網域註冊及 SSL 憑證供應商 GoDaddy 近日因憑證資料與公開政策文件不符，須撤銷逾 40 萬張 TLS/SSL 憑證。GoDaddy 於 10 月 23 日公布的最新進度顯示，修正後受影響總數為 403,643 張，當中 378,067 張已撤銷，其餘 25,576 張已到期，沒有仍然有效的受影響憑證。網站管理員若仍使用舊憑證，訪客可能遇到瀏覽器安全警告，甚至無法正常進入網站。
憑證內容與公開政策不一致
根據 GoDaddy 向 Mozilla Bugzilla 提交的事故報告，問題涉及 GoDaddy 及旗下 Starfield 所簽發的 TLS 憑證。第三方發現，部分憑證內的 Certificate Policies 資料，包括憑證政策識別碼（OID）及 CPS 網址資料，與憑證頒發機構公開的憑證政策及認證實務聲明（CP/CPS）所列規格不符。GoDaddy 其後調查發現更多同類差異，一度暫停簽發憑證，修訂相關文件後恢復簽發。
初步報告於 10 月 15 日列出 404,607 張受影響憑證，涉及網域驗證（DV）、組織驗證（OV）及延伸驗證（EV）憑證。其後 GoDaddy 將受影響總數修正為 403,643 張。事故文件描述的是憑證合規問題，沒有顯示網站遭黑客入侵或憑證私鑰外洩；但按照 CA/Browser Forum 的 TLS 基準要求，當憑證的簽發方式不符合相關要求或 CP/CPS 時，頒發機構必須在知悉問題後 5 天內撤銷相關憑證，短期憑證另有例外。
超出五天撤銷期限 最新確認全數完成
GoDaddy 自 10 月 14 日起聯絡客戶，更針對持有大量憑證的企業，以及政府、金融和醫療服務機構安排替換工作。然而，該公司未能在 10 月 18 日 23:45 UTC 的期限前處理全部憑證，當時只撤銷了 170,566 張；截至 10 月 19 日 05:29 UTC，撤銷數量增至 227,422 張。
最新更新指，截至 10 月 22 日 22:50 UTC，即香港時間 10 月 23 日早上 6:50，所有仍有效的受影響憑證已撤銷，另有 25,576 張在過程中到期。撤銷工作完成不代表所有受影響網站已換上新憑證。GoDaddy 的服務狀態頁曾提醒，收到替換通知的客戶需要處理，否則網站可能出現「Not Secure」或「Your connection is not private」等警告。
網站管理員須確認新憑證已安裝
GoDaddy 已在支援頁說明處理方法。客戶可登入 GoDaddy 產品管理頁，在「SSL Certificates」選擇「Manage All」，逐張檢查憑證是否顯示需要採取行動。如果帳戶已備有新憑證，但網站仍使用舊版本，就要下載並安裝到網站伺服器；若顯示憑證需要處理，亦應按指示完成替換。GoDaddy 同時提供網上工具檢查網站實際使用的憑證狀態。
有需要區分兩個階段：憑證頒發機構完成撤銷，只表示有問題的憑證不再有效；網站能否正常以 HTTPS 連線，取決於管理員有否部署替代憑證。GoDaddy 仍在調查文件規格與實際簽發設定出現差異的原因，完整事故報告尚待公布。
資料來源：Mozilla Bugzilla 撤銷進度、Mozilla Bugzilla 合規事故、GoDaddy 官方支援頁、GoDaddy 服務狀態
