gov.tw 網域與 SSL 憑證要分成四樣東西來管：網域註冊、DNS 解析、憑證、憑證私鑰。gov.tw 網域只有機關承辦人能在政府網域名稱註冊系統申請與異動，註冊權本來就在機關；真正容易流到廠商手上的，是 DNS 指向誰、憑證由誰申請、私鑰放在誰的主機上。政府 TLS 類憑證自 2026 年 3 月 9 日起效期上限 198 天，一年至少換兩次，到期管理不能再靠記憶。換廠商時，先建好新主機與新憑證，再由機關改 DNS，最後收回舊廠商的私鑰與權限，網站就不會中斷。
這篇寫給機關的資訊承辦人，以及承接機關網站維運的廠商。公部門網站代管要符合哪些規範那篇提到「網域與帳號以機關為主體」，本文把這一句展開：gov.tw 網域與憑證各在哪裡管、到期怎麼不漏、換廠商時怎麼移轉。免費與付費憑證的差別不在本文範圍，見SSL 憑證免費和付費差在哪；企業自己的 .com.tw 網域到期與搶註問題，見網域到期被搶註怎麼辦。
gov.tw 網域與 SSL 憑證是誰的？先把四樣東西分開
gov.tw 網域的註冊業務由數位發展部主辦、中華電信執行，機關在政府網域名稱註冊系統（rs.gsn.gov.tw）線上申請。依政府網際服務網（GSN）公布的常見問題，這個系統的帳號與「我的E政府」認證介接，須具備公務人員資格才能登入；申請送出後由後端人員審視合理性，原則上一個機關只能有一個網域名稱，命名要用機關正式中英文全銜，或與全銜有關的縮寫、簡稱。
所以 gov.tw 網域不會像企業網域那樣「被設計公司用自己名義註冊走」。但機關網站從使用者輸入網址到看到加密的頁面，中間經過四個環節，只有第一個天生在機關手上：
| 環節 | 在哪裡管 | 應該在誰手上 | 常見的狀況 |
|---|---|---|---|
| 網域註冊 | 政府網域名稱註冊系統 | 機關（承辦人以公務人員身分登入） | 承辦人輪調，接手的人不知道網域是誰申請的、DNS 記錄怎麼改 |
| DNS 解析 | 網域的名稱伺服器（NS）指向哪裡，就在哪裡管 | 機關可掌握的 DNS，或至少清冊上有完整記錄 | NS 指到廠商的 DNS 主機，A、MX 記錄全由廠商改，機關看不到現況 |
| SSL 憑證 | 核發憑證的單位（政府憑證或商用、免費 CA） | 以機關為申請主體，到期日列入清冊 | 廠商用自己的帳號申請，到期提醒寄到廠商信箱 |
| 憑證私鑰 | 網站主機上的檔案 | 只存在提供服務的主機，換廠商時銷毀 | 舊廠商主機上還留著有效憑證與私鑰，沒有人撤銷 |
四個環節分開看，責任就清楚：註冊與 DNS 的「決定權」在機關，憑證與私鑰的「保管」可以委託廠商，但到期日與存放位置必須機關也查得到。GSN 的註冊系統支援 NS、A、MX、TXT、DS 等記錄的線上異動申請；另外，GSN 已不開放新的 DNS 代管申請，原有使用機關仍由 GSN 維運小組代管。新網站若不使用 GSN 代管，DNS 放在哪一家、帳號由誰持有，就要在委外時講清楚。
承辦人輪調，是 gov.tw 網域最常見的斷點
因為只有公務人員能登入註冊系統，網域異動一定要經過承辦人。承辦人調職時，若沒有交接「這個機關有哪些網域、各自 DNS 在哪、上次改了什麼」，下一次換主機或續憑證就會卡住：廠商不能代登入，新承辦人不知道從哪裡改。解法很簡單，就是本文最後一節的清冊；清冊放在機關，不放在廠商。
另一個常被漏掉的是不在 gov.tw 底下的網域。活動網站、專案網站或宣導網站，有時會另外註冊 .tw 或 .com.tw 網域，這類網域任何人都能註冊，就有可能落在廠商名下。這類網域一樣要列入清冊，登記人與管理帳號的原則見企業網域管理 5 個必做設定。
機關網站的 SSL 憑證多久換一次？198 天效期下的到期管理
機關網站常見的憑證來源有三種，效期與續期方式差很多：
| 憑證來源 | 效期上限（2026 年起） | 申請與續期方式 | 到期管理的重點 |
|---|---|---|---|
| 政府 TLS 類憑證 | 198 天（2026-03-09 起核發者） | 機關透過政府憑證入口網以發文或插卡方式申請；網域須為申請機關所註冊，並先完成網域控制權驗證，每張憑證一個 CSR | 需要機關發文或插卡，人工流程最長，要提早一個月啟動 |
| 商用公開憑證 | 200 天（2026-03-15 起）；2027-03-15 起 100 天；2029-03-15 起 47 天 | 向憑證業者購買，依業者流程驗證網域 | 年費制不等於一年換一次，效期內仍要重新簽發與安裝 |
