- 到期前完成续签并上传新证书（含完整链）
- 在监听器或证书引用位置替换为新证书
- 用 openssl 或浏览器验证线上证书已更新
- 保留旧证书与配置记录，出现问题时快速回滚
- CDN、WAF 及其他使用同一证书的组件逐一核对
验证更换后的证书主体与有效期
验证更换后的证书主体与有效期
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
| openssl x509 -noout -subject -dates同一证书被多个入口引用时，漏更任意一处都会在到期当天暴露问题，建议维护证书与入口的对应清单。