SSL证书这个东西，装完的那天起就没人记得它有到期日。直到某天客户打电话说「你网站打不开了，显示不安全」，或者小程序接口集体报错、微信支付回调失败，才发现证书过期了。证书过期不是小事：浏览器直接红色警告，访客流失不说，涉及支付的接口会全部停摆。这篇讲过期后怎么紧急处理、证书怎么续、以后怎么不再忘。

证书过期会出现什么

先对照自查，过期引发的问题有轻重两层：

轻的一层是浏览器警告。Chrome、Edge访问时弹「您的连接不是私密连接」，要点「高级—继续前往」才能进。大部分普通访客看到红色警告扭头就走，官网流量当天掉一半很正常。

重的一层是接口和回调失败。小程序后台请求的接口域名要求HTTPS，证书过期后所有网络请求直接被拒，小程序等于瘫痪；微信支付的支付结果回调也走HTTPS，通知不送达，订单状态对不上；企业微信、钉钉等平台配置的回调地址同样会失效。见过做电商的客户证书过期三天，小程序三天没订单才发现，损失比证书钱大得多。

紧急处理：重新签发一张证书

过期不能「续」，只能重新签发一张新的换上去。现在的免费证书有效期一年（付费的可选一两年），流程比想象中快，熟练的话半小时搞定：

1. 确认域名管理权。签发证书要做域名验证，通常用DNS验证：证书服务商给你一条TXT解析记录，去域名解析后台加上，验证通过即可。用得多的免费证书来源：云厂商（阿里云、腾讯云控制台每年有免费额度）、Let's Encrypt。

2. 选择证书类型。单个域名用单域名证书；主域加多个子域（www、api、m等）用泛域名证书一张搞定，省得每年挨个换。

3. 下载并部署。按你的Web服务器类型（Nginx、Apache、IIS）下载对应格式，替换服务器上的旧证书文件，Nginx的话执行重载命令即可，不用重启整机。

4. CDN和负载均衡别忘了。如果用了CDN，CDN节点上的证书也要同步更新，很多「换了证书还报错」的案例，错就错在只换了源站。

部署后怎么验证

换完不要想当然，用三招确认到位：

• 浏览器无痕模式访问官网，确认地址栏是锁形图标，点开看证书有效期是新日期。

• 在线SSL检测工具（各大云厂商都有免费的）扫一遍，关注「证书链不完整」这个常见问题——中间证书没配全，桌面浏览器可能正常，手机端和老设备照样报错。

• 小程序端实际走一遍支付和登录流程，确认接口恢复。

签发环节的三个常见卡点

实际帮客户换证书，卡壳多半不在部署，而在签发验证这一步：

• DNS验证记录没生效就急着验证。TXT解析加完通常要几分钟到半小时生效，验证太早会报「域名验证失败」。可以先nslookup查一下记录有没有传播开再点验证。

• 主域和www域没一起签。只给 example.com 签了证书，用户访问 www.example.com 照样报错。签发时把两个域名都填上，或者干脆用泛域名。

• 服务器时间不对。服务器系统时间偏差太大，HTTPS握手直接失败，换了新证书也报错。老机器装完系统没同步时间的，顺手把NTP时间同步打开。

以后怎么不再忘

证书一年一换，靠人记是记不住的，上机制：

• 日历提醒双保险：证书到期前30天和前7天各设一个提醒，日历 app 免费好用。

• 开启自动续期：Let's Encrypt配acme.sh或certbot之类的工具，每60天自动续签，一次配好基本告别手动；云厂商的证书很多也支持自动部署。

• 监控告警：用拨测平台（免费的就够用）对域名做HTTPS监控，证书剩余有效期少于15天时发短信或群消息提醒。花十分钟配置，换一个不再裸奔的安心。

• 证书信息登记表：公司域名多的话，列一张表记清楚每个域名用什么证书、什么时候到期、部署在哪几台服务器上，交接工作也不怕断档。

还有一点顺带说：证书到期前的几天，浏览器地址栏锁图标旁可能提前显示「即将过期」提示，看到这个提示别拖，当周就把续签办了。HTTPS如今是官网和小程序的基础设施，维护成本这么低的事，别让它变成事故。

关注左左，你需要一个懂技术的朋友。