| ACME 自動續發的免費憑證 | 90 天 | 主機上的程式自動驗證網域並續發 | 不需人工，但要監測每次續發是否成功 |
資料來源：政府憑證入口網 TLS 類憑證申請說明；商用憑證效期依 CA/Browser Forum 2025 年通過的時程。實際規定以各憑證單位最新公告為準。
不論哪一種，結論都一樣：一年至少換兩次，人工記日期的做法已經撐不住。以前一張憑證一年多才換一次，承辦人換了兩任可能都沒碰過；現在每半年就要換，憑證放在哪台主機、用什麼方式申請，必須是寫下來的流程。以本站為例，9 月 28 日實查時，我們在 cPanel 帳號上的 14 張憑證全部是 90 天的免費憑證、由主機自動續發，細節見SSL 憑證免費和付費差在哪；但機關可能因為規範或採購要求使用政府憑證或商用憑證，這時就要靠下面四層提醒。
憑證到期提醒的四層做法
第一層，外部監測：從網際網路上實際連線檢查憑證剩餘天數，不是看主機上的檔案。網站可能有多台主機或多個子網域，主機上換了新憑證、但其中一台沒重啟服務，只有從外部連才看得出來。
第二層，分段提醒：剩 30 天、14 天、7 天各提醒一次。政府 TLS 類憑證需要發文或插卡，30 天那次就要啟動申請，不要等到 7 天。
第三層，提醒寄給兩方：機關承辦人與維運廠商都要收到，且至少一個收件信箱不在被監測的網域底下；網站網域出問題時，同網域的信箱可能也收不到信。
第四層，換完要驗：新憑證裝好後，從外部確認到期日已更新、憑證鏈完整、所有子網域都換到；結果記進清冊的「上次更換日」。
CAA 記錄：換憑證單位前要先改
CAA 是一筆 DNS 記錄，用來指定哪些憑證單位可以替這個網域核發憑證。政府憑證入口網的申請說明就提醒：網域若設定了 CAA 限制，要移除或加入「twca.com.tw」才能核發。反過來也一樣，機關若從政府憑證改用其他憑證，CAA 沒有加入新的憑證單位，申請就會失敗。以本站為例，mani.tw 的 CAA 目前列了兩家：letsencrypt.org 與 comodoca.com，10 月 13 日實查。換憑證來源前，先查 CAA；改 CAA 一樣要經過承辦人送出 DNS 異動。
換廠商時 gov.tw 網域與憑證怎麼移轉？七步順序不中斷
機關網站換維運廠商，網域本身不用移轉，要動的是 DNS 指向與憑證。順序錯了，網站就會中斷或出現憑證錯誤；下面七步的原則是新的先備好、驗過，才切換；切換穩定後，才拆舊的：
| 步驟 | 做什麼 | 誰做 |
|---|---|---|
| 1. 盤點 | 列出所有網域與子網域、目前的 NS、每筆 A／MX／TXT 記錄、憑證來源與到期日、私鑰在哪台主機、有沒有設 CAA 與 DNSSEC | 機關與舊廠商 |
| 2. 調低 TTL | 切換前數天，把要改的 DNS 記錄 TTL 調低，例如 300 秒（本站 A 記錄目前就是設 300 秒），讓切換後各地快取很快更新 | DNS 管理方，經承辦人送異動 |
| 3. 新主機就緒 | 新廠商建好網站、匯入資料，在新主機上產生新的金鑰與 CSR，申請好新憑證 | 新廠商；政府憑證由機關申請 |
| 4. 切換前驗證 | 用測試網址或本機 hosts 連到新主機，確認網頁、表單、後台與憑證都正常 | 新廠商與承辦人 |
| 5. 修改 DNS | 承辦人送出 A 記錄（或 NS）異動，指向新主機 | 機關承辦人 |
| 6. 觀察 | 至少觀察一個原本的 TTL 週期，確認流量已轉到新主機、舊主機不再有訪客 | 新廠商 |
| 7. 收尾 | 舊廠商刪除網站與私鑰並提出書面說明，舊憑證撤銷，收回舊廠商的 DNS、主機、憑證帳號權限，TTL 調回 | 機關、舊廠商 |
有三件事特別容易出錯：
- 不要沿用舊私鑰。把舊主機上的私鑰複製到新主機最省事，但等於舊廠商也持有新網站在用的私鑰。新主機自己產生新金鑰、新憑證，舊憑證撤銷，才是乾淨的切割。
- 有 DNSSEC 就要先處理 DS 記錄。網域若啟用 DNSSEC，換 DNS 主機時，DS 記錄必須與新的 DNS 簽章金鑰一致，否則有驗證 DNSSEC 的使用者會整個查不到網域。GSN 註冊系統可以線上異動 DS 記錄，這一步要排在改 NS 之前一起規劃。
- 信箱跟著網域走。如果 MX 記錄也指向舊廠商，改 NS 時要一併確認郵件記錄，否則公務信件會在切換當天收不到。
