证书有效期一再缩短，站点的续期节奏得跟着改

过去一张证书管一年，到期前一个月续一次，日历上记一笔就行。这个节奏正在被改掉，而且不是某一家机构的要求，是浏览器与证书颁发机构共同定下的规则。

时间表已经定了

CA/浏览器论坛通过的 SC-081v3 提案，把公开信任的 TLS 证书最长有效期分三步压缩：2026年3月15日起降为200天，2027年3月15日起降为100天，2029年3月15日起降为47天。域名验证结果的可复用期同步收紧，2029年起降到10天。第一阶段已经在执行，不是预告。

手工续期撑不住

一年两次还能靠提醒，一年八次就必须靠自动化。麻烦还不只在主站：CDN、负载均衡、邮件网关、远程接入入口、测试环境，凡是挂了证书的地方，都在同一个时钟上。漏掉一个不常用的子域，一样会弹出警告页。

先把清单做全

把所有用到证书的入口列出来：域名、用途、部署位置、负责人、当前到期日、是否自动续期。清单不全，自动化也救不了。这一步最枯燥，也最值得花时间。

自动化怎么落地

主流做法是用 ACME 协议自动签发与部署，到期前自动换新，部署后自动重载服务。关键在于域名验证方式：验证需要解析权限，把这一步交给能改解析的人，否则自动化会卡在最前面。

监控要双通道

平台内的到期提醒，加一条独立的外部探测。只看平台面板，平台本身出故障时，提醒也一起消失了。两条通道互相印证，才算真的有人盯着。

更换那天做什么

新旧证书并存一段时间，确认链路完整、没有混合内容、移动端与老旧系统都能正常握手，再撤下旧证书。撤之前别急着一上线就吊销，留出回退余地。更换窗口避开投放高峰与月度结算。

多域名与通配符

一个证书覆盖多个域名时，任何一个域名变更都可能影响整体。通配符证书方便，但一旦私钥泄露，影响范围也大。按实际需要拆开，别为了省事把所有入口塞进一张证书。

小结

证书从“年度事务”变成“季度事务”，再往后是“月度事务”。清单、自动化、双通道监控、灰度更换，四件事提前做，续期就不会变成事故。冉冉科技在做站点运维托管时，会把证书到期纳入统一提醒。

关于冉冉科技

江苏冉冉信息科技有限公司（品牌“冉冉科技”）成立于2017年，位于江苏省常州市新北区，是一家从事互联网信息服务、电子商务应用与企业应用系统开发的技术服务企业。公司业务涵盖网站建设、网页设计、SEO优化、竞价包年、域名注册、虚拟主机、企业邮箱、整合营销及企业形象策划等，以“只做有效果的网络营销”为服务主张，累计完成三千余起网站建设与服务。