憑證廠商都是賣 Class 3 的憑證，除此之外還有賣所謂的 EV SSL 憑證，這裡的 EV 是 Extended Validation 的意思，意思是「延伸驗證」，也就是要購買這類的憑證，需要驗證的資料更多，更能掌握憑證使用者的各種資訊，也就是這類憑證，使用者可以更加「信任」的意思！另一個有趣的地方大家可能不知道，若你的網站申請的是 EV SSL 憑證，在 IE 瀏覽器上會出現整條「**綠色**」的網址列，請記得，這就是「**安全**」的感覺！哈哈 XD ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/147d7cd8700faeb02721-SNAGHTMLd2640fa.png) 當然，價格也貴上許多！不過，EV SSL 並不是本文的重點，因此不再贅述。 **§ **瞭解 [StartSSL™](http://www.startssl.com) 網站提供的免費憑證** §** 回歸正題，[StartSSL™](http://www.startssl.com) 網站提供的免費憑證，其實就是 Class 1 根憑證所簽發的憑證，這類憑證基本上不對購買者做身份檢查，而是只檢查 Email 可以收到信，以及你可以管理網站域名，如此而已，今天的文章就是教大家如何通過這些基本檢查，進而申請到免費憑證！ 大部分瀏覽器都有內建 [StartSSL™](http://www.startssl.com) 公司的根憑證，因此使用他們提供的「免費憑證」並沒有多大問題，不過，在某些行動裝置或需要較高安全性的伺服器環境下，預設會將 Class 1 根憑證給移除，如此一來用戶端就無法正常與伺服器連線。我親自測試過，我手邊的 Windows Phone 7.5 預設就不信任 Class 1 的根憑證，還有我同事的 Android 4.1 手機內建的瀏覽器（網際網路）預設也不信任 Class 1 根憑證所簽發的憑證！ 但你若要在「台灣」經營電子商務網站，使用 [StartSSL™](http://www.startssl.com) 網站提供免費憑證絕對是萬萬不可以的，要是交易發生問題，你也無法證明你所使用憑證的可靠度，也不符合中華民國電子簽章法的要求，這點必須特別注意！ **電子簽章法** **第11條 **憑證機構應製作憑證實務作業基準，載明憑證機構經營或提供認證服務之相關作業程序，送經主管機關核定後，並將其公布在憑證機構設立之公開網站供公眾查詢，始得對外提供簽發憑證服務。 > **【 工商時間 】** > > 如果有人想要購買憑證，可以立即[填寫訂購單](https://forms.office.com/Pages/ResponsePage.aspx?id=FVMndnV6rUubfaMp1iIhUDVnVCw0KBxIuQJjftiZOtdUQTQ3V0FQNlRWM0M1RTVEQUI2TlRUNUVGMS4u)，我們會有人協助你購買正確、合法且有效的 SSL 憑證。 **§ 免費申請 StartSSL™ 個人數位簽章與網站 SSL 憑證完全攻略 §** 1\. 先進入 [StartSSL™](http://www.startssl.com) 官網： [http://www.startssl.com](http://www.startssl.com "http://www.startssl.com") ，並點選右上角的「**登入**」圖示 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/17fc8e85548f81a4d853-image_1725.png) ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/1bf6ffd3b4fd6bed0946-image_1726.png) 2\. 輸入個人基本資料以申請個人憑證，方便日後登入該網站用。記得要輸入正確，尤其是 Email 地址 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/17d95fd64c3e04054c9b-image_1727.png) 按下 Continue 登入時會提示你是否誠實的輸入正確的個人資料，確認後按下「確定」繼續 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/b55d285c993201e93f7d-SNAGHTML4091ef70.png) 3\. 接著去 Email 信箱收信，你會得到一個 **驗證碼** (**authentication code**) ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/06e3d7e8843083a8af15-image_1728.png) 4\. 回到瀏覽器，在網頁上輸入郵件中的驗證碼，並按下 Continue 繼續 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/a1f63662fea78b9e3b08-image_1729.png) 他會說正在驗證你的個人資料，約要等 6 個小時內完成審查 ( 其實不用這麼久 ) ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/f706b848044a84768e33-image_1730.png) 5\. 大約等個 5 ~ 10 分鐘就會收到一審核通過的 Email 郵件，並再次取得 **驗證碼** (**verification code**) ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/fc634e9b27732ba099d4-image_1731.png) 6\. 回到瀏覽器，在網頁上輸入郵件中的驗證碼，並按下 Continue 繼續 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/13042928634b1f683593-image_1732.png) 7\. 