憑證換鏈監測 gov-ssl

台灣網站把 TLS 憑證鏈換掉，花了幾天？

兩個時鐘並列：CT 時鐘看 2025 年起政府從 HiPKI／GRCA 換到 TWCA 花了幾天（可回溯）； 實測時鐘看今天每一條鏈實際長什麼樣——幾層、根是誰、還在不在信任庫裡。資料只來自憑證本身。

提前 49天
換手空窗中位數：新 CA 憑證 vs 舊 CA 憑證到期日
完成 3437／9138（37.6%）· 提前換好 64.0% · P90 空窗 442 天
23台
今天仍以舊 CA（HiPKI／GRCA）簽發憑證的政府站
佔可達政府站 0.5%（4320 台）· 每日實測
419台
鏈有問題：過期／缺中繼／根不受信任
分母 10173 台政府 host · 過期 78／缺中繼 232／根不受信任 109

換手空窗分佈

分母＝9138 個曾用舊 CA（HiPKI／GRCA）簽發過的政府 host。 每一台各自計算「舊 CA 憑證到期日 → 第一張新 CA 憑證生效日」：負值＝新的先到（提前換好），正值＝中間有一段只有舊憑證的空窗。 不借用任何公告日；空窗 >90 天的 1086 台就是真正會出事的那一群。

3140479251471086提前 >1 年提前 3-12 月提前 <3 月同日空窗 1-90 天空窗 >90 天

同一把尺：政府、教育、民間、網路、中華電信

同一份 Tranco 前 100 萬名排名框；「國產 CA」＝葉憑證由 TWCA 簽發；「CYBER 新鏈」＝served chain 含 2026-10-30 後新增的 CYBER Root 中繼。

0%25%50%75%100%8834政府 .gov.tw (n=4320)6643教育 .edu.tw (n=195)2415民間 .com.tw (n=292)173網路 .net.tw (n=29)00中華電信 (n=3)

綠＝國產 CA 佔比 · 琥珀＝CYBER 新鏈佔比。n 為該 cohort 可達 host 數。

落後名單

依「已過期天數」排序；只列可歸類的失敗（過期／缺中繼／根不受信任），探測本身失敗者另計、不進比例。

hostcohort判定過期到期日鏈層issuer
emax.net.twnetexpired3765 天Jul 11 20:25:00 2016 GMT2C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
f1.com.twcomno_intermediate2788 天Mar 16 04:02:50 2019 GMT1C = --, ST = SomeState, L = SomeCity, O = SomeOrganization, OU = SomeO
fatraceschool.moe.gov.twgovexpired2411 天Mar 26 16:23:32 2020 GMT2C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
ohdsys.tycg.gov.twgovexpired1725 天Feb 11 02:12:17 2022 GMT3C = TW, O = 行政院, CN = 政府伺服器數位憑證管理中心 - G1
dvrtw.com.twcomno_intermediate1593 天Jun 23 07:01:29 2022 GMT1CN = ddns
tsu.edu.tweduno_intermediate1586 天Jun 29 23:59:59 2022 GMT1C = US, O = DigiCert Inc, OU = www.digicert.com, CN = Thawte RSA CA 20
appledaily.com.twcomexpired1407 天Dec 26 01:09:09 2022 GMT3C = US, O = Let's Encrypt, CN = R3
tb.ccd.mohw.gov.twgovexpired1334 天Mar 9 06:45:27 2023 GMT4C = TW, O = \E8\A1\8C\E6\94\BF\E9\99\A2, CN = \E6\94\BF\E5\BA\9C\E4\BC
i-part.com.twcomexpired1328 天Mar 14 15:59:59 2023 GMT3C = TW, O = TAIWAN-CA, OU = Secure SSL Sub-CA, CN = TWCA Secure SSL Ce
equipment.ntpc.gov.twgovexpired1221 天Jun 30 02:34:10 2023 GMT3C = TW, O = \E8\A1\8C\E6\94\BF\E9\99\A2, CN = \E6\94\BF\E5\BA\9C\E4\BC
web2.chyi.mohw.gov.twgovexpired1195 天Jul 26 01:21:42 2023 GMT3C = TW, O = \E8\A1\8C\E6\94\BF\E9\99\A2, CN = \E6\94\BF\E5\BA\9C\E4\BC
taoyuantechpark.tycg.gov.twgovexpired1000 天Feb 6 07:11:27 2024 GMT4C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = ht
cmer.chhw.mohw.gov.twgovexpired996 天Feb 10 08:43:43 2024 GMT3C = TW, O = \E8\A1\8C\E6\94\BF\E9\99\A2, CN = \E6\94\BF\E5\BA\9C\E4\BC
twu.edu.tweduexpired628 天Feb 11 15:59:59 2025 GMT2C = TW, O = TAIWAN-CA, CN = TWCA Secure SSL Certification Authority
cca.gov.twgovexpired559 天Apr 22 03:56:39 2025 GMT3C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = ht
filereceiver.cwa.gov.twgovexpired514 天Jun 6 03:06:32 2025 GMT4C = TW, O = \E8\A1\8C\E6\94\BF\E9\99\A2, CN = \E6\94\BF\E5\BA\9C\E4\BC
nap.net.twnetno_intermediate432 天Aug 27 06:32:40 2025 GMT1C = CH, L = Schaffhausen, O = Plesk, CN = Plesk, emailAddress = info@p
atmovies.com.twcomexpired314 天Dec 23 02:09:16 2025 GMT2C = US, O = Let's Encrypt, CN = R12
ecmv.mohw.gov.twgovno_intermediate306 天Dec 30 15:59:59 2025 GMT1C = TW, O = TAIWAN-CA, CN = TWCA Secure SSL Certification Authority
api-newtaipay.ntpc.gov.twgovexpired293 天Jan 13 01:42:24 2026 GMT4C = TW, O = \E8\A1\8C\E6\94\BF\E9\99\A2, CN = \E6\94\BF\E5\BA\9C\E4\BC

完整名單見 /data/hosts.csv。

中華電信自己怎麼解的

不看聲明，只看它今天送出的鏈：自有 CA 掛在外商根底下，於是「自有 CA 不被信任」這件事被一層交叉簽發繞過。

  1. 葉憑證hinet.net\E4\B8\AD\E8\8F\AF\E9\9B\BB\E4\BF\A1\E8\82\A1\E4\BB\BD\E6\9C\89\E9\99\90\E5\85\AC\E5\8F\B8\E8\B3\87\E8\A8\8A\E6\8A\80\E8\A1\93\E5\88\86\E5\85\AC\E5\8F\B8 · Jul 1 07:04:22 2026 GMT → Jan 16 07:04:22 2027 GMT
  2. 根憑證Chunghwa Telecom GCC R46 OV TLS CA 2025"Chunghwa Telecom Co. · Jul 16 03:07:40 2025 GMT → Jul 16 00:00:00 2030 GMT

來源：hinet.net 的實際 handshake（2 層）

到期壓力

全部可達 host 的葉憑證到期年份分佈——最近一年到期的量就是接下來會被觀測到的換發潮。

11142016201920202022