提前 49天
換手空窗中位數：新 CA 憑證 vs 舊 CA 憑證到期日
完成 3437／9138（37.6%）·
提前換好 64.0% · P90 空窗 442 天
台灣網站把 TLS 憑證鏈換掉，花了幾天？
本站只量「有空窗期」的那批 domain：曾用舊 CA（HiPKI／GRCA）簽發、之後才換到新 CA 的政府與教育網站。 CT 時鐘看每一台各自空窗幾天（可回溯到 2008）；實測時鐘看今天每一條鏈長什麼樣——幾層、根是誰、哪一層先到期。 民間 `.com.tw`／`.net.tw` 不經過這條鏈，已移出母體。
45台
仍在服務舊 CA（HiPKI／GRCA）簽發的憑證
其中 35 台（77.8%）憑證已經過期，
最久 1726 天 · 這是換鏈沒換完的那一群
418台
鏈有問題：過期／缺中繼／根不受信任
占分母 10173 台的 4.1% ·
過期 77（0.8%）／
缺中繼 232（2.3%）／
根不受信任 109（1.1%）
換手空窗分佈
分母＝9138 個曾用舊 CA（HiPKI／GRCA）簽發過的政府 host。 每一台各自計算「舊 CA 憑證到期日 → 第一張新 CA 憑證生效日」：負值＝新的先到（提前換好），正值＝中間有一段只有舊憑證的空窗。 不借用任何公告日；空窗 >90 天的 1086 台就是真正會出事的那一群。
有空窗期的 domain（本站主體）
只列「舊 CA 憑證到期之後、才出現第一張新 CA 憑證」的 host：1086 台空窗超過 90 天， 占已完成換發的 3437 台的 31.6%、 占曾用舊 CA 的 9138 台的 11.9%。 這才是貼文講的那件事會咬人的地方——空窗期內，這台主機只有一張已經不被信任的憑證可送。
| host | 空窗天數 | 舊 CA 憑證到期 | 新 CA 憑證生效 | 最後一張舊 CA 簽發 |
|---|---|---|---|---|
| zoo.hccg.gov.tw | 2251 | 2020-07-18 | 2026-09-17 | 2018-10-04 |
| 158.taichung.gov.tw | 2217 | 2020-08-15 | 2026-09-11 | 2017-08-15 |
| jagentsvr.bali.mohw.gov.tw | 2034 | 2020-07-18 | 2026-02-12 | 2018-11-29 |
| portal.bsmi.gov.tw | 1380 | 2021-12-15 | 2025-09-25 | 2020-12-15 |
| etraffic3.hccg.gov.tw | 1194 | 2023-06-09 | 2026-09-15 | 2022-06-09 |
| emcms.ntpc.gov.tw | 1188 | 2022-11-05 | 2026-02-06 | 2021-11-05 |
| parkinginfo.tycg.gov.tw | 994 | 2023-05-05 | 2026-01-23 | 2022-05-05 |
| imcsps.ntpc.gov.tw | 978 | 2023-09-29 | 2026-06-03 | 2022-09-29 |
| land-app.chcg.gov.tw | 978 | 2023-05-19 | 2026-01-21 | 2022-05-19 |
| spam02.ndc.gov.tw | 935 | 2023-12-16 | 2026-07-09 | 2022-12-16 |
| ntpfi2w.ntpc.gov.tw | 920 | 2024-04-07 | 2026-10-14 | 2023-04-07 |
| river.ntpc.gov.tw | 898 | 2024-03-20 | 2026-09-04 | 2023-03-20 |
| www.filmassist.ntpc.gov.tw | 870 | 2024-04-21 | 2026-09-08 | 2023-04-21 |
| rim03.maintenance.ntpc.gov.tw | 868 | 2024-05-29 | 2026-10-14 | 2023-05-29 |
| www.hakka.ntpc.gov.tw | 844 | 2024-05-10 | 2026-09-01 | 2023-05-10 |
| lovebaby.sw.ntpc.gov.tw | 838 | 2024-03-30 | 2026-07-17 | 2023-03-30 |
