學校網站SSL憑證怎麼設定？個資與報名系統安全重點

學校網站不只提供校務公告，還可能處理學生、家長、教師及應試者的個人資料，例如：

• 姓名
• 身分證字號
• 出生日期
• 電話與Email
• 學歷與工作經歷
• 學生就讀資料
• 證件及資格文件
• 報名與繳費資料
• 准考證及成績
• 後台管理帳號

因此，學校網站、招生系統與教師甄試報名系統，都應使用SSL／TLS憑證建立HTTPS加密連線。

HTTPS可以保護瀏覽器與伺服器之間的資料傳輸，但SSL並不能單獨防止程式漏洞、帳號被盜或資料庫外洩。學校仍需搭配權限管理、多因素驗證、檔案保護、備份與資安監控。OWASP也指出，TLS可保護資料傳輸，但不能取代應用程式及工作階段安全控制。

一、學校網站為什麼需要SSL憑證？

SSL憑證主要有三項功能：

1. 加密資料傳輸
2. 協助驗證網站網域
3. 降低資料傳輸途中被竊聽或竄改的風險

網站安裝憑證後，網址會由：

http://school.example.edu.tw

改為：https://school.example.edu.tw

目前實際使用的是TLS安全通訊協定，只是一般網站管理及主機服務仍常稱為SSL憑證。TLS正確設定後，可為網站提供傳輸加密、資料完整性及伺服器身分驗證。

二、哪些學校系統一定要使用HTTPS？

原則上，學校所有公開及內部網站都應優先使用HTTPS，尤其是：

• 學校官方網站
• 新生招生網站
• 教師甄試報名系統
• 校務行政系統
• 成績查詢系統
• 學生及家長登入平台
• 線上繳費系統
•  活動報名系統 
• 問卷及表單系統
• 教職員後台
• API及資料交換服務
• 檔案上傳與審查系統

登入頁面及登入後的所有頁面，都應持續使用TLS保護；若只有登入頁使用HTTPS，後續頁面回到HTTP，仍可能暴露工作階段識別資料。

三、學校SSL設定快速對照表

檢查項目	正確做法	常見風險
SSL憑證	使用瀏覽器信任的有效憑證	過期或自行簽發造成警告
網域名稱	憑證涵蓋所有正式網域	www或子網域不符
HTTP連線	永久轉向HTTPS	HTTP與HTTPS並存
登入及後台	全程使用HTTPS	登入後切回HTTP
Cookie	設定Secure及HttpOnly	工作階段可能被竊取
混合內容	所有資源使用HTTPS	圖片或程式遭阻擋
檔案上傳	限制格式、大小及儲存位置	上傳惡意程式
管理帳號	強密碼及多因素驗證	帳號遭暴力破解
憑證續期	自動續期並監控	到期造成系統中斷
備份	定期備份並測試還原	發生事故後無法復原

四、學校可以使用免費SSL嗎？

可以。

一般學校官網、招生網站、活動頁及報名系統，可以使用由瀏覽器信任的憑證機構所簽發的免費DV憑證。

Let’s Encrypt是提供免費TLS憑證的憑證機構，申請與續期通常透過ACME用戶端自動完成。申請過程會驗證網站或系統是否具有該網域的控制權。

免費SSL適合

• 一般學校官網
• 招生活動頁
• 教師甄試網站
• 報名及查詢系統
• 學校部落格
• 測試或短期活動網站

可能考慮付費憑證的情況

• 採購規格指定憑證品牌
• 需要OV組織驗證
• 需要企業技術支援
• 內控或合規要求
• 多網域及大量憑證統一管理
• 需要特定保固或服務承諾

免費與付費憑證都可以建立HTTPS連線，差異通常在驗證等級、管理服務、支援與採購要求，不應只以價格判斷安全性。

五、申請SSL前需要準備什麼？

1. 確認所有正式網域

例如：

• www.school.edu.tw
• apply.school.edu.tw
• teacher.school.edu.tw
• admin.school.edu.tw
• api.school.edu.tw

如果不同系統使用不同子網域，要確認憑證是否全部涵蓋。

2. 確認DNS解析

網域必須正確指向：

• 學校主機
• 雲端主機
• 負載平衡器
• CDN
• 代管廠商伺服器

如果DNS設定錯誤，網域驗證或憑證自動續期可能失敗。

3. 確認主機環境

常見環境包括：

• Windows Server及IIS
• Linux及Apache
• Linux及Nginx
• cPanel
• Plesk
• WordPress主機
• Google Cloud
• AWS
• Azure
• Cloudflare

