子专题 · 续期与监控
续期与监控：证书不会自己续命
装好证书只是开始：这个专题解决「以后不用再管」——确认自动续期真的生效，再给证书和域名各设一个闹钟。
本分册目录
3 篇内容
旗舰内容排在前面；每篇都标注最后核实日期。
证书有效期 90→64→45 天
90 天不是永久：Let's Encrypt 计划 2027-02-10 起缩到 64 天、2028-02-16 起 45 天，全行业最长期限也在按 200→100→47 天收紧——「买一年顶一年」的时代结束了。本文讲清时间表、原因，以及对企业网站的四个实际影响。
确认自动续期真的有效
装的时候勾了「自动续期」不等于它现在还活着：按 6 条路线逐条对照——Certbot 的 dry-run 与定时器、宝塔的续签状态、cPanel 的 AutoSSL、Cloudflare 的边缘证书、win-acme 的续期计划——再排查四类最常见的续期失效原因。
证书与域名到期监控
Let's Encrypt 已停止发送到期提醒邮件——提醒这件事必须自己安排：证书用官方推荐的免费监控（最多 250 张）或日历土办法，域名用注册商自动续费加日历兜底；附到期日检查命令、监控配置清单与监控失效自查。
🤖 把这篇交给你的 AI 智能体
复制后粘贴给你常用的 AI 智能体（豆包、ChatGPT、Claude、Codex 等），它会按同样的步骤带你做完，并在每一步改动前先征求你的同意。不要把密码、密钥发到对话里。
查看将要复制的提示词
这个专题帮你做一件事
让证书「以后不用再管」。 装好证书不等于一劳永逸：公开信任证书现在最长只有 90 天，而且会越来越短。这个专题解决三件事——搞懂有效期为什么在缩短、逐条确认你的自动续期真的生效、给证书和域名各设一个到期监控。
先搞懂：证书为什么「会自己过期」
证书不是永久的，它有一个明确的到期时刻，到点就失效——浏览器看到过期证书，直接整页红色警告。三个事实决定了「过期」必然会发生：
| 事实 | 说明 | 来源 |
|---|---|---|
| 免费证书有效期 90 天 | Let's Encrypt 现在签发 90 天；官方计划 2027-02-10 起缩到 64 天、2028-02-16 起缩到 45 天 | 【官】Let's Encrypt 公告（2025-12-02） |
| 付费证书也一样在缩短 | 全行业规则（CA/B 论坛 SC-081）要求最长有效期 2026-03-15 起 200 天、2027 年起 100 天、2029 年起 47 天——「买一年顶一年」的时代结束了 | 【官】CA/Browser Forum SC-081v3 |
| 没有提醒邮件了 | Let's Encrypt 已于 2025-06-04 停止发送到期提醒邮件，过期前不会有人通知你 | 【官】letsencrypt.org |
结论很直接：续期必须自动化，而且要有第二双眼睛。手动续期（「记得三个月后登录一次」）迟早会忘，忘一次就是一次全站红屏。
三层防护：一张表看懂
| 层 | 做什么 | 多久做一次 | 对应内容 |
|---|---|---|---|
| ① 自动续期 | 确认续期任务真的在跑、验证方式没有失效 | 装完证书后确认一次，之后每半年抽查 | 确认自动续期真的有效 |
| ② 到期监控 | 证书与域名各设一个外部「闹钟」，失败时有人知道 | 设置一次，长期有效 | 证书与域名到期监控 |
| ③ 理解趋势 | 知道有效期为什么越来越短、后面还会发生什么 | 读一遍即可 | 证书有效期 90→64→45 天 |
三层缺一不可：只有自动续期没有监控，续期失败时无人知晓；只有监控没有自动续期，每次提醒都要人工处理；不懂趋势，就会觉得「以前一年一次挺好，为什么要改」。
三步走完
- 1. 确认自动续期（10 分钟）：按你当初装证书的路线（Certbot / 宝塔 / cPanel / Cloudflare / win-acme），对照检查清单逐条确认。每条路线的「正常的样子」都写在 确认自动续期真的有效 里，例如 Certbot 跑一次
certbot renew --dry-run应看到全部模拟续期成功。 - 2. 设好到期监控（10 分钟）：用 Let's Encrypt 官方推荐的免费监控（最多 250 张证书），或者先用手机日历的土办法。证书和域名各设一个——域名过期比证书过期严重得多。步骤见 证书与域名到期监控。
- 3. 理解后续变化（5 分钟）：读一遍 证书有效期 90→64→45 天，你会明白为什么「自动化 + 监控」是唯一可持续的答案，以及服务商报价里「证书管理费」到底在管什么。
常见错误与避坑
| 常见错误 | 后果 | 正确做法 |
|---|---|---|
