证书运维排查49 条

证书续期失败排查

ACME 续期失败集中在三类：HTTP-01 挑战路径不可达、DNS-01 记录未生效或权限不足、以及限流与解析问题。按错误类型逐步验证挑战路径，比反复重试更有效。

challenge 类型	HTTP-01 走 80 端口路径校验；DNS-01 校验 TXT 记录
常见错误	unauthorized（校验失败）、DNS problem、rateLimited
预演方式	certbot renew --dry-run；签发前用 --staging 验证流程

排查命令

certbot certificates
certbot renew --dry-run 2>&1 | tail -30
curl -v http://example.com/.well-known/acme-challenge/testfile

WAF 或 CDN 拦截 .well-known 路径、跳转到其他域名，都会让 HTTP-01 校验失败；续期失败要触发告警而不是静默重试。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