SSL 证书到期导致网站无法访问，是运维中常见的意外。问题往往不是“不知道会过期”，而是证书分散在多个服务器、CDN、子域和负责人手里，没有统一监控。等到用户反馈或监控告警，才临时续期、部署、排查，风险很高。
本文讨论证书到期监控与续期流程，不构成具体工具推荐。不同 CA 和自动化工具的接口不同，实施时以实际环境为准。更多 SSL 内容可查看本站SSL 证书栏目。
一、先建立证书清单
把企业所有对外和对内 HTTPS 服务列出来：主站、子站、API、客户门户、测试环境、旧域名跳转、CDN 边缘证书。每条记录域名、证书类型、签发者、有效期、部署位置、负责人和续期方式。没有清单，监控就无从谈起。
清单可以由运维牵头，业务、品牌和市场配合补充。新上线的站点必须登记，停用的域名及时清理。每季度核对一次，避免“幽灵域名”仍在运行却无人负责。
二、监控哪些指标
- 到期时间：至少提前 30 天提醒，关键业务提前 60 天。
- 证书链完整性：中间证书是否缺失，链顺序是否正确。
- 域名匹配：SAN 是否覆盖当前访问域名。
- 签发者与序列号：确认没有被替换成测试证书或旧证书。
- 协议与加密套件：是否符合企业安全基线。
- 部署一致性：多节点、CDN 和回源证书是否同步。
监控应覆盖实际用户访问路径，而不是只检查某一台服务器。对外站点可以从多个区域探测，内部系统可以通过网关或探针检查。告警要送到具体负责人，而不是一个无人查看的群。
三、续期提醒怎么设
证书到期前设置多个提醒节点，例如 60 天、30 天、7 天和 1 天。提醒内容包含域名、到期时间、负责人、续期进度和部署计划。续期不是下单就完成，还要审核、签发、部署和验证，时间要留足。
OV 和 EV 证书涉及组织审核，续期可能需要重新提交材料或电话核验。跨境主体、名称变更、地址变更都会延长周期。把审核时间写进计划，不要按 DV 的速度估算。
四、自动化续期的边界
ACME 等自动化协议可以完成域名验证、证书签发和部署，适合 DV 证书和标准化环境。自动化能减少人工操作，但也带来新的风险：验证凭据保管、私钥权限、部署脚本权限、失败重试和告警。没有监控的自动化，只是把故障推迟。
OV、EV 证书通常需要组织审核，自动化程度有限。可以将签发后的部署自动化，但审核和授权仍需人工。对多域名、通配符证书，确认自动化工具支持 SAN 列表和部署目标，避免续期后漏域名。
五、部署后的验证
- 检查新证书序列号与旧证书不同，有效期正确。
- 验证证书链完整，域名匹配。
- 从外部网络访问，确认 CDN 和负载均衡已同步。
- 检查混合内容和重定向，确认页面没有 HTTP 资源。
- 观察错误日志和用户反馈，确认没有异常。
- 更新证书台账，记录部署时间和验证人。
部署后不要立即删除旧证书，保留一段时间以便回滚。回滚方案要提前测试，不能等到故障时才找旧文件。对多节点环境，按批次部署并逐批验证。
六、责任与交接
证书管理不能依赖某一个人的记忆。指定主负责人和备份负责人，交接时移交台账、账号、部署脚本和续期记录。负责人离职或调岗时，更新监控告警和 CA 联系人。
对集团多站点，可以按业务线设分负责人，总部统一汇总。每月开一次短会，核对即将到期证书和新增域名。把证书管理纳入运维例行工作，而不是临时任务。
七、自动化失败怎么处理
自动化续期失败常见于验证记录未更新、DNS 接口权限变化、部署脚本路径错误、目标节点不可达或证书链不完整。监控应区分“签发失败”和“部署失败”：签发失败检查域名验证和 CA 接口，部署失败检查服务器、权限和配置。
失败后不要反复重试同一任务而不看日志。先确认旧证书是否仍有效，保留回滚空间；再修复根因，重新执行。对关键业务，设置人工兜底流程，自动化连续失败时通知负责人手工处理。
续期成功后抽查实际访问的证书序列号，确认 CDN、负载均衡和多节点都已更新。只看到“任务成功”不代表用户侧已经切换。把验证结果写入台账，形成闭环。
八、常见问题
问：证书还有 30 天到期，为什么现在就要续？
答：OV/EV 审核、材料补正和部署验证都需要时间，提前启动可以避免截止前故障。
问：自动化续期后还需要人工检查吗？
答：需要。自动化可能失败、漏域名或部署到错误节点，监控和抽检不能省。
问：旧证书到期后还能保留吗？
答：可以归档，但不应继续部署。保留旧文件用于排查和回滚，不作为线上证书。
八、结语
SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业准备 SSL 证书材料、安排续期和沟通审核问题。证书签发由 CA 按规则决定，部署与监控由企业运维负责。把清单、提醒、验证和交接四件事固定下来，证书到期才不会变成突发事故。