SSL 续费：网站证书过期前应检查哪些内容

列出地址并指定所有者

商业网站可能使用比其主页更多的地址：主域、www 版本以及单独的预订或订购应用程序。从客户和员工使用的地址的简短清单开始。对于每一个，记录其托管位置、管理其证书的人员以及接收警报的人员。

SSL 是用于通过 TLS 提供 HTTPS 服务的证书的通用标签。在日常操作中，相关细节是所涵盖的具体名称和实际到期日期。请求每项服务的详细信息；检查主页并不会自动涵盖您企业使用的每个应用程序。

验证自动续费是否有效

颁发第一个证书和稍后更新它是单独的步骤。要求管理员确定计划的续费任务、其上次运行以及任何记录的错误。成功的任务运行并不一定意味着已颁发新证书：续费可能尚未到期。

对于使用Certbot的安装，官方文档提供了续费测试。管理员应首先检查配置和相关操作，因为测试可能会暂时影响 Web 服务器。记录结果并在重大基础设施变更后重复检查。

了解如何验证域控制

通过 Let's Encrypt HTTP-01 验证，检查从端口 80 开始，并请求 /.well-known/acme-challenge/ 下的特定文件。即使主页继续通过 HTTPS 运行，新的防火墙或访问规则也可能阻止该路径。

DNS-01 验证使用特定的 TXT 记录。更改 DNS 提供商或撤销自动化权限后重新检查此过程。 DNS 凭据应仅具有该任务所需的权限。管理员应确认针对特定环境的适当验证方法。

在每次 DNS 更改中包含证书

移动托管、更换域名服务器或添加 CDN 是进行另一次检查的有用触发因素。变更后指定专人核对签发和续展，并保留结果。这为工作提供了超出浏览器中显示的正确页面的完成标准。

还要查看任何 CAA 记录。这些指定哪些证书颁发机构可以为域颁发证书。排除正在使用的权限的策略可以阻止新的发行。删除所有限制并不是默认的解决方案；管理人应使政策与预期的发行流程保持一致。

检查实际提供的证书

服务器上的新文件并不能证明该服务已经在使用它。续费后，从外部网络检查网站的确切主机名、到期日期和证书链有效性。当多个系统提供 HTTPS 服务时，验证应涵盖每个相关端点。

使用 CDN 或反向代理，可能有两个 TLS 连接：访问者到中介，中介到源服务器。浏览器显示的证书属于第一个连接。请求对第二个使用它的地方进行单独验证，而不只是为了使错误消失而绕过验证。

确保警报到达负责人

将续费检查与过期和失败连接的独立监控相结合。指定警报所有者和缺勤替代者。选择适合证书生命周期和续费周期的响应窗口，而不是对每个服务应用相同的阈值。

不要完全依赖证书颁发机构的提醒。 Let's Encrypt 已停止其证书过期通知电子邮件服务。确认您自己的监控有一个活跃的接收者，并且警告会导致分配的任务、记录的结果和后续检查。

以具体结果结束检查

向托管管理员发送简短的地址列表和以下问题。记录检查日期和未完成项目的下一步。对于 FastVPS 服务，请确认特定包的管理范围以及任何外部 DNS 或 CDN 的责任。

• 检查了哪些地址以及每个证书何时到期？
• 哪个自动化执行更新，谁验证其结果？
• 当前使用的证书是否经过外部验证？
• 谁收到警报，哪些更改需要再次检查？