不小心點到可疑簡訊或電子郵件中的連結，卻跳出一個看起來和銀行、購物平台一模一樣的網頁，這時候該怎麼辦？ 許多人認為，只要網址開頭有 https://，或網址列旁邊出現小鎖頭，就代表網站安全。但事實上，現在的詐騙網站也能申請 HTTPS 加密憑證，讓假網站看起來和官方網站一樣具有安全標示。

那麼，有沒有辦法進一步確認網站的真實身分？ 答案是使用瀏覽器內建的「HTTPS 憑證檢視器」。透過檢查網站的數位憑證，可以了解憑證是由哪個機構核發、發給哪個網域，以及是否包含經過驗證的企業名稱等資訊。

本文將以 Google Chrome 和 Microsoft Edge 為例，帶你認識 HTTPS 憑證的用途，並透過 3 個步驟學會檢查網站身分，降低誤入釣魚網站的風險。

一、HTTPS 安全嗎？先破解小鎖頭的安全迷思

在學習檢查網站憑證之前，首先要了解一個重要觀念：

HTTPS 代表連線受到加密保護，不代表網站一定是合法或值得信任的。

1. HTTPS 和小鎖頭代表什麼？

HTTPS 是一種安全的網頁連線方式，透過 TLS（傳輸層安全協定）加密使用者與網站之間的資料。例如，當你登入網路銀行、輸入帳號密碼或進行線上購物時，HTTPS 可以降低資料在傳輸過程中遭到竊聽或竄改的風險。簡單來說：

• HTTP：資料以未加密的方式傳輸，容易遭到第三方竊聽。
• HTTPS：資料經過加密傳輸，能提高連線的安全性。

不過，HTTPS 只能保護你與網站之間的連線，無法保證網站背後的經營者就是你想找的那家公司。

2. 為什麼詐騙網站也有 HTTPS？

因為申請基本的 SSL/TLS 憑證並不困難。目前有許多憑證機構提供免費的 DV（網域驗證）憑證，只要申請者能證明自己具有該網域的控制權，就能取得憑證。這代表詐騙集團也可以替自己架設的釣魚網站申請 HTTPS 憑證。

因此，即使網站網址前面有 https://，也可能是一個專門用來竊取帳號密碼的假網站。真正需要確認的，不只是網站有沒有加密，而是網站背後的身分是否正確。

二、什麼是 HTTPS 憑證？認識網站的數位身分證

HTTPS 憑證，也就是常聽到的 SSL/TLS 數位憑證，可以想像成網站的「數位身分證」。當瀏覽器連線到網站時，會檢查網站提供的憑證，確認憑證是否由受信任的憑證機構（CA）簽發，以及憑證是否適用於目前連線的網域。不同類型的憑證，驗證網站經營者身分的程度也不同。

1. 三種常見的 SSL/TLS 憑證

目前常見的憑證主要分為 DV、OV 和 EV 三種類型：

憑證類型	中文名稱	驗證內容
DV	網域驗證	確認申請者具有網域控制權
OV	組織驗證	除網域外，還會驗證申請組織的身分
EV	延伸驗證	採用更嚴格的組織身分與營運資訊審查

三種憑證都能提供 HTTPS 加密連線，主要差異在於憑證核發前，憑證機構對申請者身分進行了多少程度的查核。其中，DV 憑證通常不會包含經過驗證的企業組織名稱；OV 和 EV 憑證則會包含經過驗證的組織資訊。

2. 為什麼要檢查憑證中的「組織名稱」？

如果網站使用 OV 或 EV 憑證，通常可以在憑證詳細資訊中找到經過驗證的企業名稱。例如：

• 正規企業網站：憑證可能顯示企業的英文法定名稱。
• 一般個人網站：憑證可能只有網域資訊，沒有組織名稱。
• 可疑網站：憑證可能只包含網域資訊，或顯示與宣稱品牌不相符的組織名稱。

透過這些資訊，可以增加辨識網站真實身分的線索。但要特別注意：沒有組織名稱不代表網站一定是詐騙；有組織名稱也不代表網站一定值得信任。真正的判斷還是必須搭配網址與官方資訊交叉比對。

三、實戰教學：3 步驟使用 HTTPS 憑證檢視器

當你不小心點到不明連結，或準備在陌生網站輸入帳號密碼、信用卡資訊之前，可以先使用瀏覽器內建的憑證檢視器進行檢查。以下以電腦版 Google Chrome 和 Microsoft Edge 為例，示範操作方式。

步驟一：點擊網址列左側的網站資訊圖示

首先，開啟想要檢查的網站。在瀏覽器網址列最左側，找到網站資訊圖示。新版 Chrome 和 Edge 通常會顯示為調整設定的圖示，不一定是過去常見的小鎖頭。

點擊圖示後，會出現網站連線資訊選單。

步驟二：開啟 HTTPS 憑證檢視器

在跳出的選單中，找到「連線是安全的」或類似的安全連線資訊。接著點選「憑證有效」（Certificate is valid），即可開啟憑證檢視器。

這個視窗會顯示網站憑證的詳細資訊，包括憑證核發機構、有效期限及網站身分相關資料。

提醒：不同瀏覽器版本的選單名稱和操作位置可能略有差異。

步驟三：檢查網站網域與組織名稱

進入憑證檢視器後，建議優先檢查以下三項資訊：

① 網域名稱（Domain Name）

確認憑證涵蓋的網域，是否與目前網址列中的網域一致。

例如，假設你要瀏覽的是某銀行的官方網站，就應該確認憑證涵蓋的網域確實是該銀行的官方網域，而不是名稱相似的其他網站。

② 組織名稱（Organization / O）

如果網站使用 OV 或 EV 憑證，可以查看憑證主體（Subject）中的「組織（O）」欄位。

例如，假設憑證中的組織名稱顯示為：

Cathay United Bank Co., Ltd.

