HSTS 與強制導向：裝好憑證只是加密工作的第一步

terry 2026 年 9 月 8 日 1 minute read

許多站長以為安裝 SSL 憑證後加密工作就完成了。實則不然。憑證只是基礎；要確保訪客始終走加密通道，還需要正確配置 HTTP 轉 HTTPS 導向與 HSTS 標頭。本文解析這兩個關鍵設定的作用與導入順序。

問題：為何訪客仍可能走 HTTP？
當訪客在瀏覽器地址欄輸入 “example.com”（不加 https://），瀏覽器預設使用 HTTP 協議，若網站未配置導向規則，訪客連線到的就是未加密版本，即使伺服器本身已有 HTTPS。這在使用公共 WiFi 時特別危險，駭客可能在 HTTP 階段截獲資料或植入惡意內容。

解法一：301 轉址導向
最直接的做法是設定 HTTP→HTTPS 自動導向：訪客連到 http://example.com 時，伺服器以 301 狀態碼導向至 https://example.com。此導向為永久性，瀏覽器與搜尋引擎都會記住；缺點是首次連線仍短暫經過 HTTP，存在微小攻擊視窗，但對多數情境已足夠安全。

解法二：HSTS 標頭
HSTS 是一個 HTTP 回應標頭，告訴瀏覽器「今後所有連線到此網域都必須用 HTTPS」。瀏覽器收到指令後會記住此規則，下次訪客即使只輸入 “example.com”，也會自動升級為 HTTPS，完全繞過 HTTP，消除首次連線的不安全視窗。

導入順序與注意事項
建議先配置 301 轉址並測試一段時間，確認 HTTP 訪客都能正確導向；接著確認 HTTPS 連線與憑證狀態正常；最後再加入 HSTS 標頭，並由較短的有效期逐步延長。HSTS 一旦設定，瀏覽器會記住該指令，即使伺服器日後移除標頭也難以立即撤銷，因此導入時務必謹慎確認每個步驟無誤。

安裝 PositiveSSL 憑證僅是開始。完整的加密工作流程包括憑證安裝 (約 10 分鐘)、HTTP→HTTPS 導向配置、HSTS 標頭導入。eco-nic.net 的 15 天免費試用期足夠你完成這些設定與測試。若在配置過程中遇到困難，可撥打免付費專線 0800-588-211，或透過 LINE ID：ecoyah2 咨詢。官網：https://www.eco-nic.net。