不同環境的憑證安裝位置、重新導向及續期設定不同。

4. 確認系統是否能暫停或備份

正式修改前應先備份：

• 網站程式
• 主機設定
• 憑證與私密金鑰
• 資料庫
• DNS設定
• Web Server設定檔

六、學校SSL憑證申請流程

一般設定流程如下：

1. 確認正式網域及子網域。
2. 選擇免費或付費憑證。
3. 選擇單網域、多網域或萬用字元憑證。
4. 產生私密金鑰及CSR。
5. 完成DNS或HTTP網域驗證。
6. 取得網站憑證及中繼憑證。
7. 將憑證安裝至網頁伺服器。
8. 啟用443連接埠。
9. 確認HTTPS可以正常開啟。
10. 將HTTP永久轉向HTTPS。
11. 修正混合內容。
12. 檢查登入、報名、上傳及查詢功能。
13. 設定自動續期。
14. 建立到期及失敗通知。

若主機控制台已整合Let’s Encrypt，部分申請、安裝及續期步驟可以自動完成。

七、HTTP應如何轉向HTTPS？

安裝憑證後，不能只確認HTTPS可以開啟，還要將所有HTTP網址永久轉向對應的HTTPS網址。

例如：

http://apply.school.edu.tw/register

應轉向：https://apply.school.edu.tw/register

不應將所有舊網址都轉到首頁。

Google建議網站永久搬遷時使用伺服器端永久轉址，讓使用者及搜尋引擎知道頁面已有新的固定位置。

轉址設定後應檢查

• HTTP首頁是否轉向HTTPS首頁
• 每一個內頁是否一對一轉向
• www與非www是否統一
• 是否出現多層轉址
• 是否出現無限循環
• 表單送出網址是否為HTTPS
• 下載及上傳網址是否為HTTPS

八、學校網站要不要設定HSTS？

HSTS可以通知瀏覽器，未來只能透過HTTPS開啟該網站。瀏覽器收到HSTS設定後，會自動將HTTP請求升級為HTTPS，並更嚴格處理憑證錯誤。

但啟用前必須先確認：

• 所有正式頁面都支援HTTPS
• 所有必要子網域都有有效憑證
• 自動續期穩定
• 沒有舊系統仍依賴HTTP
• 緊急維護流程完整

若設定includeSubDomains，所有子網域都會受到影響。學校有大量舊子系統時，不宜未經盤點就直接套用。

九、什麼是混合內容？

混合內容是指頁面使用HTTPS，但部分圖片、CSS、JavaScript、字型、影片或iframe仍透過HTTP載入。

例如：

<img src="http://school.edu.tw/images/banner.jpg">

可能造成：

• 瀏覽器顯示安全警告
• 圖片無法顯示
• 選單或功能失效
• JavaScript被封鎖
• 報名表單無法操作
• 使用者誤以為網站不安全

HTTPS頁面載入HTTP資源會削弱HTTPS的保護，瀏覽器可能升級或直接封鎖不安全資源。

改善方法

檢查並修改：

• 網站文章中的圖片網址
• 佈景主題
• CSS及JavaScript
• iframe
• 外部字型
• 下載檔案
• CDN
• 報名表單
• 第三方統計程式

