【資安小常識｜憑證安全】HTTPS 已是網站安全基本款：看到安全提示，先分清楚用途再操作
來源：CISA「Tips to Stay Safe while Surfing the Web, Part 2: Accessing Websites Securely」、Mozilla Blog「How does HTTPS protect you and how doesn’t it」、資訊小組網路安全常識宣導整理
提醒對象：日常使用瀏覽器登入校務系統、電子郵件、雲端平台、研習報名網站、補件表單、線上繳費頁面、外部連結，以及因業務需要接觸校內設備設定頁面之教師、行政同仁、學生、家長與權責人員
【主題面向簡介】
現在大多數正式網站都已經使用 HTTPS，網址列出現小鎖頭，也成為大家上網時常見的安全提示。
對一般使用者來說，不需要記很多技術名詞，只要先記住一個原則：HTTPS 已是網站安全基本款，填寫帳號、密碼、個資或繳費資料前，建議先看一下網址列、來源與入口是否合理。
不過，校園現場也會遇到不同情境。有些舊網站可能仍是 HTTP；有些印表機、網路設備、投影設備、電子看板或內部管理介面，也可能在校內網路中使用 HTTP，或跳出瀏覽器安全提示。
所以這篇不是要把 HTTP 一律視為假網站，也不是要讓同仁看到安全提示就完全不能處理，而是提醒大家分清楚用途：
一般公告頁面，可以確認來源後閱讀。
需要填寫重要資料的頁面，建議先確認是不是正式系統或正式入口。
校內設備設定或必要維護作業，應依校內程序或權責人員指示辦理。
這篇要提醒同仁、學生與家長：網址列的安全提示，是填資料前可以先看一眼的小提醒。看到 HTTP 或安全提示時，不要急著輸入重要資料，也不要直接略過畫面提醒，先分清楚用途、來源與操作身分再處理。
- 它是怎麼發生的？
日常工作或生活中，我們常會從電子郵件、LINE 群組、簡訊、社群貼文或搜尋結果點進網站。
例如：
收到研習報名連結。
收到活動補件表單。
點進校務系統或教學平台登入頁。
搜尋某個政府或學校服務入口。
收到外部單位寄來的線上填報網址。
進入校內設備設定頁面。
如果網站頁面看起來像正式表單，很多人會直接開始填寫姓名、電話、帳號密碼、家長聯絡方式、學生資料或繳費資訊。
但在填寫前，建議先看網址列。如果瀏覽器標示「不安全」、網址是 HTTP，或跳出「你的連線不是私人連線」等安全提示，就要先分清楚：這是單純閱讀公開資訊、需要輸入重要資料，還是屬於校內設備管理或指定作業。
這三種情境不能混在一起看。
公開公告頁面如果是 HTTP，不一定代表是假網站，但仍建議確認是否為正式來源。
需要填寫帳號、密碼、個資或繳費資料的頁面，如果仍是 HTTP 或跳出安全提示，請先提高警覺，確認這是否為正式系統、校內設備管理頁面或權責人員指定的作業入口；若無法確認來源與用途，建議先不要輸入重要資料，改向主辦單位、承辦窗口或校內權責人員確認。
校內設備管理頁面如果因舊設備或內部網路設計出現 HTTP 或安全提示，應依校內程序或權責人員指示辦理，不建議由不熟悉該設備或業務的一般使用者自行嘗試操作。
- 為什麼需要留意？（HTTP、HTTPS 與安全提示使用情境提醒）
第一、HTTPS 已是現在網站安全基本款。
現在許多正式網站、政府服務、學校系統、雲端平台與線上服務，都已普遍使用 HTTPS。當我們需要登入帳號、填寫表單或處理繳費資料時，HTTPS 應該被視為重要的基本條件。
第二、HTTP 不一定是假網站，但要分清楚用途。
有些舊網站或公開公告頁面仍可能使用 HTTP。這類頁面若只是提供一般資訊，可以在確認來源後閱讀。
但如果頁面要求輸入帳號、密碼、身分資料、家長聯絡方式、學生資料、教職員資料或繳費資料，就應先確認這個頁面是否為正式入口，或是否為權責人員指定的系統、設備管理頁面或必要作業。
