憑證透明度紀錄監控是定期查看網域相關的公開憑證紀錄，辨識不熟悉的簽發資訊，再由網域及憑證負責人查證。公開紀錄不是入侵證明，也不能取代憑證續約、網站監控或主機安全維護。
憑證透明度紀錄監控是什麼？
憑證透明度（Certificate Transparency，簡稱 CT）是讓公開信任的憑證簽發資訊可供查核的架構。網域管理者可以使用適當工具關注相關紀錄，發現需要進一步確認的憑證。
依 MDN 憑證透明度說明，公開紀錄有助於監督憑證簽發。是否屬於異常，仍需依網域、憑證機構及企業授權紀錄查證。
例如企業可能因主機、內容傳遞網路或第三方服務而使用不同憑證。看見陌生簽發紀錄時，先查明服務來源，不應立即推斷網站遭入侵。
開始監控前應準備哪些資料？
管理者應先整理網域、子網域、憑證簽發服務、相關主機及負責窗口，並確認哪些服務由外部廠商管理。清單應定期更新，避免合法變更被誤認為未知事項。
憑證可能涵蓋多個名稱，且不同服務可能由不同人員申請。資料清單應記錄經確認的用途、負責人與查核日期，而不是只保存單一憑證名稱。
監控工具的選擇需評估資料來源、通知方式與組織政策。查詢時不需要提供私鑰、密碼或其他憑證機密。
公開紀錄出現新憑證時如何判斷？
新紀錄出現時，應先核對網域名稱、簽發機構、時間及企業內部是否有對應變更。相關服務若由供應商管理，應請指定窗口協助確認。
例如網站切換主機或啟用新的代理服務，可能產生新的合法憑證紀錄。應核對變更紀錄與授權，而不是只因簽發機構名稱不同就下結論。
若仍無法確認來源，應依既定安全通報流程處理並聯繫相關服務商或憑證機構。處理方式取決於實際證據和組織權限。
監控通知與交接要包含什麼？
通知應送到有人管理的窗口，並設定無人回覆時的代辦方式。紀錄不需要包含私鑰，但應包含足以查核的公開資訊及發現時間。
- 確認監控範圍及網域負責人。
- 核對簽發時間、名稱與機構。
- 對照已核准的主機或服務變更。
- 指定調查與聯絡窗口。
- 記錄判斷依據及處理結果。
- 定期測試通知是否送達。
如果企業使用多家服務商，應在交接文件中記錄各自管理範圍。帳號憑證及私密金鑰應透過核准的安全方式管理。
憑證透明度能取代哪些網站檢查嗎？
憑證透明度監控主要協助發現需要查核的公開簽發紀錄，不能取代網站憑證到期檢查、連線驗收、主機更新或帳號權限管理。各項檢查應依網站環境安排。
例如一張合法憑證即使出現在公開紀錄，也不代表網站所有端點都已正確部署。網站更換憑證後仍需測試實際連線及相關功能。
反過來說，收到新憑證通知也不一定代表有安全事件。應先比對授權資料，再由負責人決定是否進一步調查。
發現無法辨識的紀錄時怎麼處理？
應保存公開紀錄的識別資訊、發現時間與查證結果，並通知具有適當權限的網域管理者。若確認非預期簽發，應依憑證機構與組織的安全流程處理。
管理者可同時確認網域控制、相關服務帳號及近期變更紀錄，但不應在尚未判斷影響前自行修改正式環境。任何處理都應記錄責任人及結果。
高雄、台中、台南企業可將網域與憑證責任納入網頁設計後續維護。隻豬人網頁設計工作室提供網站建置及維護支援；可參考產業網站作品與專業服務作品。
如何避免合法通知被忽略？
團隊可為每個主要網域指定主要與代理窗口，並將主機搬遷、代理服務變更及憑證更新列入交接紀錄。收到通知時先比對變更紀錄，再請相關窗口確認。
例如某個活動網站由外部團隊協助部署時，企業應確認網域由誰管理、憑證由哪個服務簽發，以及活動結束後的維護責任。沒有確認來源的紀錄應持續追蹤，不應直接標為已處理。
通知收件人異動後，應依組織的測試方式確認訊息能送達。通知頻率與監控工具能力需依實際服務設定，不能假設所有服務都即時或完整。
多個子網域如何安排查核？
企業可先列出正式網站、活動頁及由第三方管理的子網域，再確認各自的服務用途和負責人。公開紀錄可能包含多個名稱，應逐項對照已知服務。
若某個子網域已停用，也應由網域管理者確認解析和服務狀態。公開紀錄可能反映過往簽發，不能單憑紀錄存在就認定目前仍在使用。
當網域移交、供應商更換或新服務上線時，應更新清單和通知窗口。若紀錄中的名稱不熟悉，應保留待查狀態並安排負責人追蹤。
如何讓處理紀錄可供日後回查？
查核紀錄可包含發現日期、公開紀錄的必要識別資訊、比對結果、負責窗口及結案時間。若涉及供應商確認，應記錄確認管道與實際答覆。
紀錄不應包含私鑰或不必要的憑證管理密碼。企業應依資料政策控制存取，並由接手人員定期確認聯絡方式仍然有效。
若結果仍待服務商回覆，應記錄下次追蹤時間。完成查證後，再依證據更新狀態，避免未經確認就標示為安全或已解決。
憑證透明度監控常見問題
看到新憑證就代表網站被駭嗎？
不一定，應先確認是否來自已授權的服務或變更。
查詢時需要提供憑證私鑰嗎？
不需要，私鑰應依安全政策保護。
監控通知能取代續約檢查嗎？
不能，仍需安排憑證到期與實際連線驗收。
誰應負責查核未知紀錄？
應由網域管理者與相關服務窗口依權限確認。
資料整理於 2026 年 11 月；實際處理依組織政策與服務商文件為準。
