证书与域名到期监控：免费工具设置

为什么必须自己设监控

以前证书机构会在到期前发邮件提醒你续期。现在这条退路没了：Let's Encrypt 已于 2025-06-04 停止发送到期提醒邮件。加上证书有效期还在缩短（见 证书有效期 90→64→45 天），「到期监控」从可选项变成了标准配置。

监控要覆盖两样东西，缺一不可：

第一步：查出两个到期日

先知道「什么时候到期」，监控才有基准。

1. 1. 证书到期日：打开你的网站，点地址栏左侧的图标 → 「连接是安全的」→ 查看证书，能看到「有效期」的起止日期；也可以用命令看：

echo | openssl s_client -connect 你的域名:443 -servername 你的域名 2>/dev/null | openssl x509 -noout -dates

1. 2. 域名到期日：登录注册商后台，在域名详情页看到期日；或用公开的 RDAP/WHOIS 查询（例如 ICANN Lookup）看注册信息。

证书监控：官方推荐的免费方案

Red Sift Certificates Lite（原 Hardenize） 是 Let's Encrypt 官方推荐的到期监控替代方案：

1. 1. 用公司邮箱注册（避免用个人邮箱，交接时会找不到人）；
2. 2. 免费额度：监控最多 250 张证书——对绝大多数企业网站绰绰有余；
3. 3. 把主域名和 www 都加进去（它们经常是两张独立证书，一个正常不代表另一个正常）；
4. 4. 确认到期前邮件提醒已开启，并把这封提醒邮件的发件人加入白名单，防止被垃圾邮件过滤。

日历兜底：零成本的土办法

不想注册新服务，就用手机日历：

1. 1. 按证书到期日提前 20 天设一个提醒；
2. 2. 提醒内容写清楚动作：「检查网站证书是否已自动续期」；
3. 3. 域名到期日同样设一个提醒，内容写「检查域名是否已续费」。

日历的局限要知道：证书每次自动续期后到期日会变，日历提醒不会自动跟着变——所以它只是兜底，主方案还是监控服务（自动跟踪实际到期日）。

域名到期监控：三件事

域名过期是比证书过期严重得多的事故，三件事逐一确认：

监控之外还要做的三件事

1. 1. 确认自动续期真的有效：监控负责「发现」，自动续期负责「修复」。续期机制坏了，监控只会准时提醒你「它又坏了」。逐条检查见 确认自动续期真的有效。
2. 2. 把监控纳入例行检查：每半年抽查一次——监控服务里域名还在、提醒邮箱还能收到、日历提醒还在。
3. 3. 准备应急路径：监控报警且来不及修根因时，先手动续期一次（各路线都支持），事后再排查。证书已经过期的，走 证书过期了怎么办 的应急流程。

监控配置检查清单（做完打勾）