SSL证书续期:自动续期与付费证书续订步骤

SSL证书如何续期:设置 Let's Encrypt 自动续期,分步续订付费证书,并提前应对证书有效期不断缩短的趋势。

常见问题

如何续期 Let's Encrypt 证书?

运行 `sudo certbot renew`。它只会续期临近到期的证书,因此可以放心地定时运行。大多数 Certbot 安装已自带定时任务来完成这项工作,而 `sudo certbot renew --dry-run` 会在 Let's Encrypt 的测试(staging)服务器上演练整个流程,且不会保存测试证书。

2026 年 SSL 证书的有效期是多久?

根据 CA/Browser Forum 的 SC-081v3 投票提案,公开受信任证书的最长有效期在 2026 年 3 月 15 日之前为 398 天,自该日起缩短为 200 天,2027 年 3 月 15 日降至 100 天,2029 年 3 月 15 日降至 47 天。部分证书颁发机构签发的有效期会略短于上限,Let's Encrypt 也有自己更短的时间表。

SSL 证书过期会怎么样?

浏览器会向访问者显示整页安全警告,许多浏览器在没有手动确认的情况下会拒绝继续访问。对证书校验严格的 API 客户端,以及支付、登录类集成可能直接报错。续期并安装新证书即可解决,新证书生效后访问者无需做任何操作。

续期和重新购买证书是一回事吗?

对大多数付费证书来说,续期就是为同一域名签发一张新证书,通常需要重新验证,并使用新的或沿用旧的 CSR。有些服务商会为续期提供折扣或捆绑优惠,也有些按正常购买处理。请以服务商的续期政策为准,不要默认一定有折扣。

为什么我的 Let's Encrypt 自动续期不工作了?

常见原因包括:定时器或 cron 任务被删除或禁用、Web 服务器不再响应 80 端口上的 HTTP 验证请求、DNS 发生变更,或者证书是用 manual 选项创建且没有配置认证钩子(hook)。通配符证书需要 DNS 插件才能自动续期。请运行 `sudo certbot renew --dry-run`,并查看它输出的错误信息。

简短回答: 如果你的证书来自 Let's Encrypt,运行 sudo certbot renew(或者让 Certbot 安装时已创建的定时任务自动完成)。如果证书是从证书颁发机构或经销商处购买的,请在该服务商的控制台中续订,重新验证域名,并把新的证书文件安装到你的服务器或主机上。然后在浏览器中确认新的到期日期。证书的最长有效期也在不断缩短,越早实现自动化,需要手动操作的次数就越少。

第一步:弄清楚证书何时到期、在哪里到期

在续期之前,先确认你现在用的到底是什么证书。

  1. 在 Chrome 中打开你的网站,点击挂锁图标或网站信息图标,再打开证书详情,记下“有效期至”(Valid to)日期和颁发者。
  2. 或者在终端中检查:echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. 如果颁发者是 Let's Encrypt,请参考下文的自动续期部分。如果是其他机构,你很可能使用的是付费证书,需要按付费证书的续订步骤操作。
  4. 如果你的网站运行在托管主机或建站平台上,平台通常会自行处理续期。在动文件之前,先找找 SSL 或域名安全相关的设置。

不确定自己用的是哪种类型?SSL 证书类型指南介绍了域名验证、组织验证和扩展验证,什么是 SSL 证书词条则讲解了基础知识。

哪种续期方式适合你

你的情况怎么做工作量
在自己的服务器上通过 Certbot 使用 Let's Encrypt确认 certbot renew 定时任务在运行,然后用 --dry-run 测试较低,基本只需设置一次
证书来自付费证书颁发机构或经销商在服务商控制台续订、完成验证、安装新文件手动操作,每个有效期都要重复
使用内置 SSL 的托管主机或建站平台查看 SSL 设置,通常会自动续期极少
证书部署在 CDN 或负载均衡器之后在 CDN 或负载均衡器上续期,而不是在源站视具体配置而定

续期 Let's Encrypt 证书(自动续期)