| 「装的时候自动续期开了，以后不用管」 | 续期任务可能被后改的配置弄失效（关了 80 端口、换了 DNS、加了 CDN 跳转），失败静默发生 | 确认一次现状，再设外部监控兜底；两个动作加起来 20 分钟 |
| 用日历提醒代替自动续期 | 有效期越来越短，提醒频率越来越高，迟早漏一次 | 自动续期是主方案，日历/监控是兜底，两者不互相替代 |
| 只监控证书，不监控域名 | 域名过期后网站直接消失，而且可能被抢注，恢复难度远大于证书 | 域名到期日也设提醒，并确认注册商自动续费与支付方式有效 |
| 续期成功 ≠ 网站用上了新证书 | 有些方式（如 certonly --webroot）续期后需要重载网站软件才会加载新证书 | 按路线检查「续期后自动重载」是否配置好，或用 dry-run 之外再做一次真实验证 |
精选入口
- 证书有效期 90→64→45 天：对你意味着什么：时间表、原因、对企业的三个实际影响。见 证书有效期变化解读。
- 确认自动续期真的有效（各路线检查清单）：6 条路线逐条对照「正常的样子」，附续期失败排查。见 自动续期确认清单。
- 证书与域名到期监控：免费工具设置：官方推荐的免费监控 + 日历土办法 + 域名续费检查。见 到期监控设置。
- 〔手动续期为什么迟早出事，规划中〕——用真实事故复盘讲清手动续期的成本，正在整理。
本专题 FAQ 与工具
- 本专题每一页都带「一键复制给智能体」提示词：粘贴给 AI 智能体，它会先问清你的路线和现状，再带你逐项确认续期与监控，每一步改动前先征求你的同意。
- 不确定证书现在的状态？先用 SSL 体检工具 输入域名，30 秒看到剩余天数与续期方式。
- 想从零装一遍或换一条路线，见 免费部署 专题；装好之后的完整收尾清单在 装好之后必做的 6 件事。
答疑
常见问题
自动续期不是装好就自动了吗，为什么还要确认？
自动续期要三个条件同时成立：续期定时任务真的在跑、验证方式还能走通（80 端口没有被关、DNS 记录没有变）、续期后网站软件会重新加载新证书。任何一条在装好证书之后被改掉，续期就会悄悄失败，而且不会有任何提醒——Let's Encrypt 已于 2025-06-04 停止发送到期提醒邮件。所以要自己确认一次，再设置一个外部监控兜底。
证书有效期缩短到 45 天，我需要做什么？
只需要确认一件事：续期是自动的。有效期从 90 天缩到 64 天再到 45 天，只是让续期发生得更频繁，手动续期的出错概率只会更高；自动续期本身不受影响，但建议再设一个到期监控，因为续期频率越高，一次失败留下的补救时间越短。
到期监控用免费的就够吗？
够用。Let's Encrypt 官方推荐的是 Red Sift Certificates Lite，免费监控最多 250 张证书，到期前发邮件提醒；不想注册新服务，也可以在手机日历里按证书到期日提前 20 天设一个提醒，效果差一点但零成本。监控只负责提醒，修还得靠自动续期或人工处理。
域名也要设到期监控吗？
要。域名过期比证书过期严重得多：证书过期还能补，域名一旦过期被别人抢注，网站可能一夜消失。检查两件事——注册商后台开了自动续费、绑定的支付方式还有效，然后给域名也设一个到期提醒。
核实
资料来源与核实记录
价格、政策与版本信息均注明来源和核实日期。
| 事实 | 来源 | 核实日期 |
|---|---|---|
| Let's Encrypt：证书有效期将缩短至 64/45 天（公告 2025-12-02） | letsencrypt.org | 2026-10-10 |
| Let's Encrypt 到期提醒邮件服务已结束（2025-06-26），需自行设置到期监控 | letsencrypt.org | 2026-10-10 |
| Let's Encrypt 官方推荐的监控选项：Red Sift Certificates Lite（免费监控最多 250 张证书） | letsencrypt.org | 2026-10-12 |
| 公开信任证书最长有效期按 CA/B Forum SC-081v3 逐步缩短（200→100→47 天） | CA/Browser Forum | 2026-10-10 |
更新记录
2026-10-13 · v1.0：子专题上线：有效期变化解读、自动续期确认清单、证书与域名到期监控三篇首批发布。
本专题全文以 CC BY 4.0 协议开源，可转载、改编，请注明出处：GitHub · iPythoning/ssl-guide-zh
交给我们
不想自己动手？
泓森互联提供 SSL 证书终身维护服务：部署、监控、自动续期与失效应急，一次购买长期有效。服务范围与价格以服务页为准；也可以先做免费体检，把情况摸清楚再决定。
留个联系方式，我们帮你看看
不确定自己的网站是什么情况？留下信息，或直接 预约诊断，我们把体检结果和修复路径说清楚。