Google 自 8 月起撤除中華電信憑證預設信任，台灣網站恐跳安全警告畫面！中華電信回應：「憑證安全無虞」
Google 在官方部落格宣布，自 2025 年 8 月 1 日起，Google Chrome 瀏覽器將不再預設信任中華電信（Chunghwa Telecom）與匈牙利 Netlock 這兩家機構所簽發的新 TLS 網站憑證。這項變更將從 Chrome 139 版本開始上路，而且會在 Windows、macOS、ChromeOS、Android 及 Linux 等作業系統生效，唯獨 iOS 因為使用 Apple 蘋果驗證機制而不受影響。
Google：憑證機構長期缺乏改善，已不符公開信任標準
根據 Google Chrome 安全團隊說明，過去一年觀察到中華電信與 Netlock 這兩家 CA（憑證機構）在管理公開信任憑證上出現多次問題，儘管曾經承諾改善，卻始終缺乏具體進展與明確的進步證據。這樣的行為已經損害公信力，不符合 Chrome 對 CA 所設定的信任標準。
Google 表示：「CA（憑證機構）在網路生態系中扮演高度信任角色，若其作為無法符合全球共識與標準，就無法維持公開信任。」
這項調整牽動甚廣，特別是台灣多數政府機關、學術單位與企業網站長期使用中華電信的 ePKI 憑證系統。若在規定時間後仍未更換憑證，用戶使用 Chrome 瀏覽網站時，將跳出全頁警告畫面，明確提示該網站「憑證不被信任」，恐引發使用者誤解、信任危機與系統存取障礙。
8 月起哪些憑證將不再被 Chrome 信任？
根據 Google 安全部落格消息指出，自 2025 年 8 月 1 日起，凡是新簽發、並連結到以下 TLS 網站憑證，都將被 Chrome 預設為不可信任：
- ePKI Root Certification Authority（中華電信）
- HiPKI Root CA - G1（中華電信）
- NetLock Arany (Class Gold)（Netlock）
換句話說，只要是在 2025 年 7 月 31 日 23:59:59（UTC）之前簽發的憑證則不受影響，仍可正常運作。
（圖片來源：WikiMedia）
憑證不被信任，使用者會看到什麼變化？
當使用者透過 Chrome 瀏覽連結到憑證不被信任的網站時，畫面將會跳出整頁的安全警示頁面，提醒這個網站的憑證無法被信任。除非企業或使用者自行設定將上述憑證納入系統信任憑證，否則一律會被擋下。
怎麼確認自家網站是否受影響？
網站管理者可透過 Chrome 內建工具查詢憑證資訊：
- 開啟 Chrome 並造訪網站（如：https://www.google.com）
- 點選網址列左側的「🔒」圖示
- 點選「連線安全」→「憑證有效」
- 查看「Issued By」欄位
若出現「Chunghwa Telecom」、「行政院」、「NETLOCK」等字樣，即屬受影響範圍
Google 建議儘速更換成其他公開信任的憑證機構
Google 建議網站營運單位應儘快轉換至其他被 Chrome 預設信任的 CA 憑證機構，如 Let’s Encrypt、DigiCert、GlobalSign 等。否則，一旦現有憑證過期或更新後，將立即受到新政策限制。
對於只在內部使用的企業網路，也可透過本地政策（如 Windows 群組原則）手動信任憑證，但僅限內部用戶有效，對外訪問仍會遭 Chrome 阻擋。
此外，Chrome 自 128 版起支援模擬「撤信情境」的指令列參數，企業 IT 單位可提前測試內部網站是否會受到影響。
中華電信聲明：憑證安全無虞，問題已調整完成
針對 Google 官方宣布的政策調整，中華電信也發出官方聲明，內容如下：
一、中華電信及其受委託經營的憑證管理中心皆依法合規，符合《電子簽章法》，也通過 WebTrust for CA 及 ISO 27001 等國際認證，所簽發的數位簽章具有法律效力，請用戶放心。
二、Google 撤信主因是部分程序未能在政策時限內完成調整。雖然目前中華電信已完成修正並達成所有要求，但 Google 仍決定先移除預設信任，並非因安全漏洞或私鑰洩漏，預期將於 2026 年 3 月重新取得 Chrome 預設信任。
三、所有於 2025 年 7 月 31 日前簽發的憑證不受影響；7 月 31 日後簽發的憑證僅在 Chrome 受限，使用 Microsoft Edge、Safari 等其他瀏覽器則不會受到影響。
四、中華電信強調，其憑證在政府、金融、數位簽章等應用中皆可正常使用，不受影響，請民眾與客戶放心。
台灣網站信任機制亟待自省
這次事件不只是一場技術性更新與瀏覽器政策調整，更是對台灣憑證系統的一次警鐘。台灣長年依賴單一 CA 憑證機構，若不積極與即時因應國際安全政策的變動，未來可能會有更多台灣網站面臨信任危機，甚至使台灣網站在全球主流平台中失去信任地位。
對政府與企業等大型機構單位來說，這也是一次重新檢視資訊安全政策、強化與國際規範對接的契機，如此才能避免類似事件再度發生。
▶ 延伸閱讀
圖片及資料來源：Google Blog、中華電信
留言 1