一套证书运维规范：全部走 ACME 自动签发，以及它管不到的地方
手工申请证书是线上证书事故的主要来源。本文给出一套以 ACME 自动签发为核心的运维规范，涵盖私钥管理、续期窗口、告警阈值和部署审计，并说明它在内网私有 CA、EV 证书、mTLS 客户端证书等场景下不适用。
阅读全文CERTBOTX / 证书知识库
SSL/TLS 资讯与实战指南
从证书签发到部署复核，阅读 SSL/TLS 运维指南、DNS-01 验证教程、故障复盘和安全实践。结合免费检测工具，解决 HTTPS 证书管理中的具体问题。
最新文章
81 篇 · 1 / 5 页证书半夜过期告警：Let's Encrypt 自动续期为什么没跑，怎么查
线上证书到期但 certbot 没自动续上，多数不是签发失败而是续期链路某环断了。本文按从快到慢的顺序给出排查路径：确认续期器是否在跑、用 dry-run 复现、处理验证方式变更和部署未生效这几类常见断点。
阅读全文证书到期不再靠运气：一套能落地的巡检与告警运维规范
讲清一套证书生命周期运维规范：统一台账、30/14/7 天分级告警、自动续签加失败兜底，以及它不适用的边界场景，适合中小团队直接照做。
阅读全文用 testssl.sh 给线上站点做 TLS 体检：它查什么、怎么跑、结果怎么看
浏览器的小绿锁只能说明证书没过期，协议版本、弱密码套件、证书链问题都藏在底下。本文讲清 testssl.sh 的检查范围、常用跑法和输出中哪些结果该紧张、哪些可以先放放。
阅读全文证书明明续签成功，线上却还是过期了：一次 deploy hook 漏配的复盘
一次典型的 TLS 故障复盘：证书按时续签，告警却照样响。根因不在签发，而在证书落盘后服务没有重载，以及节点间部署不同步。记录排查路径和后续的预防做法。
阅读全文证书到期前 30 天就该重签：一条能落地的证书运维规范及其边界
给出一条可执行的证书生命周期规范：到期前 30 天续签、签发与部署分离、部署必须可审计、失败要有人收到告警。同时说明这条规范在哪些场景不适用，比如短寿命证书、内网 CA 和手动流程遗留系统。
阅读全文把证书续签窗口定在到期前 30 天：一条可落地、也有边界的运维规范
证书事故大多不是签不出来，而是没人说清楚"什么时候续、续失败谁管"。本文给一条具体规范：到期前 30 天触发重签、失败三次即告警、保留回滚窗口，并说明它在哪些场景下不适用，比如多团队协作和第三方托管域名。
阅读全文证书明明没到期，部分用户却打不开网站：一次中间证书缺失故障复盘
复盘一起典型的 TLS 故障：证书在有效期内，桌面浏览器正常，但部分移动端和 API 客户端报证书错误。根因是服务器漏发中间证书。记录排查过程、为什么问题具有迷惑性，以及如何用自动化签发部署避免重蹈覆辙。
阅读全文域名不能开 80 端口时，DNS-01 和 HTTP-01 到底怎么选
很多团队纠结证书验证方式，其实答案取决于场景：要通配符证书、80 端口被封、或源站藏在 CDN 后面时，HTTP-01 往往走不通。本文按实际部署条件对比 DNS-01 与 HTTP-01 的取舍，并说明自动化续期时的关…
阅读全文证书续约别等 30 天：一条能落地的提前更换窗口规范
很多证书事故不是忘了续，而是续约窗口卡得太死。本文给出一条可落地的提前更换规范：按证书有效期比例设定续约时间点，预留失败重试和人工介入的缓冲，并说明这条规范的适用边界。
阅读全文泛域名证书该用 DNS-01 还是 HTTP-01？从一次藏在 CDN 后面的验证失败说起
HTTP-01 和 DNS-01 都能完成 ACME 域名验证，但在泛域名证书、CDN 前置和多机部署场景下取舍完全不同。本文结合常见故障现场，说明两种验证方式的边界、小坑和选择依据。
阅读全文证书续期失败为什么总是在深夜才被发现
分析 ACME 自动续期链路中常见的失败点——HTTP-01 被重定向拦截、DNS-01 凭证过期、部署环节断链——以及续期成功后私钥长期不换带来的风险，给出监控和处置思路。
阅读全文用 testssl.sh 扫完证书和协议配置后，哪些结果值得当真
一次 SSL/TLS 巡检中 testssl.sh 输出几十行，真正需要处理的往往只有几类。本文说明它的检查范围、常见用法和如何区分协议降级、证书问题与可忽略的低危提示。
阅读全文自动化续期场景下，HTTP-01 和 DNS-01 到底怎么选
HTTP-01 和 DNS-01 都能拿到 Let's Encrypt 证书，但在自动化续期、通配符证书和负载均衡后端环境里，两者的坑完全不同。本文按实际部署场景拆解取舍，帮你选出能在凌晨两点不出事的那个。
阅读全文用 DNS-01 CNAME 委托给内网域名签发证书：从挖坑到验证签发
内网或防火墙后的域名无法走 HTTP-01 验证时，可以把 _acme-challenge 记录 CNAME 委托到一个可自动管理的 DNS 区域，用 DNS-01 完成签发。本文给出前置条件、具体配置步骤和签发前后的验…
阅读全文用 openssl s_client 定位「证书链不完整」导致的部分客户端报错
部分手机或 API 客户端报证书错误、浏览器却正常，多半是中间证书没配全。本文演示用 openssl s_client 和在线验证确认问题，并给出 Nginx 下补全证书链的具体做法。
阅读全文证书明明自动续期成功了，线上却还是过期：一次"续了但没装上"的故障复盘
一次线上证书过期告警的复盘：ACME 续期任务正常跑完、新证书已落盘，但 nginx 加载的还是旧证书。记录症状、定位过程、根因和几条防止再犯的具体做法。
阅读全文证书续期前夜才发现 DNS-01 委托断了：自动签发里最容易被忽视的安全边界
ACME 自动续期把证书过期事故变成了低频事件，但 DNS-01 的 CNAME 委托一旦失效或被误改，问题往往在深夜才暴露。本文拆解委托配置的真实风险点与日常核对方法，帮你把续期事故挡在告警之前。
阅读全文把 Nginx HTTPS 配扎实：证书路径、TLS 参数、HSTS 与验证步骤
从证书文件落盘到 listen 443 ssl、TLS 版本与加密套件、HSTS 响应头的逐项配置，说明每一步的前置条件和验证方法，并覆盖 80 端口跳转、OCSP Stapling 与续期后 reload 的常见坑。
阅读全文通配符证书必须用 DNS-01 吗？HTTP-01 与 DNS-01 在真实运维里的取舍
HTTP-01 简单直接但签不了通配符，DNS-01 能签通配符却要求动 DNS。本文按实际场景拆开两种 ACME 验证方式的边界、常见坑和自动化思路，帮你按域名结构选对验证方式。
阅读全文