| ccpms.sw.ntpc.gov.tw | 835 | 2024-03-30 | 2026-07-13 | 2023-03-30 |
| ms.sw.ntpc.gov.tw | 834 | 2024-03-30 | 2026-07-13 | 2023-03-30 |
| nanny.sw.ntpc.gov.tw | 834 | 2024-03-30 | 2026-07-13 | 2023-03-30 |
| act-adopt.ahiqo.ntpc.gov.tw | 826 | 2024-06-27 | 2026-10-01 | 2024-05-29 |
完整名單：/data/gap_hosts.csv（1086 列）。 紅底＝這一台就是「有空窗期」的那一群。 ⚠️ 空窗天數只由憑證日期算出，分不出「這台主機停用了」與「活著但沒換憑證」； 要看後者請對照上方「期限倒數」與「落後名單」兩段（那是今天實際握手得到的結果）。
同一把尺：政府、教育、中華電信
同一份 Tranco 排名框；「國產 CA」＝葉憑證由 TWCA 簽發；「CYBER 新鏈」＝served chain 含 2026-10-30/31 重簽的 CYBER 中繼（TWCA 因應 CA/B Forum 規範重簽，舊中繼 11/6 00:00 廢止）。
綠＝國產 CA 佔比 · 琥珀＝CYBER 新鏈佔比。n 為該 cohort 可達 host 數。
鏈的族譜：這次到底換了哪一層
把今天每一條實際送出的鏈裡的中繼與根憑證排出來，按簽發日排序。 想看「某個體系哪一天上線」，看它中繼的簽發日，不要看公告——憑證日期改不了。
最近才簽發的層（2026 年起）
- 中繼 · 簽發 2026-04-22 · 到期 2028-04-22 · 3 台（0.1% of 可達）鏈上出現GlobalSign Atlas R46 DV TLS CA 2026 Q3GlobalSign nv-sa
- 中繼 · 簽發 2026-05-13 · 到期 2032-09-02 · 67 台（1.6% of 可達）鏈上出現Root YEISRG
- 中繼 · 簽發 2026-05-13 · 到期 2032-09-02 · 67 台（1.6% of 可達）鏈上出現ISRG Root X2Internet Security Research Group
- 中繼 · 簽發 2026-05-13 · 到期 2032-09-02 · 104 台（2.4% of 可達）鏈上出現Root YRISRG
- 中繼 · 簽發 2026-07-22 · 到期 2028-07-21 · 6 台（0.1% of 可達）鏈上出現GlobalSign Atlas R46 DV TLS CA 2026 Q4GlobalSign nv-sa
- 中繼 · 簽發 2026-10-30 · 到期 2035-10-30 · 434 台（10.1% of 可達）鏈上出現TWCA SSL Certification AuthorityTAIWAN-CA
- 中繼 · 簽發 2026-10-31 · 到期 2036-10-31 · 432 台（10.0% of 可達）鏈上出現TWCA CYBER Root CA G3TAIWAN-CA
- 中繼 · 簽發 2026-10-31 · 到期 2030-11-01 · 401 台（9.3% of 可達）鏈上出現TWCA CYBER Root CATAIWAN-CA
體系起點（最舊的幾層）
- 根 · 簽發 1998-09-01 · 到期 2028-01-28 · 2 台（0.0% of 可達）鏈上出現GlobalSign Root CAGlobalSign nv-sa
- 根 · 簽發 2004-01-01 · 到期 2028-12-31 · 1 台（0.0% of 可達）鏈上出現AAA Certificate ServicesComodo CA Limited
- 根 · 簽發 2004-06-29 · 到期 2034-06-29 · 1 台（0.0% of 可達）鏈上出現C = US, O = "The Go Daddy Group, Inc.", OU = Go Daddy Class 2 Certific"The Go Daddy Group
- 根 · 簽發 2004-12-20 · 到期 2034-12-20 · 42 台（1.0% of 可達）鏈上出現C = TW, O = "Chunghwa Telecom Co., Ltd.", OU = ePKI Root Certification"Chunghwa Telecom Co.
