TWCA 中繼憑證 11 月 6 日廢止 資褓儲存提醒企業：換證要連同憑證鏈一起換
TWCA 公告，原中繼憑證須在 2026 年 11 月 6 日 00:00 前廢止，使用 TWCA SSL 憑證的網站要在期限前換上重新簽發的新憑證，並安裝完整憑證鏈。數位發展部統計，政府機關共有 962 個機關、9,772 張網站憑證受影響，截至 11 月 2 日晚間完成更新的有 926 張。資安產品代理商資褓儲存提醒企業，換證時最容易漏掉的是中繼憑證與裝在負載平衡設備上的憑證，並建議企業藉這次事件，把憑證盤點與更新流程自動化。
事件起因：憑證序號的亂數不夠長
國際規範要求，憑證序號要含有至少 64 位元的密碼學安全亂數，讓序號無法被預測。數位發展部說明，TWCA 把序號設計為 128 位元，實際有效的隨機亂數只有 24 位元，未達規範要求。這個問題在 2026 年 10 月 30 日由國際社群在 Mozilla Bugzilla 通報，依規範，不符要求的中繼憑證必須廢止，TWCA 因此改用新的中繼憑證，重新簽發用戶的網站憑證。
數位發展部表示，事件目前沒有造成具體資安危害；資安媒體 CyberQ 也指出，這次並非瀏覽器撤銷對 TWCA 的信任，也沒有金鑰外洩。企業要面對的是時間壓力：舊中繼憑證廢止後，還沒換證的網站，使用者連線時可能看到安全性警示。
換證重點：新憑證、完整憑證鏈、每一個安裝位置
TWCA 公告說明，這次是以原本的金鑰重新簽發憑證，收到新憑證後直接安裝即可，但因為更換了憑證鏈，安裝時務必包含完整憑證鏈。資褓儲存整理企業換證時要確認的三件事：
- 中繼憑證要一起換：只換網站憑證、沒換上新的中繼憑證，舊中繼憑證廢止後，連線一樣會驗證失敗。
- 找出每一個安裝位置：同一張憑證可能同時裝在網站伺服器、負載平衡設備與 API 閘道上，每一處都要更新。
- 有憑證固定的 App 要提早處理：App 或主機若有做憑證固定（certificate pinning），要提早部署新的憑證鏈，避免 App 連不上後端。
長期做法一：用憑證生命週期管理，把盤點與換證自動化
這次事件讓許多資訊人員必須在幾天內找齊所有憑證。資褓儲存代理的普鴻 ProCLM 憑證生命週期管理，可以自動掃描並彙整企業內外部的憑證，到期日、發行機構與網域狀態集中在單一儀表板；在伺服器上以代理程式自動下載、綁定並更新憑證，支援 Apache、Nginx、IIS 等主流網頁伺服器，更新後自動驗證網域、憑證鏈與有效期，異常時透過 Email 或通訊軟體通知。ProCLM 也支援多家憑證機構集中管理，必要時可以批次改向另一家憑證機構重新申請憑證。
長期做法二：把憑證集中在入口設備，換一次就好
網站數量多、伺服器分散時，每台都要換證，漏掉的機會就多。資褓儲存代理的 Array APV 應用交付控制器內建硬體 SSL 晶片，支援 SSL 卸載與上萬組憑證，可以把網站的加解密集中在 APV 上處理；需要換證時，在 APV 上更新即可，後端伺服器不用逐台處理。
關於資褓儲存
資褓儲存是代理「資料安全」「營運韌性」「運算平台」三大類原廠產品的整合型代理商，協助台灣企業建立完整的資安防護、營運韌性與運算基礎架構，提高企業上網與營運時的網路韌性。
媒體與業務聯絡
資褓儲存 行銷部
電話：(02)2367-7800 分機 102
信箱：marketing@datasitter.com
地址：台北市中正區羅斯福路二段 168 號 7 樓之 1