一次 SSL 证书吊销通知，让我重新检查了自动续期

一次证书吊销通知之后，我重新检查了 Certbot、acme.sh 和 Nginx 的续期部署链路：自动续期不只要能签发，还要能安全地成为线上正在使用的证书。

下午收到云服务商通知，几张免费 SSL 证书因为 CA 合规事件即将被强制吊销。

第一反应当然是换证书。但真正检查下来，情况比通知里简单：几个网站实际上早已切换到 Let’s Encrypt，只有一个还在使用受影响的旧证书。

先把它换掉，HTTPS 恢复到确定的安全状态。

顺手又检查了一遍其他网站，发现另一个更值得处理的问题：证书虽然都在用 Let’s Encrypt，但“用了自动续期工具”和“真的能自动续期并安全上线”不是一回事。

有的 Certbot 定时任务正常，却缺少续期后的部署动作；有的 acme.sh 能签发证书，但部署脚本会直接覆盖线上文件；还有的在 reload Nginx 前没有先检查配置。

最后把几个网站统一整理了一遍：

• 保留现有 Certbot / acme.sh，不重复安装工具；
• 续期后先检查域名、证书链和私钥是否匹配；
• 使用版本化目录和原子切换，避免覆盖到一半出问题；
• nginx -t 通过以后才 reload；
• 保留上一版证书，出问题可以恢复；
• 最后从公网重新验证 HTTPS。

过程中一度把事情设计复杂了，后来重新收敛：证书管理首先要解决的是可靠续期，不是为了自动化再造一套基础设施。

成熟工具、最小改动、必要验证，已经足够解决大多数问题。

现在几个站点的 HTTPS 和自动续期都已经恢复到正常状态。

这次最大的收获反而很简单：

看到“自动续期已开启”，不要急着认为事情已经结束。真正应该验证的是——下一张证书签出来以后，它能不能安全地成为线上正在使用的那一张。

本文记录作者在特定时间、信息条件和经营背景下形成的个人判断，不构成投资、法律、财务或其他专业建议。

如果你有不同的实践或想交流这次决策，可以 给我写邮件。