這表示憑證機構已針對該組織進行身分驗證。

但還需要進一步確認，這個組織是否就是你原本想造訪的官方機構，以及憑證涵蓋的網域是否為該機構的正式網域。

如果組織名稱與網站宣稱的品牌完全不同，就應提高警覺。

③ 憑證核發機構與有效期限

確認憑證是否由瀏覽器信任的憑證機構核發，以及憑證是否仍在有效期限內。如果出現憑證過期、憑證不受信任或網域名稱不符等警告，應立即停止操作，不要繼續輸入個人資料。

網站憑證檢查結果怎麼判斷？

可以透過以下方式初步判斷：

檢查項目	正常情況	需要提高警覺的情況
網域名稱	與官方公布的網域一致	拼字相似但不相同
組織名稱	與官方企業名稱相符（適用於 OV／EV）	出現不相關或無法確認的組織
憑證有效期限	尚未過期	已過期或尚未生效
憑證信任狀態	瀏覽器顯示有效	出現不受信任或名稱不符警告

如果發現任何異常，建議直接關閉網頁，不要輸入帳號、密碼或信用卡資訊。

四、除了檢查 HTTPS 憑證，還要注意這 3 件事

HTTPS 憑證檢查可以幫助我們了解網站身分，但不能完全阻止所有釣魚詐騙。日常上網時，還應養成以下三個習慣。

1. 重要網站從官方管道進入

網路銀行、證券交易、政府服務及常用購物平台，建議第一次確認網址無誤後，就將官方網站加入瀏覽器的「我的最愛」。日後需要登入時，直接從書籤進入，不要隨意點擊簡訊、電子郵件或社群平台中的不明連結。

2. 仔細檢查網址是否有異常

詐騙網站經常利用相似的英文字母、數字或網址組合，製作看起來很像官方網站的假網址。例如：

• cathaybk.com.tw：假設的官方網域範例。
• cathaybk-tw.com：名稱相似，但並不是同一個網域。

即使兩個網址看起來很接近，也可能是完全不同的網站。尤其要注意網址中是否多了連字號、英文字母或其他不熟悉的字元。

3. 不要被緊急通知的話術騙了

詐騙集團經常利用使用者擔心帳戶出問題的心理，透過簡訊或電子郵件製造緊迫感。常見話術包括：

• 「您的銀行帳戶即將被停用，請立即驗證。」
• 「您的會員點數即將到期，請點擊連結領取。」
• 「包裹配送異常，請重新填寫收件資料。」
• 「信用卡交易異常，請立即登入確認。」

遇到這類訊息，不要急著點擊連結。應自行開啟官方 App 或透過官方公布的電話聯繫客服確認。

五、HTTPS 憑證檢查常見問題 FAQ

Q1：網站有 HTTPS 和小鎖頭，就代表不會被詐騙嗎？

不代表。HTTPS 主要保障使用者與網站之間的資料傳輸安全，並不代表網站經營者一定是合法企業。詐騙網站也可能取得有效的 HTTPS 憑證，因此仍須檢查網址與網站身分。

Q2：為什麼有些正常網站的憑證沒有顯示組織名稱？

這通常是因為網站使用 DV（網域驗證）憑證。DV 憑證只需要確認申請者具有該網域的控制權，不會進一步驗證企業的法人身分，因此憑證中通常不會包含經過驗證的組織名稱。

個人部落格、小型企業網站及許多一般網站，都可能使用這類憑證。

因此，沒有組織名稱不代表網站有問題，還是需要搭配官方網址進行確認。

Q3：憑證中有顯示知名企業名稱，就一定是官方網站嗎？

也不一定。OV 和 EV 憑證確實會經過組織身分驗證，但這只能證明憑證所屬的組織身分經過查核，不能保證該組織就是你想找的品牌。例如，詐騙網站如果使用另一家合法公司的網域與憑證，仍可能取得有效的組織憑證。

因此，必須同時核對憑證中的組織名稱、網域名稱，以及官方公布的網址。

Q4：使用手機也能查看 HTTPS 憑證嗎？

可以，但不同手機作業系統與瀏覽器的操作方式有所不同。

手機瀏覽器可能只提供基本的連線安全資訊，不一定能像電腦版一樣完整呈現憑證詳細欄位。如果需要確認憑證中的組織名稱、核發機構及網域資訊，建議使用電腦版 Chrome 或 Edge 進行檢查。

Q5：憑證有效期限過期，代表網站一定是詐騙嗎？

不一定。憑證過期可能是網站管理者忘記更新憑證，並不一定代表網站遭到詐騙或攻擊。但憑證過期會造成連線安全驗證異常，建議不要忽略瀏覽器的安全警告，更不要在警告畫面中選擇繼續前往並輸入個人資料。

別只看小鎖頭，學會確認網站真正的身分

網路詐騙手法不斷翻新，現在的釣魚網站不僅能仿造銀行、購物平台的介面，甚至也能取得 HTTPS 憑證，讓使用者誤以為網站安全無虞。

因此，看到 HTTPS 和小鎖頭時，不應直接認定網站值得信任。

透過瀏覽器內建的 HTTPS 憑證檢視器，可以進一步了解網站的網域、憑證核發機構及經過驗證的組織資訊，作為辨識假網站的重要輔助工具。

不過，最安全的做法仍是從官方 App、書籤或自行確認的官方網址進入網站。當收到要求立即登入、驗證帳戶或提供信用卡資料的陌生連結時，先停下來確認，才能有效降低個資外洩與財產損失的風險。