MailVSR-GW 的登入頁與後台都走 HTTPS，因此這台機器需要一張 SSL 憑證。這一頁提供三種取得憑證的方式：自己產生（自簽或產生申請書）、上傳（向外部 CA 購買後匯入）、申請免費憑證（Let's Encrypt，自動續期）。憑證過期會讓所有使用者看到瀏覽器的安全警告，甚至無法登入。
什麼時候會用到這一頁：
- 剛安裝完成，瀏覽器一直跳「憑證不受信任」的警告
- 憑證即將到期（畫面上會標示到期日）
- 公司有自己的內部 CA，想簽一張給這台機器
- 已向外部廠商買了正式憑證，要匯入
- 想改用免費的 Let's Encrypt 憑證並自動續期
目前憑證
頁面上方顯示目前憑證的資訊與到期日。若尚未安裝任何憑證，會顯示「尚未安裝任何憑證」。
三個頁籤
本頁分成產生憑證、上傳憑證、申請免費憑證三個頁籤，三種方式各自獨立，用哪一種都可以。
產生憑證
這個頁籤有兩個用途：產生自簽憑證（立即能用，但瀏覽器仍會警告）、或產生 CSR 申請書（拿去跟憑證廠商購買正式憑證）。
⚠️ 所有欄位都要用英文書寫（畫面原文：「請填寫以下欄位產生SSL憑證所需之資訊，全部需使用英文書寫」）。填中文會產生無法使用的憑證。
欄位說明（括號內為系統可接受的最大長度）：
- Country：國別代碼，通常是兩碼（例：
TW）。出廠預設TW - State：州／省（例：
Taiwan）。出廠預設Taiwan - Locality：城市（例：
Taipei）。出廠預設Taipei - Organization：公司或組織名稱（例：
Your Company Ltd.）。出廠留空 - Organization Unit：部門（例：
MIS）。出廠留空 - Common Name：必填（最長 255 字元）。這是憑證要保護的主要網域名稱（例：
gw.yourcompany.com）。這一欄填錯，憑證就對不上您實際連線的網址 - 別名／SAN：選填（最長 500 字元）。多個網址以逗號分隔（畫面說明：「多個網址以逗號分隔」）。若同一台機器要用多個名稱連線（例：
gw.yourcompany.com、mail.yourcompany.com），全部要在這裡列出 - E-mail contact：選填，憑證聯絡信箱（格式須為有效 Email，最長 128 字元）
- Valid days：有效天數，整數 10–3650，出廠預設 397 天（本產品的憑證慣例）。⚠️ 畫面輸入框的上下限標示為 10–825，系統實際接受到 3650；若要更長的有效期，以實際規則為準
兩個按鈕：
- 產生憑證：產生自簽憑證並直接安裝。成功顯示「✓ 憑證已產生並安裝」；若流程是「先產生、再請您確認」，會顯示「✓ 憑證已產生並填入「上傳憑證」頁面 — 請確認後安裝」。失敗顯示「憑證產生失敗」
- 產生申請書（CSR）並下載：產生 CSR 與私鑰並打包成 zip 下載（成功顯示「✓ 申請書（CSR）＋私鑰已打包下載」）。把這個檔案交給憑證廠商，等他們核發後再回到「上傳憑證」頁籤安裝
範例：公司要給這台 GW 一張有效期較長的內部憑證 → Country TW、State Taiwan、Locality Taipei、Organization Your Company Ltd.、Common Name gw.yourcompany.com、別名填 gw.yourcompany.com,mail.yourcompany.com、Valid days 825 → 按「產生憑證」（內部 CA 情境）。
上傳憑證
已經向第三方公證單位取得憑證時，從這裡匯入：
- 憑證金鑰 (Key)：必填。憑證的私密金鑰內容（貼上完整內容，包含