這時要產生你的個人私鑰，必須選擇加密等級，保留預設選項即可，並按下 Continue 繼續 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/1f6b03e37ea84701b59b-image_1733.png) 8\. 大約幾秒鐘就會產生完成，直接按下 Install 按鈕，憑證就會自動安裝到你的**作業系統**裡！ ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/f973eff5851e8d47f416-image_1734.png) 9\. 若用 Google Chrome 瀏覽，會看到工具列下方會出現「**成功儲存 StartCom Class 1 Primary Intermediate Client CA 發出的用戶端憑證。**」的字樣，你可以點選「檢視」按鈕查看憑證資訊。 [![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/85eb66d2b47d26e8db04-SNAGHTML40a4d7ea_thumb.png)](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/9dab7fcdb962b25735dd-SNAGHTML40a4d7ea.png) 該憑證已經成功安裝到作業系統中，今後登入 [StartSSL™](http://www.startssl.com) 網站不需要再次輸入帳號、密碼，從憑證資訊中也可以看出，該憑證的使用目的只有「向遠端電腦證明您的身份」以及「保護電子郵件訊息」這兩點而已，不能用來當作網站伺服器的 SSL 憑證用途： ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/1bc7b708fb99de65e82f-SNAGHTML40a43832.png) 10\. 你也可以透過以下步驟查詢作業系統中的憑證清單 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/ea54e0d50ff64fc41664-image_1735.png) ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/09fbc8ea7ed0f23c0d30-image_1736.png) ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/92aba45b7c13416c9db1-image_1737.png) ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/d886f9a80dede2a2f528-SNAGHTML40ab7ea4.png) 11\. 會員註冊成功後，會進入該網站主要頁面，你必須依照三個步驟完成免費憑證申請的動作： (1) 驗證網域擁有權  (2) 申請憑證  (3) 其他憑證相關工具使用，而這三個步驟也相對應的提供三個頁籤可供操作。我們要先從 **Validations Wizard** 做起： ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/3e04635053735d824c3d-image_1738.png) 12\. 這裡我們先執行「網站域名驗證」，確認你是特定「域名」的擁有人，確認之後，你才能申請免費憑證！ ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/e52bd6088fa6fa9a31a9-image_1739.png) 13\. 輸入網域名稱 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/3f5ec4eabfc2a1eeb1ea-image_1740.png) 14\. 下一步，你只能從以下 4 個信箱中選擇一個，如果沒有這些信箱的話，請建立一個可以收到信的信箱，如此一來才能驗證**網站域名**的擁有權！（收的到信，就代表你是網域管理者） ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/5f9f6cd6c1dc6f6390e5-image_1741.png) 15\. 去收信，信件中會有一個 **驗證碼** (**verification code**) ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/bfc726d9967f120338ed-image_1742.png) 16\. 回到瀏覽器，在網頁上輸入郵件中的驗證碼，並按下 Continue 繼續 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/0ae54ba045e10ea8e224-image_1743.png) 17\. 按下 Finish 即可完成驗證工作，接下來 30 天內，你可以建立任意數量的子網域憑證！而且免費！ ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/5e59cef9e458fada8d18-image_1744.png) 18\. 完成後，從畫面右下角可以看出已經通過驗證的那些域名 (Domain Names) ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/df69a676688b5cdc13d7-image_1745.png) 19\. 接著，透過 Certificates Wizard 產生 **Web Server SSL/TLS Certificate** 憑證 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/85d270be74429092e772-image_1746.png) 20\. 輸入憑證金鑰密碼，該密碼你一定要紀錄下來，否則之後就算申請到也沒用！ ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/61ade372a2469e08fbce-image_1747.png) 21\. 將網頁上的加密金鑰檔 (純文字)，開啟記事本將內容貼入，並另存新檔 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/3a0e139675e08a39ca75-image_1748.png) **注意**：檔案的儲存編碼一定要是 ANSI 格式，若儲存成 UTF-8 with BOM 後續步驟將會發生問題！ ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/d89c5b553ac0a90601be-image_1749.png) 22\. 準備新增一個域名，選擇你剛剛驗證過的域名，然後按下 Continue 繼續 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/400c035cdef3f27f9471-image_1750.png) 23\. 輸入一個 **子網域** (sub-domain) 的名稱 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/d2dbf0f96ecc42f24446-image_1751.png) 24\. 重新檢視你的憑證資訊，之後產生的憑證，單一憑證上將會同時有 miniasp.com 與其子網域兩個域名的 SSL 憑證，最後按下 Continue 繼續。 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/291bb35531b5cfada76e-image_1752.png) 25\. 成功產生憑證，請先另存文字檔，可以用網頁上的建議取名為 ssl.crt 或取名 \*.crt 都可以。 注意：這是個不含「金鑰」的憑證而已，不含任何要保護的成分，是可以公開的，這也就是所謂的**公鑰**。 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/bbd5c3d76a731f5e2e29-image_1753.png) 26\. 憑證建立成功，你會在網頁右下角看到申請成功的憑證域名 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/a5f1ed9d318adad3d4c8-image_1754.png) 27\. 接著準備進入 Tool Box 頁籤，產生 PFX 完整憑證檔（就是包含私密金鑰的重要檔案） ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/5ad7ed61bc8b67a1e957-image_1755.png) 點選 **Create PKCS#12 (PFX) File** 連結 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/3b85bf4fad6c23b5119f-image_1756.png) 28\. 請重新檢視一下你目前已經產生的資訊有以下三個： 1. 產生金鑰前設定的「金鑰密碼」 ( 0-Password.txt ) 2. 加密過的私密金鑰檔案 ( ssk.key ) 3. 公開的憑證檔案 ( ssl.crt ) ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/85dfe5c2e83bb8fb3995-image_1757.png) 29\. 將檔案內容分別貼入網頁上的欄位，如下圖示： ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/ca37f12a24fe2301a49d-image_1758.png) 30\. 最後點選 **Get PFX** 下載 PFX 憑證檔 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/c703d46b9b416c6d71ac-image_1759.png) 如下圖示，副檔名為 **\*.p12** 或 **\*.pfx** 都是合法的副檔名 ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/6a5a28bd78036ad4baf6-image_1760.png) **免費憑證申請就大功告成！** 最後，我們先將 \*.p12 檔案匯入 IIS 網站伺服器 (或其他網站伺服器) ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/edcaa8d65faa0ac8c9e4-image_1761.png) ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/10814d8fd7336fc10a82-image_1762.png) 再去修正站台的「繫結」設定，將 SSL 憑證選上去即可！ ![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/db00161e450cfa8d304e-image_1763.png) **相關連結** - [StartSSL™ Certificates & Public Key Infrastructure](http://www.startssl.com/) - [FAQ/TechnicalQuestions - CAcert Wiki](http://wiki.cacert.org/FAQ/TechnicalQuestions) **【 工商時間 】** 如果有人想要購買憑證，可以立即[填寫訂購單](https://forms.office.com/Pages/ResponsePage.aspx?id=FVMndnV6rUubfaMp1iIhUDVnVCw0KBxIuQJjftiZOtdUQTQ3V0FQNlRWM0M1RTVEQUI2TlRUNUVGMS4u)，我們會有人協助你購買正確、合法且有效的 SSL 憑證。