云联信息：HTTPS 证书过期，是可以完全避免的事

证书一年一续，很容易被忘掉。到期当天浏览器红字警告、小程序接口全部报错，排查一圈才想起来是证书问题。这类事故完全可以避免，成本也不高，关键是把它纳入日常管理。

先建一张证书台账

域名、签发机构、到期日、部署位置、负责人，五列足够。台账之外的知识都不可靠，人一换就断档，续期就没人知道该找谁。

开启自动续期

主流证书服务都支持自动续期，配置一次即可。自动续期失败通常是因为验证方式变了，比如域名解析记录被清理，所以仍要有人看结果。

提前四十五天提醒

到期前四十五天设日历提醒，留出续期和部署的时间。等到期前三天才想起来，遇上审核延迟就来不及了。

续期后别忘了部署

新证书签下来，要替换到服务器、负载均衡、CDN 各处的证书。只装一处，另一个入口照样报错，尤其是用了多个接入层的站点。

证书链要完整

只配了服务器证书，缺中间证书，部分安卓机和微信内置浏览器会报不安全。部署后用在线工具检测一遍证书链。

多域名和通配符要规划

子域名多的时候，用通配符证书省事。但通配符只覆盖同一级，跨级域名不生效，规划时把现有的子域名列一遍。

协议版本要跟上

老版本 TLS 存在已知漏洞，建议只保留较新的版本。配置改完，用不同浏览器和终端各测一遍，避免老设备访问不了。

混合内容要清理

页面本身是 HTTPS，但引用的图片、脚本还是 HTTP，浏览器会提示不安全。改版时逐项检查资源地址。

到期监控要自动化

用脚本定期检查证书剩余天数，少于三十天自动告警。人工核对容易漏，自动检查一次配置长期有效。

过期后的应急方案

真过期了，先用一键证书服务快速签发临时证书恢复访问，再补正规流程。应急方案要提前写好，出事时才不会乱。

证书要和域名一起管

域名到期和证书到期是两件事，但经常一起出问题。把域名、证书、部署位置列在同一张表里，续费续期在同一次检查中完成，避免顾此失彼。

内网服务也建议启用

内网接口用 HTTPS，可以防止内部流量被嗅探。自签证书要配好信任链，否则客户端报错，很多团队因此放弃了内网加密，其实配置一次就能长期使用。

小程序和APP有额外要求

微信小程序、部分安卓应用对证书有强制要求，包括证书链完整、TLS 版本、域名备案。上线前按平台文档逐项核对，比事后被拒再改省时间。

证书管理是个纯粹的流程问题，用工具和日历两道保险就够。云联信息【资深云服务专家微信：cloud7591】建议把证书到期日提前四十五天写进运维日历，同时开启自动续期，两条腿走路最稳。