Let's Encrypt 证书从设计上就是由软件来续期的。Certbot 官方文档指出,大多数安装都已预先配置好自动续期,通过定时任务周期性地运行 certbot renew。

操作步骤

  1. 检查定时任务是否存在。 在使用 systemd 的机器上,运行 systemctl list-timers,查看是否有 Certbot 的定时器。其他系统请检查 crontab。Certbot 文档对这两处都有说明。
  2. 运行演练(dry run)。 sudo certbot renew --dry-run 会在 Let's Encrypt 的测试(staging)服务器上测试续期流程。它会获取测试证书但不会保存到磁盘,因此在线上站点运行也很安全。
  3. 修复它报告的问题。 典型故障包括:防火墙拦截了 80 端口、Web 服务器配置不再提供验证路径,或者 DNS 指向了别处。
  4. 需要的话立即续期。 sudo certbot renew 只会处理临近到期的证书,所以反复运行也不会有副作用。
  5. 续期后重新加载 Web 服务器(如果你的配置不会自动完成)。Certbot 支持部署钩子(deploy hook),只在证书确实被续期时才运行。
  6. 验证新的到期日期,可以用浏览器,也可以用上面的 openssl 命令。

自动续期不会自行生效的情况

  • 使用 Certbot 的 --manual 选项创建的证书不会自动续期,除非你配合使用认证钩子脚本。
  • 通配符证书需要 DNS 验证,如果希望无人值守续期,就需要为你的 DNS 服务商配置 DNS 插件。
  • 经过迁移、重建或克隆的服务器,往往会丢失定时器或 cron 条目,尽管证书文件被一并带了过来。

设置能适应更短有效期的续期计划

Let's Encrypt 已宣布,将在 2027 年 2 月 10 日把默认的“classic”配置文件(profile)改为 64 天证书,并在 2028 年 2 月 16 日改为 45 天证书。其建议是:不使用 ACME 续期信息(ARI)的客户端不应按写死的时间表续期,固定每 60 天续期一次将不再够用。Certbot 的 renew 命令会根据剩余有效期来判断是否续期,这是更稳妥的做法。请保持 Certbot 为最新版本,不要再用自己编写的固定间隔脚本去包装它。详情见 Let's Encrypt 关于有效期的公告。

续订付费 SSL 证书

付费证书不会自动续期,除非你的服务商或主机已设置了自动续订。各家服务商的按钮和菜单名称不尽相同,因此请把下面的内容当作通用的操作顺序,具体界面请查阅服务商的文档。

  1. 在服务商账户中发起续订。 找到临近到期的证书,选择续订(renew)、重新签发(reissue)或再次下单。
  2. 生成 CSR。 许多服务器和控制面板都能创建证书签名请求(CSR)。有些服务商允许沿用旧的 CSR,但通常更好的习惯是生成新的密钥对。
  3. 完成域名验证。 通常需要通过发送到指定邮箱的邮件、DNS 记录或网站上的文件来证明你拥有域名的控制权。组织验证和扩展验证证书可能还要审核书面材料,请更早开始办理。
  4. 下载签发的文件。 通常会拿到证书本身以及中间证书(证书链)包。
  5. 安装到你的服务器、主机或 CDN 上,然后重启或重新加载 Web 服务器。
  6. 测试。 在全新的浏览器窗口中打开网站,检查到期日期,并确认没有出现“证书链不完整”或混合内容警告。
  7. 更新提醒;如果你更换了服务商,记得取消旧证书的自动续订。

如果你在比较服务商,或想知道续订大概要花多少钱,请参阅 SSL 证书价格指南。域名注册的续费是单独计算的,详见域名续费价格指南。

证书有效期越来越短(2026 年 11 月核实)

CA/Browser Forum 于 2025 年 4 月通过了 SC-081v3 投票提案,逐步缩短公开受信任 TLS 证书的最长有效期:

签发日期最长有效期
2026 年 3 月 15 日之前398 天
2026 年 3 月 15 日200 天
2027 年 3 月 15 日100 天
2029 年 3 月 15 日47 天

