| 自动化阈值 | 剩余 30 天触发自动续期（常见默认行为） |
|---|---|
| 人工兜底 | 剩余 14 天仍未续期则升级告警 |
| 执行窗口 | 避开业务高峰与发布冻结期；重载动作要验证服务可用性 |
| 失败处理 | 保留旧证书路径直至新证书部署成功，失败不破坏现状 |
到期检查脚本骨架
到期检查脚本骨架
openssl x509 -in /etc/nginx/ssl/site.crt -noout -checkend 2592000 || echo "30 天内到期，检查续期流程"
openssl x509 -in /etc/nginx/ssl/site.crt -noout -enddate续期失败常见原因是验证路径变化（DNS 记录、webroot、80 端口被占用），验证链路要纳入监控。