第三、瀏覽器安全提示要看情境。
如果瀏覽器跳出「你的連線不是私人連線」、「此網站可能不安全」或類似警告，建議先停下來確認用途與來源。
若是一般填報、登入或繳費頁面，應優先改從正式入口進入；若是校內既有系統、設備管理頁面或承辦單位指定作業，則依校內程序或權責人員指示辦理。
第四、正式入口仍然重要。
不論頁面看起來多像真的，研習報名、補件表單、線上繳費、帳號登入、家長資料填報等重要頁面，都建議從學校公告、官方網站、主辦單位正式通知或原本熟悉的入口進入。
- 同仁怎麼做（網址列安全提醒三招行動指引）
● 第一招（先看網址列｜HTTP 與安全提示要分清楚用途）
填寫資料前，先看瀏覽器網址列。
如果看到網址是 HTTP 開頭，或瀏覽器顯示「不安全」，請先分清楚用途：
如果只是瀏覽一般公開公告、活動資訊或下載公開文件，可以再確認是否為正式網站後閱讀。
如果頁面要求輸入帳號、密碼、身分資料、家長聯絡方式、學生資料、教職員資料或繳費資料，請先確認這是否為正式系統、正式入口或權責人員指定的作業頁面。
如果是校內設備設定頁面，例如印表機、網路設備、投影設備、電子看板或其他內部管理介面，請確認是在校內網路環境、由權責人員操作，並避免透過外部不明連結進入。
若瀏覽器跳出「你的連線不是私人連線」或類似警告，請先確認用途與來源。若是一般填報、登入或繳費頁面，建議優先改從正式入口進入；若屬校內既有系統、設備維護或必要管理作業，則依校內程序或權責人員指示辦理。
這一招的重點是：HTTP 或安全提示不是單純用來判斷真假，而是提醒我們先確認用途、來源與操作身分；確認後再依正式作業流程處理。
● 第二招（再看入口｜重要資料建議從正式管道進入）
如果是研習、活動、補件、繳費或帳號登入連結，建議優先從正式入口進入。
可以從這些地方確認：
學校網站公告。
校內正式通知。
主辦單位官方網站。
原本熟悉的校務系統或平台入口。
承辦處室提供的正式連結。
如果連結來自轉傳訊息、陌生簡訊、來源不明郵件或搜尋結果，請不要只看頁面長得像不像正式網站。重要資料填寫前，回到正式入口會比較穩。
這一招的重點是：重要資料不要只靠轉傳連結，從正式入口進入比較安全。
● 第三招（資安武功秘笈｜不確定時先問窗口）
如果看到的頁面看起來像正式網站，但瀏覽器顯示安全提示，或連結來源讓人不確定，建議先不要急著填寫重要資料。
可以這樣處理：
先停止輸入帳號、密碼、個資或繳費資料。
保留連結或畫面，方便後續詢問。
向主辦處室、承辦窗口或校內權責窗口確認。
改從學校公告或官方網站重新進入。
如果是設備管理或系統維護情境，請交由權責人員確認，不建議由一般使用者自行略過警告或嘗試操作。
這一招的重點是：不確定時，先確認再操作；一般填報不要自行硬闖，設備維護則依校內程序或權責人員指示辦理。
資訊小組提醒
HTTPS 已是現在網站安全的基本條件。對一般使用者來說，不需要記住複雜技術，只要掌握幾個簡單判斷。
請記住四個小提醒：
HTTPS 是網站安全基本款，填寫帳號、密碼、個資或繳費資料前，建議先看網址列與來源。
HTTP 不一定是假網站，但如果頁面要求輸入重要資料，請先確認是否為正式入口或權責人員指定的作業頁面。
如果是校內設備設定頁面或內部管理介面，應依校內程序或權責人員指示辦理。
遇到校務系統、研習報名、補件表單或線上繳費，建議從學校公告、官方網站或正式入口進入。
網址列只是小小一行，但在填寫重要資料前，多看一眼、分清楚用途，就能少一次把資料留在不適合頁面的風險。
網站連結
CISA：Tips to Stay Safe while Surfing the Web, Part 2: Accessing Websites Securely
Mozilla Blog：How does HTTPS protect you and how doesn’t it
