| 续期窗口 | 公信 CA 证书有效期多为 90 天，建议剩余 30 天左右开始尝试 |
|---|---|
| 错峰手段 | 定时任务随机延迟（如 systemd timer 的 RandomizedDelaySec） |
| 告警要求 | 退出码非 0 通知；同时核对部署钩子是否成功 |
certbot 续期与 systemd 定时器
certbot 续期与 systemd 定时器
certbot renew --quiet --deploy-hook 'nginx -s reload'
systemctl cat certbot.timer | grep -i random续期成功不等于生效：reload 失败时旧证书会一直使用到过期，告警需要覆盖部署环节。