证书有效期缩短带来的运维变化

发布时间:2025-12-10 15:15

TLS（HTTPS 依赖的传输层安全协议）证书的有效期一路缩短：从三年到一年，主流免费证书早已是 90 天一续，业内规则还在推动进一步缩短。手工一年换一次证书的运维模式，正在失去生存空间。 自动化续期成为必选项 有效期 90 天意味着每年要续四次，几十个域名就是上百次操作，靠人记必然出事。主流方案基于 ACME（自动化证书管理环境）协议：certbot 一条命令完成申请与续期，配好定时任务每天检查，到期前自动续。验证链路先跑 certbot renew --dry-run，模拟续期不真签发，通过说明整条链路正常，新配置上线前都应先过这一步。续期成功后要让 Web 服务重载证书，把 reload 命令写进 deploy hook 自动执行。容器环境用 cert-manager，签发、续期、挂载全程自动，应用重启都不需要人工介入。 自动化不是保险箱 续期链路自己也会出问题：域名解析变更、ACME 服务限流、磁盘写满、hook 脚本报错，任何一环断了，续期都会悄悄失败——网站不会立刻报错，而是等证书过期当天集中爆发，这类故障不吵不闹，最容易被忽视。监控兜底因此不可省： openssl s_client -connect 域名:443 2>/dev/null | openssl x509 -noout -enddate 这条命令能查出线上证书的实际到期时间，放进巡检脚本，剩余有效期低于 14 天就触发告警，证书一多就按最紧急的排序处理。 台账与权限 多域名环境把域名、证书、部署位置、责任人的对应关系整理成台账，出了问题不用翻聊天记录，交接时也少走弯路。把证书管理当成自动化工程而不是零散任务：续期脚本、监控告警、信息台账三件套配齐。私钥的保管权限要收拢，导出和备份行为要有记录，续期越自动化的系统，私钥泄露的代价也越大。 有效期缩短的本质，是把低频重活变成高频自动化，先补监控再上自动化，顺序不能反。