可以使用CSP的upgrade-insecure-requests協助處理大量舊HTTP資源，但它不能取代完整的網址檢查與修正。

十、登入Cookie應如何保護？

學校後台、校務系統及報名系統通常使用Cookie維持登入狀態。

重要設定包括：

Secure

要求Cookie只能透過HTTPS傳送。

HttpOnly

限制JavaScript直接讀取Cookie，降低部分程式碼竊取工作階段資料的風險。

SameSite

限制跨網站請求攜帶Cookie的方式，可協助降低部分跨站請求風險。

MDN建議工作階段Cookie設定Secure，並為不需要JavaScript讀取的Cookie設定HttpOnly。

SSL設定完成後，仍應檢查後台登入Cookie是否正確套用這些屬性。

十一、報名系統個資保護重點

SSL只保護資料傳輸過程，個資進入伺服器後，還要從儲存、讀取、下載與刪除等階段持續保護。

1. 只收集必要資料

不要因為表單方便，就收集與招生或甄試無關的資料。

例如一般活動報名若不需要身分證字號，就不應要求填寫。

2. 敏感資料適度遮蔽

後台列表不宜直接完整顯示：

• 身分證字號
• 手機號碼
• Email
• 地址
• 銀行帳號

可依工作需要顯示部分字元，並限制完整資料的存取權限。

3. 權限分級

可依角色區分：

• 系統管理員
• 招生承辦人
• 審查委員
• 會計人員
• 一般查詢人員
• 技術維護人員

不同角色只應看到工作所需資料。

4. 記錄重要操作

應記錄：

• 登入時間
• 登入帳號
• 資料查詢
• 資料修改
• 檔案下載
• 成績異動
• 權限變更
• 大量匯出

操作紀錄應避免讓一般管理者任意刪除。

5. 設定資料保存期限

招生、甄試及活動結束後，應依學校規範及適用法規處理資料保存、封存或刪除，不應無期限保存所有報名資料。

十二、報名文件上傳有哪些風險？

教師甄試、招生及獎學金系統常要求上傳：

• 身分證件
• 畢業證書
• 成績單
• 教師證
• 證照
• 照片
• 推薦文件

檔案上傳功能是常見的資安風險來源。OWASP建議採取多層防護，不能只依賴副檔名檢查。

建議設定

• 僅允許必要格式
• 限制檔案大小
• 驗證實際檔案類型
• 重新命名上傳檔案
• 不使用原始檔名直接存放
• 儲存在網站公開目錄之外
• 限制檔案執行權限
• 進行惡意程式掃描
• 防止路徑穿越
• 限制下載權限
• 防止未登入直接下載
• 加入CSRF保護

不建議的做法

• 只檢查.pdf副檔名
• 將檔案放在可公開猜測的網址
• 用身分證字號當檔名
• 讓伺服器直接執行上傳內容
• 所有人共用相同下載連結

十三、後台帳號如何保護？

1. 禁止多人共用帳號

每位承辦人及管理員應有獨立帳號，以便追蹤操作紀錄。

2. 使用強密碼

避免使用：

• 學校電話
• 統一編號
• 生日
• admin123
• school123
• 與帳號相同的密碼

3. 啟用多因素驗證

尤其是：

• 最高管理員
• 主機管理帳號
• DNS管理帳號
• 雲端平台帳號
• 網站後台
• 憑證管理帳號

4. 限制登入嘗試

可設定：

• 錯誤次數限制
• 暫時鎖定
• 異常IP警示
• 國外登入限制
• 管理後台IP白名單

5. 離職或調職立即停權

人員離開原職務後，應立即停用帳號及回收權限。

十四、SSL私密金鑰怎麼管理？

私密金鑰是SSL憑證的重要核心，不可公開。

應注意

• 不要透過一般通訊軟體任意傳送
• 不要放在公開程式碼庫
• 不要存放在網站可下載目錄
• 限制伺服器檔案權限
• 備份時應加密保護
• 懷疑外洩時應重新簽發憑證
• 交接時建立正式紀錄

如果將同一張萬用字元憑證及私密金鑰複製到很多伺服器，任何一台主機遭入侵都可能增加整體風險。

十五、SSL憑證自動續期怎麼設定？

免費憑證通常會使用ACME自動申請及更新。Let’s Encrypt要求透過ACME用戶端與其服務互動，因此伺服器需要正確設定續期程式及驗證方式。

應確認

• 續期排程有定期執行
• DNS或HTTP驗證仍可使用
• 續期後伺服器會重新載入憑證
• 失敗時會通知管理人員
• 備援人員知道如何手動處理
• 不只監控到期日，也監控續期結果

常見失敗原因

• DNS已更改
• 網域指向錯誤
• 防火牆阻擋驗證
• ACME帳號或API權限失效
• 主機空間不足
• 檔案權限錯誤
• 網站目錄變更
• 續期成功但Web Server未重新載入

十六、網站搬家後SSL要重新設定嗎？

通常要重新檢查。

搬遷到新主機後，應確認：

• 憑證是否已安裝
• 私密金鑰是否正確
• 中繼憑證是否完整
• DNS是否指向新主機
• HTTPS是否正常
• HTTP轉HTTPS是否正常
• 自動續期是否改到新主機
• CDN及負載平衡器是否更新
• API及第三方回傳網址是否正確

Google也建議主機搬遷時，先準備新環境、完整測試，再逐步切換與監控。

十七、學校網站HTTPS的SEO注意事項

若原本網站是HTTP，轉成HTTPS時，應同步處理：

• HTTP一對一永久轉址HTTPS
• Canonical改成HTTPS
• Sitemap改成HTTPS
• 內部連結改成HTTPS
• 圖片及下載網址改成HTTPS
• Google Search Console監控
• Google Analytics及廣告網址更新

