证书更换要走完哪几步
证书临近到期前需要更换：上传续签后的新证书、替换监听上的证书引用、验证线上确实生效，并保留旧证书与配置用于回滚。最容易出问题的不是替换动作本身，而是漏改——同一张证书往往被 CDN、WAF 与多个监听同时引用，漏掉任意一处，都会在到期当天准时暴露为访问异常或证书告警。因此维护一份「证书与入口」的对应清单，比事后补救划算得多。
更换流程
- 到期前完成续签并上传新证书（含完整证书链）
- 在监听器或证书引用位置替换为新证书
- 用 openssl 或浏览器验证线上证书已更新
- 保留旧证书与配置记录，出现问题时快速回滚
- CDN、WAF 及其他使用同一证书的组件逐一核对
基本信息
| 前置准备 | 确认续签证书包含完整中间链 |
|---|---|
| 执行窗口 | 避开业务高峰，预留回滚时间 |
| 验证方式 | openssl 查看主体与有效期，浏览器复核无告警 |
| 回滚 | 保留旧证书与配置记录，可快速切回 |
验证证书主体与有效期
验证证书主体与有效期
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
| openssl x509 -noout -subject -dates
# 检查证书链是否完整
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>&1 | grep -i 'verify\|chain'常见问题与处理
| 问题 | 处理 |
|---|---|
| 个别域名仍用旧证书 | 按清单逐一核对所有入口 |
| 部分客户端握手失败 | 补齐证书链后重试 |
| 更换后未生效 | 确认监听已引用新证书并刷新缓存 |
| 回滚无据 | 变更前留档旧证书与配置 |
同一证书被多个入口引用时，漏更任意一处都会在到期当天暴露问题，建议维护证书与入口的对应清单。
把到期变成可控事件
证书到期是少数可以百分之百预测的故障，仍然频繁发生的原因是缺少流程而不是缺技术。实践上建议同时做三件事：监控每个域名的证书剩余天数并在三十天、十五天、七天分别提醒；把证书与入口的对应关系记录成清单，更换时按清单逐项打勾；对自动续签的证书定期抽查是否真的续上，避免自动流程静默失败后无人发现。做完这三步，证书过期基本可以从故障列表里划掉。