---
title: 续期与监控：证书不会自己续命
url: https://www.paibaowork.com/ssl/renewal/
last_verified: 2026-10-13
version: v1.0
---

## 这个专题帮你做一件事

**让证书「以后不用再管」。** 装好证书不等于一劳永逸：公开信任证书现在最长只有 90 天，而且会越来越短。这个专题解决三件事——搞懂有效期为什么在缩短、逐条确认你的自动续期真的生效、给证书和域名各设一个到期监控。

![【真实截图】证书查看器里能看到「有效期」起止日期——90 天后必须有一张新证书顶上](/ssl/images/guide/r09_certviewer.png)

## 先搞懂：证书为什么「会自己过期」

证书不是永久的，它有一个明确的**到期时刻**，到点就失效——浏览器看到过期证书，直接整页红色警告。三个事实决定了「过期」必然会发生：

| 事实 | 说明 | 来源 |
|---|---|---|
| 免费证书有效期 90 天 | Let's Encrypt 现在签发 90 天；官方计划 2027-02-10 起缩到 64 天、2028-02-16 起缩到 45 天 | 【官】Let's Encrypt 公告（2025-12-02） |
| 付费证书也一样在缩短 | 全行业规则（CA/B 论坛 SC-081）要求最长有效期 2026-03-15 起 200 天、2027 年起 100 天、2029 年起 47 天——「买一年顶一年」的时代结束了 | 【官】CA/Browser Forum SC-081v3 |
| 没有提醒邮件了 | Let's Encrypt 已于 2025-06-04 停止发送到期提醒邮件，过期前不会有人通知你 | 【官】letsencrypt.org |

结论很直接：**续期必须自动化，而且要有第二双眼睛**。手动续期（「记得三个月后登录一次」）迟早会忘，忘一次就是一次全站红屏。

## 三层防护：一张表看懂

| 层 | 做什么 | 多久做一次 | 对应内容 |
|---|---|---|---|
| ① 自动续期 | 确认续期任务真的在跑、验证方式没有失效 | 装完证书后确认一次，之后每半年抽查 | [确认自动续期真的有效](/ssl/renewal/auto-renew/) |
| ② 到期监控 | 证书与域名各设一个外部「闹钟」，失败时有人知道 | 设置一次，长期有效 | [证书与域名到期监控](/ssl/renewal/expiry-monitor/) |
| ③ 理解趋势 | 知道有效期为什么越来越短、后面还会发生什么 | 读一遍即可 | [证书有效期 90→64→45 天](/ssl/renewal/lifetime-change/) |

三层缺一不可：只有自动续期没有监控，续期失败时无人知晓；只有监控没有自动续期，每次提醒都要人工处理；不懂趋势，就会觉得「以前一年一次挺好，为什么要改」。

## 三步走完

1. **确认自动续期（10 分钟）**：按你当初装证书的路线（Certbot / 宝塔 / cPanel / Cloudflare / win-acme），对照检查清单逐条确认。每条路线的「正常的样子」都写在 [确认自动续期真的有效](/ssl/renewal/auto-renew/) 里，例如 Certbot 跑一次 `certbot renew --dry-run` 应看到全部模拟续期成功。
2. **设好到期监控（10 分钟）**：用 Let's Encrypt 官方推荐的免费监控（最多 250 张证书），或者先用手机日历的土办法。证书和**域名**各设一个——域名过期比证书过期严重得多。步骤见 [证书与域名到期监控](/ssl/renewal/expiry-monitor/)。
3. **理解后续变化（5 分钟）**：读一遍 [证书有效期 90→64→45 天](/ssl/renewal/lifetime-change/)，你会明白为什么「自动化 + 监控」是唯一可持续的答案，以及服务商报价里「证书管理费」到底在管什么。

## 常见错误与避坑

| 常见错误 | 后果 | 正确做法 |
|---|---|---|
| 「装的时候自动续期开了，以后不用管」 | 续期任务可能被后改的配置弄失效（关了 80 端口、换了 DNS、加了 CDN 跳转），失败静默发生 | 确认一次现状，再设外部监控兜底；两个动作加起来 20 分钟 |
| 用日历提醒代替自动续期 | 有效期越来越短，提醒频率越来越高，迟早漏一次 | 自动续期是主方案，日历/监控是兜底，两者不互相替代 |
| 只监控证书，不监控域名 | 域名过期后网站直接消失，而且可能被抢注，恢复难度远大于证书 | 域名到期日也设提醒，并确认注册商自动续费与支付方式有效 |
| 续期成功 ≠ 网站用上了新证书 | 有些方式（如 certonly --webroot）续期后需要重载网站软件才会加载新证书 | 按路线检查「续期后自动重载」是否配置好，或用 dry-run 之外再做一次真实验证 |

