证书有效期缩短，续证不能再靠人记

2026 年 3 月 15 日，网站证书的最长有效期从 398 天缩到 200 天。最早那批按 200 天签发的证书，到 10 月 1 日就满期了。

这不是最后一次。2027 年 3 月 15 日缩到 100 天，2029 年 3 月 15 日缩到 47 天。免费证书那一档走得更快，Let's Encrypt 从 2027 年 2 月 10 日起默认只发 64 天的证书。

这篇不讲技术原理，只讲一件管理上的事：证书换得越来越勤，谁来换，什么时候换，换失败了谁知道。

下面这些日期与天数，取自 CA/B Forum 的基线要求正文、Apple 的支持文档和 Let's Encrypt 的公告，都是一手材料。

一、证书过期那天，客户看到什么

不是页面变慢，也不是某张图片加载不出来。

浏览器会先拦下整个页面，用一整屏警告告诉你：这个网站的身份没法确认，可能有人在冒充。

多数人看到这一屏就退出了。少数人硬点进去，也会记住这个站不安全。

对生意来说，这等于门在营业时间被锁上了。

如果这张证书是给接口用的，客户看到的不是警告页。对方系统会突然连不上，日志里是一串连接失败，排查的人多半先怀疑网络。

二、这张证书到底是什么

证书是签发机构给你的一份证明，说明它核过这个域名确实归你使用。

证明上写着两样东西：从哪天开始有效，到哪天为止。

浏览器只认有效期内那一份。过了最后一天，同一份文件在浏览器眼里就作废了。

把它想成一张门禁卡：卡在有效期内刷得开，过期那天刷不开，哪怕站在门口的还是同一个人。

三、两百天是从哪一天开始算的

定这条规矩的不是某一家公司，是 CA/B Forum。浏览器厂商和证书签发机构坐在一起，把网站证书的底线写进一份文件，各家都得照做。

这份文件的生效表上写着：

生效日期	新签发证书的最长期限
2026 年 3 月 15 日	200 天
2027 年 3 月 15 日	100 天
2029 年 3 月 15 日	47 天

再往前一档是 398 天。Apple 的支持文档写明，2020 年 9 月 1 日起签发的证书，有效期不能超过 398 天。

从 2020 年到 2029 年，不到十年里，一张证书能用的时间从一年多，缩到了 47 天。

四、免费证书那一档走得更快

Let's Encrypt 是一家提供免费自动证书的非营利机构。它在 2026 年 10 月 7 日的公告里写了自己的时间表。

2027 年 2 月 10 日起，默认签发 64 天的证书。2028 年默认缩到 45 天，公告里还提到可以选更短的 6 天。

最后一张 90 天的证书会在 2027 年 5 月 11 日到期。已经发出去的证书不会被提前吊销。

2026 年 10 月 14 日起，它先在测试环境里发 64 天的证书，让各家先试。

同一份公告还说，域名验证结果的复用期从 30 天缩到 10 天，2028 年缩到 7 小时。这一条只影响自己写程序去申请证书的团队，普通的自动续证工具会自己适配。