同一個名字、不同簽發日（＝CA 重新簽了自己的中繼，這才是「換鏈」的可見證據）
| CA 名稱 | 出現過的簽發日 | 今天多少台鏈上出現 |
|---|---|---|
| TWCA Global Root CA | 2012-06-27 · 2014-10-28 | 2262 |
| TWCA SSL Certification Authority | 2023-02-23 · 2024-09-06 · 2026-10-30 | 1621 |
| TWCA CYBER Root CA | 2022-11-22 · 2022-12-09 · 2026-10-31 | 1559 |
| USERTrust RSA Certification Authority | 2010-02-01 · 2019-03-12 | 49 |
| DigiCert Global Root G2 | 2013-08-01 · 2024-01-18 | 37 |
| GlobalSign Root R46 | 2019-03-20 · 2019-11-20 | 25 |
粗體＝該憑證的 CN；「N 台鏈上出現」＝今天有多少台 host 的鏈經過它。標記較亮的是 2026 年以後才簽發的層。
11/6 00:00 撤銷期限：誰還在舊中繼
TWCA 於 2026-10-31 公告，原中繼憑證須在 2026-11-06 00:00 前廢止（來源與查核）。 本站不看公告，直接看今天每一台真的送出哪一條鏈：舊世代 CYBER 中繼 1186 台（26.3%）、 已換到 G3 世代 430 台（9.5%）、鏈上沒有 CYBER 中繼 3219 台。
1186台
仍送「舊世代」CYBER 中繼（撤銷對象）
分母 4514 台可達公部門 host · 每日握手判定
430台
已換到 2026-10-30/31 重簽的 G3 世代
這批的鏈在撤銷日之後仍可用
3天
距 2026-11-06 00:00（TWCA 公告的廢止時點）
以 2026-11-02 的資料計算
序號長什麼樣：鏈上 CA 憑證的補零觀察
本站量不到 CSPRNG 熵，所以不判違規。這一節只陳述資料：序號的字元長度， 以及它裡面最長一段連續 0。連續 0 特別長＝有意義的部分集中在前面（通常是 CA 編號＋計數器）， 這與 Mozilla 通報描述的形狀一致，但「是否違規」是 CA/B Forum 的判定，不是本站在這裡能下的結論。
| 鏈上的 CA 憑證 | 簽發日 | 序號 | 位元長 | 最長連續 0 | 鏈上出現 |
|---|---|---|---|---|---|
| TWCA SSL Certification Authority | Feb 23 07:22:24 | 400134B04F0000000000000003E324AC | 32 位十六進位 | 15 | 1182（26.2%） |
| TWCA CYBER Root CA | Nov 22 06:54:29 | 4001348CC200000000000000013CF2C6 | 32 位十六進位 | 15 | 8（0.2%） |
| TWCA SSL Certification Authority | Sep 6 07:48:36 | 400134DA0A0000000000000006AAC553 | 32 位十六進位 | 15 | 5（0.1%） |
| TWCA Secure SSL Certification Authority | Oct 16 09:01:04 | 400134B3680000000000000CD0AA08EC | 32 位十六進位 | 13 | 2155（47.7%） |
| TWCA CYBER Root CA | Dec 9 04:00:27 | 4001348D190000000000000CCDF9937A | 32 位十六進位 | 13 | 1150（25.5%） |
| TWCA Global Root CA | Oct 28 07:38:31 | 40013353E40000000000000CCA5D1B69 | 32 位十六進位 | 13 | 587（13.0%） |
| TWCA Global EVSSL Certification Authority | Aug 23 09:53:30 | 40013304F70000000000000CC042CD6D | 32 位十六進位 | 13 | 2（0.0%） |
| TWCA SSL Certification Authority | Oct 30 13:55:58 | 47EA00000000000BF2677D8C642C6D26 | 32 位十六進位 | 11 | 434（9.6%） |
這是 proxy，不是規範本身的量測；真正的主張來自 Mozilla Bug 2087236（見 來源）。 本站只證明「同一批中繼的序號在資料裡長什麼樣」。
與這次換鏈有關的到期
這裡只列今天還在服務舊 CA（HiPKI／GRCA）憑證的 host——它們的到期才是「換鏈沒換完」的後果： 45 台，其中 35 台（77.8%）憑證已經過期。 負數＝已過期幾天。
| host | cohort | 鏈上最短到期 | 剩幾天 | 最先到期的那一層 | 判定 |
|---|---|---|---|---|---|
| ohdsys.tycg.gov.tw | gov | 2022-02-11 | -1726 | 葉憑證：ohdsys.tycg.gov.tw | expired |
| tb.ccd.mohw.gov.tw | gov | 2023-03-09 | -1335 | 葉憑證：www.tph.mohw.gov.tw | expired |
| web2.chyi.mohw.gov.tw | gov | 2023-07-26 | -1196 | 葉憑證：web2.chyi.mohw.gov.tw | expired |