## 精选入口

- **证书有效期 90→64→45 天：对你意味着什么**：时间表、原因、对企业的三个实际影响。见 [证书有效期变化解读](/ssl/renewal/lifetime-change/)。
- **确认自动续期真的有效（各路线检查清单）**：6 条路线逐条对照「正常的样子」，附续期失败排查。见 [自动续期确认清单](/ssl/renewal/auto-renew/)。
- **证书与域名到期监控：免费工具设置**：官方推荐的免费监控 + 日历土办法 + 域名续费检查。见 [到期监控设置](/ssl/renewal/expiry-monitor/)。
- 〔手动续期为什么迟早出事，规划中〕——用真实事故复盘讲清手动续期的成本，正在整理。

## 本专题 FAQ 与工具

- 本专题每一页都带「一键复制给智能体」提示词：粘贴给 AI 智能体，它会先问清你的路线和现状，再带你逐项确认续期与监控，每一步改动前先征求你的同意。
- 不确定证书现在的状态？先用 [SSL 体检工具](/tools/ssl-check/) 输入域名，30 秒看到剩余天数与续期方式。
- 想从零装一遍或换一条路线，见 [免费部署](/ssl/deploy/) 专题；装好之后的完整收尾清单在 [装好之后必做的 6 件事](/ssl/deploy/after-deploy/)。

## 常见问题

### 自动续期不是装好就自动了吗，为什么还要确认？

自动续期要三个条件同时成立：续期定时任务真的在跑、验证方式还能走通（80 端口没有被关、DNS 记录没有变）、续期后网站软件会重新加载新证书。任何一条在装好证书之后被改掉，续期就会悄悄失败，而且不会有任何提醒——Let's Encrypt 已于 2025-06-04 停止发送到期提醒邮件。所以要自己确认一次，再设置一个外部监控兜底。

### 证书有效期缩短到 45 天，我需要做什么？

只需要确认一件事：续期是自动的。有效期从 90 天缩到 64 天再到 45 天，只是让续期发生得更频繁，手动续期的出错概率只会更高；自动续期本身不受影响，但建议再设一个到期监控，因为续期频率越高，一次失败留下的补救时间越短。

### 到期监控用免费的就够吗？

够用。Let's Encrypt 官方推荐的是 Red Sift Certificates Lite，免费监控最多 250 张证书，到期前发邮件提醒；不想注册新服务，也可以在手机日历里按证书到期日提前 20 天设一个提醒，效果差一点但零成本。监控只负责提醒，修还得靠自动续期或人工处理。

### 域名也要设到期监控吗？

要。域名过期比证书过期严重得多：证书过期还能补，域名一旦过期被别人抢注，网站可能一夜消失。检查两件事——注册商后台开了自动续费、绑定的支付方式还有效，然后给域名也设一个到期提醒。

## 资料来源与核实记录

| 事实 | 来源 | 核实日期 |
|---|---|---|
| Let's Encrypt：证书有效期将缩短至 64/45 天（公告 2025-12-02） | https://letsencrypt.org/2025/12/02/from-90-to-45 | 2026-10-10 |
| Let's Encrypt 到期提醒邮件服务已结束（2025-06-26），需自行设置到期监控 | https://letsencrypt.org/2025/06/26/expiration-notification-service-has-ended.html | 2026-10-10 |
| Let's Encrypt 官方推荐的监控选项：Red Sift Certificates Lite（免费监控最多 250 张证书） | https://letsencrypt.org/docs/monitoring-options/ | 2026-10-12 |
| 公开信任证书最长有效期按 CA/B Forum SC-081v3 逐步缩短（200→100→47 天） | https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/ | 2026-10-10 |

## 更新记录

- 2026-10-13 · v1.0：子专题上线：有效期变化解读、自动续期确认清单、证书与域名到期监控三篇首批发布。