站点的证书还能撑几年？有效期腰斩到 47 天，我捋了张续签清单

admin

一张证书过期，能把 App 干趴

2026 年 1 月 6 日，macOS 上一批罗技用户发现 Logi Options+ 打不开了——卡加载界面，鼠标侧键、自定义手势全失效。一开始大家往系统兼容上猜，结果罗技自己 FAQ 出来：App 运行要用的那张证书过期了。更难受的是，这张证书还管着 App 自带的更新器，用户连"点一下更新"这条路都堵了，只能手动去下补丁。

干运维的看到这条，第一反应不是"罗技怎么能这样"，是"这事儿我太熟了"。写死的到期日、忘了续签、没有自动轮换——这三样凑齐，任何系统都会在某个平平无奇的日子突然"到点就炸"。

而且这张网只会越收越紧

CA/B Forum 的时间表已经定了：

· 2026-03-15 起，SSL/TLS 证书最长有效期从 398 天砍到 200 天；
· 2027-03-15 起，压到 100 天；
· 2029-03-15 起，47 天。

47 天是什么概念？一个半月换一轮，一年换七八次。靠人拿表格记，早晚出一次"到点就炸"。国内几朵云也同步改了口径，把多年期证书转成"订阅服务"，订阅期内自动签好几张连续证书——但这里有个坑：签发不等于部署，那几张新证书还是得你重新部署一轮才真生效。自动化和实际生效之间那道缝，就是事故最常钻出来的地方。

我给手上站点捋的续签清单

1. 到期监控：所有对外证书的到期日进监控，按 30 / 14 / 7 / 3 / 1 天做多级告警，别只留一条"提前 7 天提醒"。
2. 续签要能看到"真的换了"：自动续签+自动部署之后，一定回读线上那张实际生效证书的到期日，别只信面板上那句"已完成"。
3. 一张都别漏：内部系统、API 网关、中间件、K8s 的 ingress，甚至某些工具自带的更新器，都算。
4. 留手动兜底：真出事时得有离线包、手动补丁这条路，别让"更新器跟着一起失效"把自救口子也堵死。

结论很朴素：能自动的别手动，能回读的别只信面板上那句"已完成"。这条我也不是天生清醒，是被坑过才长的记性。