| cmer.chhw.mohw.gov.tw | gov | 2024-02-10 | -997 | 葉憑證：cmer.chhw.mohw.gov.tw | expired |
| filereceiver.cwa.gov.tw | gov | 2025-06-06 | -515 | 葉憑證：filecenter.cwa.gov.tw | expired |
| api-newtaipay.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| events.ntpc.gov.tw空窗 594 天 | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| file-newtaipay.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| link-newtaipay.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| uat-api-newtaipay.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| uat-file-newtaipay.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| uat-link-newtaipay.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| uat-web-newtaipay.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| upreview.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| ebook.tax.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| en.museum.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| en.tea.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| en.yalac.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| jp.museum.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
| jp.tea.ntpc.gov.tw | gov | 2026-01-13 | -294 | 葉憑證：portal-newtaipay.ntpc.gov.tw | expired |
紅底＝這台同時出現在「有空窗期」名單裡（舊 CA 到期後才換到新 CA）。
另外 334 台政府站「鏈上某一層」也在 30 天內到期， 但那多半是 90 天期憑證（Let's Encrypt／Google 等）的正常換發，與換鏈無關，所以不列進這張表—— 把它們算進來會讓 369 這個數字看起來像風險，其實不是。
雙憑證：歷史上的重疊 vs 今天的兩條握手
兩件事分開量。歷史重疊用 CT：同一台是否曾同時持有一張舊 CA 憑證與一張 TWCA 憑證（效期有交集）， 那才是「可以切換」的證據。今天兩條握手：同一台先用預設（RSA）再只允許 ECDSA 各握手一次，看有沒有第二條可走的路。
2494台
曾在 CT 有「舊 CA ＋ TWCA」效期重疊（可切換）
占兩者都有的 3600 台中的 69.3% · 中位重疊 304 天
1106台
從未重疊（硬切，沒有退路）
同一批 3600 台裡的 30.7%
1304台
今天有第二條握手（ECDSA 回不同憑證）
占實測 2657 台的 49.1%；
1353 台（50.9%）只有一條路
註：ECDSA 握手若能成功，回傳必然是另一張憑證，所以「兩條路回同一張」在技術上不會出現； 這一格沒有列出來，不是漏算。兩個數字量的不是同一件事，不可相加。
落後名單
共 40 列列在前 40；每一類都帶分母——政府 10173 台 host 中 過期 77 台（0.8%）、 缺中繼 232 台（2.3%）、 根不受信任 109 台（1.1%）。 探測本身失敗者另計、不進比例。
| host | cohort | 判定 | 過期 | 到期日 | 鏈層 | issuer |
|---|---|---|---|---|---|---|
| emax.net.tw | net | expired | 3765 天 | Jul 11 20:25:00 2016 GMT | 2 | C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3 |
| f1.com.tw | com | no_intermediate | 2788 天 | Mar 16 04:02:50 2019 GMT | 1 | C = --, ST = SomeState, L = SomeCity, O = SomeOrganization, OU = SomeO |
| fatraceschool.moe.gov.tw | gov | expired | 2411 天 | Mar 26 16:23:32 2020 GMT | 2 | C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3 |
| ohdsys.tycg.gov.tw | gov | expired | 1725 天 | Feb 11 02:12:17 2022 GMT | 3 | C = TW, O = 行政院, CN = 政府伺服器數位憑證管理中心 - G1 |
