摘要：
当网站出现"不安全"提示或无法正常访问时，域名证书过期往往是首要排查问题。SSL/TLS证书作为网站安全的核心保障，其有效期通常为1-2年。本文将详细解析从证书过期预警到完成更换的...
一、确认证书状态与过期时间
通过浏览器地址栏的锁形图标查看证书详情，所有主流浏览器都支持查看SSL证书的有效期。专业运维人员可使用OpenSSL命令行工具执行"openssl x509 -in certificate.crt -noout -dates"命令精确获取到期时间。对于使用CDN服务的网站，需注意加速节点可能存在证书缓存，实际过期时间应以证书颁发机构(CA)的到期通知为准。
二、选择证书类型与颁发机构
单域名证书适合独立站点，通配符证书(.domain.com)则能保护主域及所有子域。EV证书(扩展验证证书)会显示绿色企业名称但审核严格。建议选择Let's Encrypt免费证书或DigiCert、Sectigo等商业CA，根据业务需求平衡成本与安全等级。特别注意证书链完整性，缺失中间证书会导致部分设备验证失败。
三、生成CSR与密钥更新规范
使用OpenSSL生成新的CSR(证书签名请求)时，务必创建2048位以上的RSA密钥或ECC椭圆曲线加密密钥。CSR包含的组织信息必须与营业执照完全一致，特别是申请OV/EV证书时。建议将私钥存储权限设置为600，避免密钥泄露风险。对于多服务器架构，需要同步更新所有节点的证书文件。
四、证书安装与兼容性测试
Web服务器类型决定安装方式：Apache需配置SSLCertificateFile和SSLCertificateKeyFile，Nginx则要指定ssl_certificate和ssl_certificate_key路径。安装后使用SSL Labs的在线测试工具检查协议支持情况，确保禁用SSLv3等不安全协议。移动端需重点测试Android 7以下和iOS 10系统的兼容性，这些旧系统可能不识别SHA-2签名的证书。
五、配置自动续期与监控预警
Certbot工具支持自动化续期Let's Encrypt证书，配合crontab定时任务可实现无人值守更新。商业证书可通过API接口实现自动续订，但需预先完成企业实名认证。建议配置Nagios或Prometheus监控系统，在证书到期前30/15/7天分级发送告警通知。云平台托管证书服务通常提供自动续期功能，但需注意账户余额充足。
域名证书过期看似简单却暗藏风险，错误的更新操作可能导致服务中断。建议建立证书管理台账，记录每个证书的签发日期、到期时间和关联服务。通过自动化工具与人工复核相结合的方式，既能保证HTTPS加密不中断，又能符合PCI DSS等安全合规要求。定期检查证书透明度日志(CT Log)，可及时发现异常签发行为，筑牢网站安全防线。