Step 01
先找到真正终止 TLS 的位置
浏览器看到的证书可能来自 CDN、负载均衡器、反向代理或源站。先记录域名解析结果、证书颁发者、序列号和当前到期时间，再确认哪一层负责自动续签和部署。
同一域名可能在 IPv4、IPv6、不同地区或备用入口返回不同证书。只验证本机一次连接，容易遗漏未更新的边缘节点。
Step 02
区分续签成功和部署成功
续签成功表示证书机构已经签发新证书；部署成功才表示线上服务正在返回它。检查证书文件、私钥匹配、完整链和服务重载状态，并确认没有旧容器或旧负载均衡节点继续服务。
自动化任务应记录签发时间、部署目标和重载结果。失败时要有明确告警，而不是只依赖证书机构发送到个人邮箱的通知。
Step 03
验证证书链与协议
使用独立外部扫描检查完整证书链、主机名匹配、协议版本和弱密码套件。内部测试正常但外部失败，常见原因包括中间证书缺失、SNI 配置错误、IPv6 节点遗漏或 CDN 配置尚未发布。
同时访问真实业务页面，确认重定向、HSTS 和证书更新没有破坏旧客户端或接口调用。
Step 04
建立到期前的演练窗口
生产证书应在到期前留出足够修复时间，并定期测试自动续签链路。把证书到期、自动任务失败和线上实际证书时间分别监控，避免只监控文件系统中的证书。
续签完成后保留新旧序列号和验证时间，下一次出现地区性证书异常时可以快速判断是否仍有旧节点。
Action Checklist
执行清单
Questions
常见问题
证书已经续签，为什么浏览器仍显示旧证书？
新证书可能尚未部署到 CDN、负载均衡器、IPv6 节点或旧容器。应比较证书序列号，并逐层确认实际终止 TLS 的节点。
只检查证书到期日可以吗？
不够。还要检查主机名匹配、完整证书链、协议版本、密码套件以及不同地区和地址返回的证书是否一致。
自动续签任务成功是否代表没有风险？
任务成功只证明签发或脚本执行成功。仍需监控线上实际证书，并验证服务重载和所有边缘节点已经生效。