证书显示续期成功，网站却仍要过期：TLS 自动化验收清单

续期任务显示成功，浏览器仍提示证书即将到期，常见原因是新证书只写入了文件，却没有被负载均衡、容器或边缘入口加载。证书运维需要验证“用户实际看到什么”，而不仅是任务返回码。

资产表至少保留六个字段

为每组证书登记域名集合、签发机构、自动化客户端、部署目标、到期时间和责任人。多节点服务应明确每个 TLS 终止点；边缘证书与回源证书也应分开记录。不要在资产表中复制私钥，只保存受控存储位置的引用。

续期链路分三段检查

1. 签发：验证域名控制权检查是否仍可完成，所需 DNS 或 HTTP 验证入口是否受最近的 WAF、路由变更影响。
2. 部署：确认文件权限、证书链和服务加载步骤，避免仅更新共享目录的一份文件却遗漏实际运行节点。
3. 验证：从外部按域名和 SNI 检查在线证书的有效期、域名匹配及链完整性，再与内部记录对照。

Let’s Encrypt 的集成指南建议使用 ACME Renewal Information 获取续期时机，并对失败实施退避重试和告警。实施时应遵循当前 CA 与客户端支持情况，不要把所有证书都硬编码成同一种有效期或固定日期。

怎样设计一次有价值的演练

选择测试域名或受控灰度入口，模拟一次验证失败、一次部署失败以及一次节点遗漏。观察告警是否区分失败阶段，是否能通知实际负责的人，修复后是否自动恢复。不要通过停掉生产续期任务来测试告警。

验收记录应包含线上证书指纹或序列号、到期时间、探测入口和节点覆盖情况。发布时还要确认旧私钥与证书副本的保留策略，避免无限堆积。只有签发、部署、在线验证三个环节都可观测，自动续期才形成闭环。

参考：Let’s Encrypt：Integration Guide。核对日期：2026年10月4日。