| dvrtw.com.tw | com | no_intermediate | 1593 天 | Jun 23 07:01:29 2022 GMT | 1 | CN = ddns |
| tsu.edu.tw | edu | no_intermediate | 1586 天 | Jun 29 23:59:59 2022 GMT | 1 | C = US, O = DigiCert Inc, OU = www.digicert.com, CN = Thawte RSA CA 20 |
| appledaily.com.tw | com | expired | 1407 天 | Dec 26 01:09:09 2022 GMT | 3 | C = US, O = Let's Encrypt, CN = R3 |
| tb.ccd.mohw.gov.tw | gov | expired | 1334 天 | Mar 9 06:45:27 2023 GMT | 4 | C = TW, O = 行政院, CN = 政府伺服器數位憑證管理中心 - G1 |
| i-part.com.tw | com | expired | 1328 天 | Mar 14 15:59:59 2023 GMT | 3 | C = TW, O = TAIWAN-CA, OU = Secure SSL Sub-CA, CN = TWCA Secure SSL Ce |
| web2.chyi.mohw.gov.tw | gov | expired | 1195 天 | Jul 26 01:21:42 2023 GMT | 3 | C = TW, O = 行政院, CN = 政府伺服器數位憑證管理中心 - G1 |
| taoyuantechpark.tycg.gov.tw | gov | expired | 1000 天 | Feb 6 07:11:27 2024 GMT | 4 | C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = ht |
| cmer.chhw.mohw.gov.tw | gov | expired | 996 天 | Feb 10 08:43:43 2024 GMT | 3 | C = TW, O = 行政院, CN = 政府伺服器數位憑證管理中心 - G1 |
| twu.edu.tw | edu | expired | 628 天 | Feb 11 15:59:59 2025 GMT | 2 | C = TW, O = TAIWAN-CA, CN = TWCA Secure SSL Certification Authority |
| cca.gov.tw | gov | expired | 559 天 | Apr 22 03:56:39 2025 GMT | 3 | C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = ht |
| filereceiver.cwa.gov.tw | gov | expired | 514 天 | Jun 6 03:06:32 2025 GMT | 4 | C = TW, O = 行政院, CN = 政府伺服器數位憑證管理中心 - G1 |
| nap.net.tw | net | no_intermediate | 432 天 | Aug 27 06:32:40 2025 GMT | 1 | C = CH, L = Schaffhausen, O = Plesk, CN = Plesk, emailAddress = info@p |
| atmovies.com.tw | com | expired | 314 天 | Dec 23 02:09:16 2025 GMT | 2 | C = US, O = Let's Encrypt, CN = R12 |
| ecmv.mohw.gov.tw | gov | no_intermediate | 306 天 | Dec 30 15:59:59 2025 GMT | 1 | C = TW, O = TAIWAN-CA, CN = TWCA Secure SSL Certification Authority |
| api-newtaipay.ntpc.gov.tw | gov | expired | 293 天 | Jan 13 01:42:24 2026 GMT | 4 | C = TW, O = 行政院, CN = 政府伺服器數位憑證管理中心 - G1 |
| ebook.tax.ntpc.gov.tw | gov | expired | 293 天 | Jan 13 01:42:24 2026 GMT | 4 | C = TW, O = 行政院, CN = 政府伺服器數位憑證管理中心 - G1 |
紅底＋空窗 N 天＝該 host 在「有空窗期」名單裡。完整名單見 /data/hosts.csv。
中華電信自己怎麼解的
不看聲明，只看它今天送出的鏈：自有 CA 掛在外商根底下，於是「自有 CA 不被信任」這件事被一層交叉簽發繞過。
- 葉憑證hinet.net中華電信股份有限公司資訊技術分公司 · Jul 1 07:04:22 2026 GMT → Jan 16 07:04:22 2027 GMT
- 根憑證Chunghwa Telecom GCC R46 OV TLS CA 2025"Chunghwa Telecom Co. · Jul 16 03:07:40 2025 GMT → Jul 16 00:00:00 2030 GMT
來源：hinet.net 的實際 handshake（2 層）
到期壓力（公部門全部鏈）
政府／教育／中華電信可達 host 的葉憑證到期年份分佈，含正常換發——這一節是工作量預估，不是風險清單； 風險請看上一節「與這次換鏈有關的到期」。