Google將永久轉址、Canonical及Sitemap視為協助辨識正式網址的重要訊號。

Search Console可用來查看Google如何檢索及索引學校網站，並監控HTTPS上線後的搜尋表現。

十八、除了SSL還應設定哪些安全標頭？

SSL完成後，可以再評估：

Content-Security-Policy

限制瀏覽器允許載入的程式、圖片、字型及其他資源來源，可降低部分惡意程式注入造成的影響。

Strict-Transport-Security

強制瀏覽器只使用HTTPS。

X-Content-Type-Options

設定為nosniff，要求瀏覽器遵守伺服器宣告的內容類型，避免部分MIME類型猜測行為。

安全標頭不能直接複製通用設定後就上線，仍需先在測試環境驗證，避免封鎖學校既有系統、外部影音或表單功能。

十九、學校SSL設定完成後檢查清單

憑證

• 憑證未過期
• 網域名稱相符
• 中繼憑證完整
• 所有子網域均受保護
• 自動續期正常

HTTPS

• HTTP自動轉HTTPS
• 轉址沒有循環
• 所有頁面回傳正常狀態
• 沒有混合內容
• 表單使用HTTPS送出

報名系統

• 登入全程使用HTTPS
• Cookie設定Secure及HttpOnly
• 個資欄位適度遮蔽
• 權限依角色區分
• 檔案下載需要驗證
• 上傳檔案不能執行
• 有操作及異常紀錄

後台

• 不共用管理帳號
• 啟用多因素驗證
• 限制登入失敗次數
• 定期檢查閒置帳號
• 人員離職立即停權
• 重要匯出有紀錄

維運

• 網站及資料庫定期備份
• 備份檔加密保存
• 定期測試資料還原
• 系統、套件及外掛持續更新
• 憑證到期有通知
• 異常流量與錯誤有監控

二十、常見問題FAQ

Q1：學校官網只有公告，也需要SSL嗎？

需要。HTTPS不只保護表單，也能保護網站內容在傳輸途中不被任意修改，並支援瀏覽器的安全環境功能。

Q2：免費SSL可以用在教師甄試系統嗎？

可以，只要憑證由瀏覽器信任的憑證機構簽發、網域驗證正確，並妥善設定自動續期。系統安全仍需搭配個資、權限及檔案保護。

Q3：有SSL就符合個資保護要求嗎？

不代表。SSL只保護資料傳輸，資料儲存、權限、下載、備份及刪除仍需另外管理。

Q4：SSL憑證過期會怎樣？

瀏覽器可能顯示嚴重警告，報名、登入、API及第三方串接也可能中斷。

Q5：為什麼安裝憑證後仍顯示不安全？

常見原因包括混合內容、憑證網域不符、憑證鏈不完整、憑證過期或頁面仍使用HTTP資源。

Q6：學校所有子系統可以共用一張憑證嗎？

可以使用多網域或萬用字元憑證，但要評估私密金鑰分散到多台伺服器的管理風險。

Q7：內部校務系統也要使用HTTPS嗎？

建議使用。內部網路並不代表一定安全，登入、學生及校務資料仍應受到加密保護。

Q8：HSTS是否一定要設定？

建議在所有HTTPS服務穩定、子網域完成盤點及憑證續期正常後再啟用，不宜直接套用到仍有HTTP舊系統的網域。

Q9：報名文件可以直接放在網站資料夾嗎？

不建議放在可公開存取或容易猜測的網址。應儲存在受權限控制的位置，下載時再次確認使用者資格。

Q10：網站委外後，憑證及主機帳號應由誰持有？

建議由學校保有網域、DNS、主機、憑證、雲端平台及最高管理權限，再授權廠商執行維護。

結語

學校網站設定SSL憑證，不只是把網址改成HTTPS。

完整工作應包括：

1. 盤點官網、招生、甄試及校務子網域。
2. 選擇適合的免費或付費憑證。
3. 安裝完整憑證鏈。
4. 將HTTP永久轉向HTTPS。
5. 修正混合內容。
6. 保護登入Cookie及工作階段。
7. 限制報名資料及檔案存取。
8. 建立帳號分級與操作紀錄。
9. 啟用憑證自動續期及失敗通知。
10. 定期備份、更新及進行安全檢查。

SSL是學校網站及報名系統的基本安全條件，但不能取代完整的個資保護與資訊安全管理。

學校網站需要安裝SSL或改善報名系統安全嗎？

數位果子科技有限公司可協助學校、教育機構與招生單位規劃：

• SSL憑證申請及安裝
• HTTP轉HTTPS設定
• 憑證自動續期與到期監控
• 學校官網建置及主機搬遷
• 招生與教師甄試報名系統
• 個資欄位、權限及檔案存取規劃
• 後台帳號與操作紀錄設計
• WordPress網站維護與備份
• 技術SEO及網站索引檢查
• Google與社群招生廣告整合

可依學校目前的網域、主機架構、報名流程及個資處理方式，協助評估SSL設定與網站安全改善項目。

 數位果子科技有限公司 
合作專線：0970-357-535
LINE：cherng65