-----BEGIN ...-----與結尾行） - 憑證證書 (CRT)：必填。憑證本身的內容
- 中繼憑證/串鏈 (Chain)：選填。有些廠商會另外給中繼憑證；不填可能導致部分裝置（尤其手機）顯示憑證鏈不完整
填好後按「上傳安裝」：成功顯示「✓ 憑證已安裝」，失敗顯示「憑證安裝失敗」。
範例：廠商寄來三個檔案 gw.key、gw.crt、ca-bundle.crt → 分別貼進 Key、CRT、Chain 三欄，按「上傳安裝」，再到頁面上方確認「目前憑證」與「到期日」是否更新。
申請免費憑證
由 letsencrypt.org 提供，通常 90 天效期，系統會在到期前 30 天自動重新取得。
- 啟用免費憑證：開關（畫面說明：「免費憑證是由 letsencrypt.org 提供頒發的SSL證書」）
- 網域或主機名稱：必填（最長 500 字元）。每行一個，或逗號分隔多個網域（多個名稱會放在同一張憑證的 SAN）
- 申請者Email：必填，須為有效 Email（最長 128 字元）。用於到期通知
- 立即取得：立刻申請並安裝。成功顯示「✓ 免費憑證已取得並安裝」；失敗顯示「免費憑證申請失敗」
- 最後一次執行時間：尚未執行過會顯示「最後一次執行時間：尚未執行」
⚠️ 申請前必須先設定好 DNS（畫面原文）：「申請的名稱必須先設定好 DNS，確定解析的IP可以對應到目前這台主機的IP，若主機處於防火牆內部，必須把 TCP/80 port 導入到此機器（用於稍後自動認證之用途）」。也就是說：DNS 指錯、或 80 埠沒有從 Internet 導到這台機器，申請就會失敗。
⚠️ 畫面原文也提醒：本公司不保證這個免費機制永久可用（letsencrypt.org 若變更條款，本公司不負責免費使用的承諾），請管理員知悉。
常見誤解與陷阱
- 自簽憑證不能消除瀏覽器警告：自簽憑證能讓連線加密，但因為沒有第三方公信力，瀏覽器仍會顯示「不受信任」。要讓使用者不再看到警告，必須使用受信任 CA 簽發的憑證（購買或 Let's Encrypt）
- Common Name 必須是使用者實際連線的網址：使用者打
gw.yourcompany.com，憑證就必須包含這個名稱。只填 IP 或用內部的vsr3.gw，從外部連線時仍會警告 - 多個名稱一定要列在「別名／SAN」：Common Name 只放一個，其餘都要進 SAN，否則那些名稱連線時一樣會警告
- 憑證與私鑰必須成對：Key 與 CRT 不是同一組的話會安裝失敗（或安裝後連線失敗）。從廠商取得時請整組一起下載
- Chain 不填可能只在自己電腦正常：桌機瀏覽器常會自動補齊中繼憑證，手機或某些用戶端則不會 → 出現「憑證鏈不完整」。建議一律填 Chain
- Let's Encrypt 需要 80 埠與正確 DNS：這是申請失敗最常見的兩個原因，不是系統壞了
- 憑證有期限：到期後所有使用者都會看到警告。請留意頁面上的到期日，或啟用免費憑證的自動續期
注意事項
- 憑證更換後請重新整理瀏覽器（或關閉重開）才會用到新憑證；部分瀏覽器會快取舊憑證
- 更換憑證不影響郵件收發，只影響後台與登入頁的 HTTPS 連線
- 「產生憑證」與「上傳安裝」都是直接套用到系統的動作，完成後若連線異常，請確認憑證內容是否正確（可用（網路設定 / 網路測試工具）確認 DNS 與連線）
- 這些動作會寫入操作日誌，可在（系統日誌 / 操作日誌）回溯
- 若您有多台機器（例如備援機），每一台都要各自處理憑證，憑證不會自動同步
- 免費憑證的續期由系統自動執行；若自動續期失敗（DNS 變動、80 埠被關），到期後仍需手動處理