确认自动续期真的有效（各路线检查清单）

为什么「装的时候开了」不等于「现在有效」

证书装好那一刻，自动续期通常是正常的。问题出在之后：服务器换过、防火墙调过、DNS 改过、CDN 加上过、面板升级过——每一次改动都可能顺手弄断续期链条，而续期失败不会报错，也不会有人通知你。它唯一的「通知方式」，是到期那天网站变成整页红色警告。

所以这一步不是「再装一次」，而是确认。三个条件同时成立才算过关：

1. 1. 续期任务在跑：定时任务（或平台的续期机制）存在，而且有明确的「下次运行时间」；
2. 2. 验证方式还能走通：Let's Encrypt 来验证域名时能连上你的网站（80 端口没被关、没有拦截验证的跳转）；
3. 3. 续期后网站会重载新证书：证书文件更新后，网站软件会重新加载，而不是继续用内存里的旧证书。

一张表：6 条路线的检查方法与「正常的样子」

逐条详解

A · Certbot（Linux 服务器）

1. 1. sudo certbot renew --dry-run：只模拟、不真签，全部成功即视为健康。
2. 2. systemctl list-timers | grep -i certbot：确认定时器存在且有「下次运行时间」。
3. 3. 如果是 certonly --webroot 方式，检查 /etc/letsencrypt/renewal-hooks/deploy/ 里是否有重载脚本（如 systemctl reload nginx），并确认有可执行权限。

B · 宝塔面板

1. 1. 站点设置 → SSL：确认自动续签已开启、剩余天数正常。
2. 2. 官方文档说明免费证书默认自动续签；建议到期前一个月左右回来看一眼剩余天数是否已刷新。
3. 3. 如果开了「DNS 验证」方式（通配符证书），确认 API 令牌没过期。

C · cPanel 虚拟主机

1. 1. SSL/TLS Status：状态为 AutoSSL Domain Validated 即正常。
2. 2. 部分子域名（mail.、cpanel. 等）报「DNS does not resolve to this server」不影响主站，可排除。
3. 3. 主域名失败时检查 DNS 是否指向主机商 IP、CAA 记录是否限制了证书机构。

D · Cloudflare

1. 1. SSL/TLS → 边缘证书：状态 Active，Cloudflare 自动续期，无需操作。
2. 2. 源站证书（自己装的那张）不在 Cloudflare 的续期范围里，单独记录到期日并按对应路线检查。
3. 3. 开了「始终使用 HTTPS」之后，源站不要再做重复跳转，避免验证被拦。

F · Windows IIS（win-acme）

1. 1. 运行 wacs.exe → A: Manage renewals，确认续期计划存在。
2. 2. 打开「任务计划程序」，确认有 win-acme 创建的计划任务且已启用。
3. 3. 程序文件夹位置必须固定（官方建议 C:\Program Files\win-acme），移动过会导致续期找不到程序。

E · SaaS 建站平台

1. 1. 平台后台确认证书状态正常、域名解析与平台说明一致。
2. 2. 不需要也无法自己续期；但要意识到证书控制权在平台手里（搬站时需重新申请）。
3. 3. 平台证书一直「待处理」时，优先检查 DNS 是否有指向旧网站的 A / AAAA 记录。

续期失效的四种常见原因（按这个顺序排查）

检查记录模板（建议每半年填一次）

什么时候可以不用自己管

如果你不想碰服务器，两条路：一是把检查结果交给 SSL 体检工具 定期看剩余天数（配合到期监控）；二是把「部署 + 监控 + 自动续期确认 + 失效应急」整体交给维护服务（600 元/域名，长期统一价），出了事由服务方在监控告警后处理。无论选哪条，到期监控都不能省——它是发现问题的第一双眼睛。