SCDN回源使用双向TLS时：客户端证书轮换如何避免中断

网站证书续期成功，并不代表SCDN到源站的身份认证也完成了更新。使用双向TLS时，源站除了出示自己的证书，还会验证连接方的客户端证书。只替换其中一端，可能让浏览器访问边缘正常，却在回源阶段持续失败。

先确认能力，再安排轮换

这套流程适用于已经确认支持回源mTLS的代理或加速平台。不能从“支持HTTPS回源”推断“支持上传客户端证书、自动轮换及吊销”。实施前应取得实际套餐的配置入口、证书格式、传播时间和回滚说明。

作为实现参考，NGINX代理模块分别提供回源客户端证书及对应私钥配置。这里引用的是代理能力示例，不表示WAF.PRO全部线路或套餐具有相同功能。

把四类对象分开登记

登记证书序列号或指纹即可，不把私钥放入工单、监控字段或文章截图。证书能通过链验证，也不自动意味着它有权访问全部业务路径；应用授权仍需独立成立。

先扩大有效信任，再替换身份

计划内轮换可以先让源站接受新证书所需的信任链，并保留仍在使用的旧身份。确认新证书能够在受控路径建立连接后，再分批替换回源侧配置。每批记录部署完成时间、覆盖节点和实际使用的证书标识。

不要只看配置保存成功。已有长连接可能暂时掩盖新握手失败，需要通过平台支持的方法观察新建连接，同时检查正常请求、健康检查与备用源站。若只有部分节点失败，应保留失败范围，而不是立即反复全量上传证书。

旧证书何时可以退出

只有确认所有需要的回源方已经切换，且回滚方案不会依赖旧证书时，才进入旧身份退出步骤。若多个系统共用签发机构，删除整条CA信任可能影响其他合法客户端，应核对撤销粒度和实际支持方式。

涉及疑似私钥泄露时，流程与正常到期轮换不同：需要缩短暴露窗口，评估受影响身份和访问记录，不能机械保留较长的新旧并存期。紧急处置应由证书和业务负责人共同确定。

交付一份可验证的轮换记录

记录新旧证书标识、信任变更、覆盖实例、新连接验证及旧身份退出结果。回滚也要有明确触发条件，避免故障时临时关闭客户端认证。

与网站证书续期检查一起管理时，最好给回源客户端证书单独设置负责人和到期提醒。评估安全加速SCDN方案时，把mTLS作为需要书面确认的能力项，有助于避免接入后才发现认证流程无法落地。

资料核对日期：2026年10月30日。本文由AI辅助整理，技术事实依据文内原始资料核对。示例与操作清单供实施参考；产品配置和软件维护状态以实施时的官方资料为准。