網域與憑證只是移交清單的一部分。系統原始碼、資料、帳號、文件怎麼交，以及怎麼用獨立重建演練確認真的收到，見科技執法系統換廠商怎麼交接；切換當天的停機時間與回應時效要不要列入 SLA，可參考警政系統維運 SLA 怎麼談。
網域與憑證清冊要記什麼？寫進契約的五個條款
上面所有做法，最後都落在一份由機關保存的清冊。清冊不必複雜，一個網域或一張憑證一列，下面十個欄位填齊就夠用：
| 欄位 | 填什麼 |
|---|---|
| 網域與子網域 | 完整名稱，含 www 與後台、API 等子網域 |
| 註冊單位與申請人 | gov.tw 寫申請的承辦單位；非 gov.tw 寫登記人與管理帳號 |
| 網域到期日 | gov.tw 以外的網域才有，寫明是否開啟自動續約 |
| 名稱伺服器（NS） | 目前指向哪裡、DNS 帳號由誰持有 |
| 主要 DNS 記錄 | A、MX、TXT（含 SPF）、CAA 的現值與上次異動日 |
| DNSSEC | 是否啟用、DS 記錄由誰維護 |
| 憑證來源與類型 | 政府 TLS 類、商用或免費自動續發；涵蓋哪些網域 |
| 憑證到期日與上次更換日 | 以外部實查為準，每次換完更新 |
| 私鑰存放位置 | 哪台主機、哪個路徑；不記錄私鑰內容本身 |
| 續期負責人與提醒收件人 | 機關與廠商各一人，含不在同網域的備援信箱 |
清冊之外，維運契約裡要寫進五個條款，換廠商時才有依據：
- 以機關為主體：網域、DNS 帳號與憑證均以機關為申請或持有主體；廠商代為操作的帳號，契約結束時移交。
- 清冊維護：廠商每次異動 DNS 或更換憑證後，於約定期限內更新清冊並通知承辦人。
- 到期責任：憑證因未續期而失效，視為服務中斷，計入 SLA 的可用率與扣款。
- 移轉配合：契約終止時，舊廠商依機關排定的時程配合 DNS 切換，切換穩定後刪除網站資料與私鑰，並出具書面說明。
- 權限收回：契約終止後若干日內，關閉廠商在 DNS、主機、憑證平台的所有帳號，由機關確認。
自己檢查：機關網站的網域與憑證有沒有斷點
一、現任承辦人知道每個網域的 DNS 在哪裡改。二、所有非 gov.tw 網域的登記人是機關。三、每張憑證的到期日都在清冊上，且有外部監測。四、到期提醒有寄到機關信箱，不是只有廠商收到。五、知道 CAA 與 DNSSEC 有沒有設定。五項都答得出來，下次續憑證或換廠商就不會卡在找人。
瑪尼國際成立於 2004 年，深耕資訊服務逾 20 年、服務逾 500 家企業，並以協力廠商身分參與全台多個縣市警察局交通隊的入案系統建置與維運。科技執法與民眾檢舉這類對外服務的系統，憑證過期一次，民眾看到的就是瀏覽器的安全警告；我們的做法是把網域、DNS 與憑證都列進維運清冊，平常就知道每一張憑證在哪台主機、何時到期。主機放在中華電信光纖機房，SSL 憑證終生免費並自動續發，由我們負責網站代管；前台與後台的網頁設計可以一併規劃，從網域設定、程式到主機由同一組人負責的一條龍服務，換憑證或改 DNS 都有明確的處理人。
常見問題
Q：gov.tw 網域可以由維運廠商代為申請嗎？
不行。gov.tw 網域由數位發展部主辦、中華電信執行，在政府網域名稱註冊系統線上申請，系統登入與「我的E政府」認證介接，須具備公務人員資格才能登入，所以申請與異動都要由機關承辦人操作。廠商能做的是提供要設定的 DNS 記錄內容，由承辦人送出異動，並把網域、DNS 與憑證的對應關係寫進清冊。
Q：機關網站的 SSL 憑證多久要換一次？
政府 TLS 類憑證自 2026 年 3 月 9 日起核發的效期上限為 198 天，商用公開憑證自 2026 年 3 月 15 日起上限為 200 天，等於一年至少要換兩次；2027 年 3 月 15 日起商用憑證上限再縮為 100 天，2029 年 3 月 15 日縮為 47 天。用 ACME 自動續發的免費憑證效期 90 天，續發不需要人工，但仍要有外部監測確認每次續發都成功。
Q：機關網站換廠商時，網域與 SSL 憑證要怎麼移轉？
先盤點網域、DNS、憑證與私鑰四樣東西各在誰手上，切換前幾天把相關 DNS 記錄的 TTL 調低；新主機先建好網站並由新廠商產生新的金鑰與憑證，驗證無誤後才由機關承辦人修改 DNS 指向。切換後觀察至少一個原 TTL 週期，再請舊廠商刪除主機上的網站與私鑰並撤銷舊憑證，最後收回舊廠商的所有帳號權限。