实际影响是:凡是手动续期的证书,现在大约每年要处理两次,从 2027 年 3 月起约每年四次,到 2029 年约每年八次。域名验证的复用期限也会缩短,所以你不能再依赖旧的验证结果来省略某个步骤。这些限制适用于公开受信任的证书,私有或内部 CA 遵循各自的规则。

如果你仍在手动续期,现实的选择是:改用支持自动化签发(ACME)的证书颁发机构或主机,或者在网站前面放置由主机或 CDN 提供的托管层。

SSL 续期清单

可以把下面的内容复制到团队的任务跟踪工具里:

`` [ ] List every certificate: domain, issuer, expiry date, where it is installed [ ] Note who owns each renewal (name, not a team alias) [ ] Set reminders at 30 and 14 days before expiry [ ] Let's Encrypt: confirm the Certbot timer or cron job exists [ ] Let's Encrypt: run certbot renew --dry-run and resolve errors [ ] Wildcards: confirm a DNS plugin or hook is configured [ ] Paid certs: confirm the validation contact email or DNS access still works [ ] Generate a new CSR and key if the vendor requires or recommends it [ ] Install the certificate AND the intermediate chain [ ] Reload the web server, CDN or load balancer [ ] Test the site in a fresh browser and check the new expiry date [ ] Test subdomains, www and non-www, and any API endpoints [ ] Remove expired certificates and retire old reminders [ ] Plan for 200 days now, 100 days from March 15, 2027 ``

常见的续期错误

  • 续错了层。 如果由 CDN 或负载均衡器终止 TLS,续期源站证书不会改变访问者看到的内容。
  • 忘记证书链。 只安装叶子证书,可能在某个浏览器中正常,换一个浏览器或 API 客户端就失败。
  • 没有重新加载服务器。 新文件已经在磁盘上,服务器却仍在使用旧证书。
  • 验证邮件发给了已离职的员工。 请确保联系邮箱有人在监控。
  • 只依赖一个提醒。 日历提醒很容易被忽略。自动化加上外部到期监控才更可靠。

如果你还在考虑托管在哪里

包含 SSL 续期的托管服务可以省去这项琐事。We.Inc 的免费方案支持你用现成模板发布最多三个网站,例如 Nora Kessler Studio 或 Greenfield Renewables;根据提示词起草网站的 AI 建站功能从 Starter 方案起提供,每月 $20。你可以在这里注册。

常见问题

如何续期 Let's Encrypt 证书?

运行 sudo certbot renew。它只会续期临近到期的证书,因此可以放心地定时运行。大多数 Certbot 安装已包含定时任务,而 sudo certbot renew --dry-run 可以在不保存证书的情况下测试续期流程。

2026 年 SSL 证书的有效期是多久?

2026 年 3 月 15 日之前上限为 398 天,现在为 200 天。2027 年 3 月 15 日将降至 100 天,2029 年 3 月 15 日降至 47 天。部分证书颁发机构签发的有效期会略短于上限。

SSL 证书过期会怎么样?

浏览器会显示整页安全警告,严格校验的 API 客户端也可能失败。安装续期后的证书即可为访问者解决问题,他们无需做任何操作。

续期和重新购买证书是一回事吗?

通常续期就是为同一域名新签发一张证书,并重新进行验证。价格和折扣因服务商而异,请以你所用服务商的政策为准。

为什么我的 Let's Encrypt 自动续期不工作了?

请检查是否缺少定时器或 cron 条目、80 端口被拦截、DNS 发生变更、manual 模式创建的证书没有配置钩子,或者通配符证书没有 DNS 插件。certbot renew --dry-run 会显示具体的错误信息。

免费开始 · 无需信用卡

Umair Ali Sadaqat

We.Inc 创始人

Umair 是 We.Inc 的创始人。他撰写有关 AI 建站、代理机构以及经营网站工作室的文章。

准备好打造出色的作品了吗？

加入 15,000+ 家使用 We.Inc 在一个平台上完成上线、增长和自动化的企业。

免费开始

无需信用卡 · 联系销售

相关内容: 博客

产品

适用对象

功能

资源

公司

网站地图