SSL憑證管理

SSL憑證管理用來產生、上傳與更新管理介面（含 Webmail）使用的 HTTPS 憑證。憑證決定瀏覽器連線時會不會出現「不安全」警告——沒有憑證或憑證過期時，使用者每次開啟管理介面都會看到紅色的安全警示，久了就會習慣性忽略警告，反而增加風險。

什麼情況會用到這一頁：

頁面最上方顯示目前生效的憑證：

主體（Subject）：憑證是簽發給哪個名稱
到期日：格式為「到期日：日期（N 天）」
- 剩餘天數少於 30 天時，天數會以紅字顯示；30 天以上為綠字
- 看到紅字就該準備換憑證了——免費憑證通常會在此之前自動續期，若是自行購買的憑證請記得提前申請
尚未安裝任何憑證時，顯示黃色的「尚未安裝任何憑證」

自行產生自簽憑證，或產生 CSR 申請書向第三方 CA 申請。填寫的資訊全部需使用英文書寫（中文會導致憑證產生失敗或申請被 CA 拒絕）。各欄位限制如下：

欄位	必填	長度上限	出廠預設	說明
Country	否	64	`TW`	國別代碼，建議用兩碼（如 `TW`、`US`）
State or Province Name	否	128	`Taiwan`	州／省
Locality Name	否	128	`Taipei`	城市
Organization	否	128	空	公司或組織英文名，例：`ACME Corp.`
Organizational Unit Name	否	128	空	部門，例：`MIS`
Common Name	是	255	空	憑證主要網址，必須是使用者實際連線的名稱，例：`mail.yourcompany.com`
Alt Names	否	500	空	其他網址（SAN），多個以逗號分隔，例：`mail.yourcompany.com,webmail.yourcompany.com`
E-mail contact	否	128	空	聯絡信箱，需符合 Email 格式
Valid days	是	10～3650	825	有效天數

⚠️ Common Name 是最關鍵的一欄：它必須與使用者在瀏覽器輸入的名稱完全一致。若使用者用 IP 連線（例 https://192.0.2.10），Common Name 填了網域名稱，瀏覽器仍會顯示名稱不符的警告。這種情況請把 IP 也加進 Alt Names。

⚠️ Valid days 的可填範圍是 10～3650 天，825 只是出廠預設值。自簽憑證可以填很長（例如 3650 天）省去換證麻煩；但若填太長，一旦私鑰外流，影響期間也跟著拉長。

填完後有兩個按鈕，用途不同：

「產生申請書（CSR）並下載」：產生 CSR 與私鑰並打包成 zip 下載（內含 private.key 與 request.csr），用來向第三方 CA 申請憑證。成功時顯示「✓ 申請書（CSR）＋私鑰已打包下載」
- ⚠️ 下載的 zip 內含私鑰，請妥善保管；私鑰外流等同憑證被盜用。這個檔案不會留在伺服器上供您再次下載，遺失就得重新產生
「產生憑證」：直接產生自簽憑證（不經 CA）。成功時顯示「✓ 憑證已產生並填入「上傳憑證」頁面 — 請確認後安裝」，並自動切換到「上傳憑證」頁籤、把金鑰與證書填入欄位。此時還沒生效，必須再按「上傳安裝」才會實際套用
- 自簽憑證適合內部使用或測試；對外服務建議用 CA 憑證，否則使用者仍會看到警告

失敗時顯示「憑證產生失敗」。

若已向第三方 CA 合法取得憑證（或已用上一個頁籤產生自簽憑證），將內容貼入以下欄位後按「上傳安裝」：

憑證金鑰 (Key)：必填。CA 給您的私鑰內容，或自簽時產生的私鑰
憑證證書 (CRT)：必填。CA 簽發的憑證內容
中繼憑證/串鏈 (Chain)：選填。部分 CA 會另附中繼憑證，未一併安裝時，某些瀏覽器仍會顯示「憑證鏈不完整」的警告——若 CA 有提供，建議一併貼上

安裝成功顯示「✓ 憑證已安裝」，失敗顯示「憑證安裝失敗」。安裝後請重新整理瀏覽器或重新連線，確認 HTTPS 運作正常（網址列應顯示鎖頭且無警告）。

由 letsencrypt.org 頒發的免費憑證，通常為 90 天效期；系統會在憑證到期前 30 天自動重新取得，以自動延長有效期限。

啟用免費憑證：開啟免費憑證功能。出廠為關閉
網域或主機名稱：必填，最長 500 字元。要申請的網域，每行一個或逗號分隔多個（多個即為 SAN）。例：mail.yourcompany.com
申請者Email：必填，需符合 Email 格式。CA 會在憑證即將到期或發生問題時寄信通知，建議填實際有人收的信箱
「儲存設定」：儲存上述設定（啟用 為必填）
「立即取得」：一鍵申請並安裝。此按鈕會驗證網域與 Email 為必填
最後一次執行時間：顯示上次執行的時間與結果；成功時顯示憑證主體與剩餘天數，失敗時顯示失敗原因。尚未執行過時顯示「最後一次執行時間：尚未執行」

⚠️ 申請前的兩個前置條件缺一不可：

DNS 必須先設定好：申請的名稱要能解析到本機 IP。若 DNS 還沒生效就按「立即取得」，驗證會失敗
TCP/80 必須可從外網連到本機：免費憑證的自動驗證需要走 80 埠。若主機在防火牆內部，必須把 TCP/80 導向本機。只有 443 是不夠的

「產生憑證」不等於「安裝憑證」：按下後只是把內容填進欄位，還要再按「上傳安裝」
自簽憑證仍會出現瀏覽器警告：這是瀏覽器對「非公認 CA」的正常反應，不是設定錯誤。要消除警告只能用 CA 簽發的憑證
Common Name 填 IP 或填錯名稱：使用者連線時仍會看到名稱不符的警告
免費憑證不是申請一次就永久有效：它靠 DNS 與 80 埠持續可達來續期。日後若改了 DNS、關掉 80 埠或換了對外 IP，續期就會失敗，憑證到期後加密連線失效
憑證到期不會「自動」變成自簽：到期後瀏覽器會直接擋下連線
備份／還原系統設定時，憑證相關設定可能被覆蓋：還原後請重新確認目前憑證是否仍正確