服务器证书续期全流程：再也不用临时抱佛脚救崩网站

上周帮一个开跨境独立站的朋友救急，他网站突然打不开，消费者付不了款，急得满头汗。查了半天才发现，就是服务器证书过期忘了续，前后停了3个小时，损失快2万。他说之前收到过提醒，以为还有半个月不急，结果忙忘了。

很多小站长、运维新人都踩过这个坑。证书没过期的时候啥事没有，一过期直接整站访问受限，连搜索引擎都要降权。今天就把续期的全流程拆明白，哪怕你是刚接触网站的新手，照着做也不会出错，再也不用出事故熬夜救火。

1. 提前7天做准备，别等崩了才动手

续期这事真没必要卡到期当天弄，提前一周准备稳得很，出了问题也有缓冲时间。

1.1 先查准到期时间，别信单一提醒

别光等云厂商的短信、邮件提醒，有时候系统延迟会漏发。自己查最靠谱：打开你的网站，点地址栏左边的小锁图标，再点「证书」选项，就能看到具体的到期时间。要是你有好几个域名，直接搜免费的SSL检测工具，输域名批量查，10秒出结果。

避坑提醒：要是你的网站用了CDN、WAF，要单独查节点的证书有效期，别只查源站的，不然节点证书过期照样崩站。

1.2 先备份旧证书，出问题能秒回滚

动手续期之前，先把服务器上的旧证书拷到本地存好。一般证书就是两个文件：后缀是crt的证书文件，后缀是key的私钥文件。哪怕新证书换错了，把旧文件换回去重启服务就行，不会长时间停站。

要是你忘了旧证书存在哪，直接看nginx或者apache的配置文件，搜ssl_certificate就能找到路径。

2. 两种续期方式，照着选直接用

现在的证书续期根本不用自己生成CSR文件，后台点几下就能搞定，分两种情况对应不同操作。

2.1 免费证书续期，适合个人站、小博客

如果你用的是Let's Encrypt或者云厂商的免费证书，续期全程不花钱，10分钟就能搞定：

• 第一步：登录云服务商后台，找SSL证书服务，找到你要续的那张证书，点「续期」按钮
• 第二步：验证域名所有权，选DNS验证最省事，按提示给域名加一条TXT解析记录，等10分钟审核就过
• 第三步：下载新的证书文件，替换到服务器对应的目录，重启nginx或者apache服务就完了

嫌每年手动续麻烦的，直接开自动续期：云厂商后台直接有开关，点一下就行。自己搭的服务器装个certbot工具，加个定时任务每月跑一次就行，代码就一行：

``` certbot renew ```

避坑提醒：免费证书自动续期不是万无一失，要是你改了域名DNS解析，可能会验证失败，最好每季度手动查一次有效期。

2.2 付费证书续期，适合电商站、企业官网

涉及支付、用户隐私的网站一般用付费证书，续期也不复杂：

• 第一步：找之前买证书的服务商提交续期申请，付完费就行，尽量别换品牌，不然要重新走资质审核
• 第二步：按要求提交企业营业执照、域名所有权证明，一般1-3个工作日就能审核完
• 第三步：拿到新证书之后，除了源站，CDN、负载均衡、企业邮箱这些用到证书的地方都要同步替换

举个例子，之前有个客户只换了源站的证书，忘了换支付子域名的，结果用户付不了款，亏了十几万。所有用到该证书的服务都要列出来挨个核对，别漏。

3. 替换完必做3件事，防止白忙活

别换完证书就觉得完事了，下面3步没做，照样可能出问题。

3.1 无痕模式测访问，别被缓存骗了

换完之后别用平时的浏览器测，本地缓存可能还存着旧证书的信息，你以为成功了，其实用户访问还是报错。开无痕窗口访问网站，再点小锁看证书有效期，是不是更新成新的了。多换几个运营商的网络测，比如手机切流量、家里换wifi都试试。

3.2 测试全链路功能，别只看首页能打开

首页能打开不代表所有功能都正常。比如支付接口、API接口、后台管理系统，这些子域名要是用的同一张证书，也要挨个点一遍测试。要是有小程序、APP绑定了域名，也要测一下接口能不能正常调用，别用户打开APP全是加载失败。

3.3 设好下次提醒，别今年记了明年忘

这次搞定了，下次别又忘。手机日历设两个提醒，一个提前14天，一个提前7天，到点就处理。公司的话把证书续期加到运维月度 checklist 里，每季度排查一次所有证书的有效期，别让同一个坑踩两次。

其实服务器证书续期真没什么技术难度，90%的事故都是因为懒、忘事。你现在看完就可以打开自己的网站，点小锁看看还有多久到期，要是剩不到1个月，今天抽10分钟就给办了。真要是操作的时候遇到问题，留个言我帮你瞅一眼，总比网站崩了赔钱强。