五、为什么要把期限缩短

一张证书如果被偷走，或者签发机构发错了对象，它能被拿去冒充你的时间，就是剩下的有效期。

期限越短，出错的窗口越短。代价是换得更勤，这部分工作落在使用证书的一方。

公告里给出的理由也是这两条：减少证书背后的钥匙泄露，减少发错证书带来的风险。这是全行业统一的动作，没有哪家能例外。

六、一年要换几次，算一遍就清楚

按一年 365 天算，一张证书能盖住多少天，就决定了一年至少要换几张。

单张有效期	一年至少换几次
398 天	不到 1 次
200 天	2 次
100 天	4 次
64 天	6 次
47 天	8 次
45 天	9 次

这张表是拿 365 除以每一档的天数，再向上取整。实际换的次数会比表里多，因为没人会等到最后一天才动手。

从一年一张到一年八张，中间只隔了三年。

七、一个站点群，等于每周换一次

多数公司不是一个网站，而是一组：主站、后台、对外接口各自一张，图片和邮件再各一张，测试环境还有一张。

按六张算。47 天那一档，每张一年换 8 次，六张就是 48 次。

一年 52 周。差不多每周都要有人处理一次证书。

这不是夸张，只是把上一节的数乘起来。把六张证书的到期日排开看，任何一个请假的星期都可能撞上。

八、人记日历为什么一定会漏

一年换一次的时候，把日期贴在显示器边上就够了。

一年换八次，还要分散在六张证书上，靠人记就会遇到三种情况：赶上春节、赶上休假、赶上负责的人离职。

更常见的一种是没人知道自己该管。主站有人管，后台有人管，接口和测试环境那两张，谁都觉得是别人的。

证书不会提醒你它快到期了。它只会在到期那一刻停止工作。

九、自动续证为什么也会失败

自动续证不是设一次就永远有效。

签发机构要确认域名还在你手上。确认的方法，可能是查一条域名解析记录，也可能是让你把一个文件放到网站根目录。

改过域名解析、换过服务器、防火墙拦了验证端口、网站根目录换了位置，自动续证就会失败。

举一个常见的例子：公司把域名解析从旧服务商搬到新服务商，验证用的那条记录没有一起搬过去。从那天起，自动续证每次都失败，而页面上一切正常，直到证书到期。

还有几种：账户欠费、调用接口的账号口令过期、服务器磁盘满了、验证文件写不进去。

这些失败大多不会发出声音。等到发现，往往就是到期那天。

十、自动续证要过三关

第一关，程序能自己去申请。也就是用 ACME 这类协议，让软件直接跟签发机构要证书，不用人填表。

第二关，程序能把新证书放到每一处该放的地方，并让正在运行的服务重新读一遍。

第三关，失败时能通知到一个会动手的人，而不是发进一个没人看的邮件列表。

三关缺一关，自动续证就只是自动失败。

十一、换证不只是换一个文件

一个站点前面可能有好几层：负载均衡、网关（挡在网站前面、先接住访问再往里转的那一层）、反向代理，各存一份证书。

负载均衡就是把访问分到几台机器上的那一层。

只换了其中一处，另一处还是旧证书，表现就是有时正常、有时报警告。换个网络、换台设备，结果可能又不一样。

还有一种：证书文件换了，但服务配置里写的还是旧文件的名字。重启之后读到的仍是旧证书，看文件时间会以为已经换过了。

所以换完要验：打开浏览器点那把锁，看证书上的到期日是不是新的。只看首页能不能打开，验不出来。

十二、三种做法，各能撑多久

做法	200 天	100 天	47 天
纯人工，日历提醒	勉强	吃力	撑不住
半自动，程序申请、人工安放	可以	勉强	吃力
全自动，带失败告警	轻松	轻松	可以

这几行的判断是按一年几次、每次要动几个人推出来的，不是测算。

一个人管六张证书，47 天那一档就是每周一次。只要有一次他不在，就要有人接手。

全自动也会失败，但只要告警能送到人手上，就还有时间补。

十三、没有专职运维的小公司怎么办

第一选择，是用托管主机或者内容分发服务自带的自动证书，并确认它真的在续。开通时默认打开，不等于一直在工作。

第二选择，让建站服务商把证书到期前更换写进服务范围，写清多久检查一次、失败通知发给谁。

不要同时开两套。一套自动、一套人工，互相覆盖同一份证书，出问题时更难查是谁改的。

十四、这个月能做的四件事

第一件，盘清有几张证书、各自哪天到期。问供应商要一张清单，或者用扫描工具跑一遍。

第二件，看自动续证上一次成功是什么时候。如果最近一次是几个月前，说明它可能已经悄悄失败了。

第三件，把到期提醒设在 30 天、14 天、7 天，发给具体的人，不要只发给一个公共邮箱。

第四件，找一台不对外服务的机器，完整走一遍换证和重新加载，把步骤写下来。

十五、监控别只盯首页能不能打开

能打开不等于证书没过期。有的浏览器在证书出问题时会先拦下，有的接口调用根本不会弹出提示。

让监控直接读证书的到期日，按天数报警，不要等页面打不开才发现。

还有一点容易忽略：监控程序自己不要和被测网站共用一张证书。证书过期时，一起失效，告警也发不出来。

十六、采购时要问的三句话

第一句，续证是自动的吗。

第二句，续证失败时，通知发给谁。

第三句，换证要不要停机，停多久。

证书本身的价格不是主要成本。短周期下，真正花钱的是每次换证要动的人，和可能停的那几分钟。

十七、证书过期之后，还救得回来吗

救得回来。换上新证书，浏览器会立刻恢复访问，网站本身不用重装。

但过期期间的访问已经丢了。客户来了，看到警告就走，不会等你修好再回来。

事后要查两个数：过期持续了多久，以及那几天有多少访问。这两个数决定要不要给客户发一份说明。

十八、给每张证书留一行台账

台账不用复杂，五列就够：域名、签发机构、到期日、续证方式、失败通知谁。

域名	谁签发	到期日	怎么续	失败通知谁
主站域名	签发机构	某年某月某日	自动	具体岗位
后台域名	签发机构	某年某月某日	自动	具体岗位

每季度对一次。到期日那一列，最近的排在最上面，一眼就能看到下一次该谁动手。

交接的时候，这份台账就是交接单。没有它，接手的人只能从头问一遍。

十九、这件事该谁负责

答案不是某一个人，而是一条固定的分工：系统负责申请和安放，岗位负责接收失败通知，负责人每季度看一眼下一次换证是哪天。

现在证书最长 200 天，2027 年 100 天，2029 年 47 天。

如果今天问不出我们下一次换证是哪天、谁去换，那就说明这件事还没有主。趁现在还有两百天，把自动续证和失败告警接上，后面两次改期就不用再开会。