证书过期了？5 分钟应急续期（各路线入口）

先确认：是不是真的过期了（30 秒）

证书过期长什么样：整页红色拦截「您的连接不是私密连接 / Your connection is not private」，错误码是 NET::ERR_CERT_DATE_INVALID；页面上能点「高级 → 继续访问」。如果网站还开着 HSTS，红屏上连「继续访问」的按钮都没有——这一档最严重。

确认过期用下面任意一种方法：

1. 1. 看错误码：红屏页面下方，或点「高级 / 详细信息」，找到 ERR_CERT_DATE_INVALID——这个码基本可以直接判定为「过期」。
2. 2. 看证书有效期：点地址栏左侧图标 → 进入证书 → 看「有效期」的截止日期是不是已经过去了。
3. 3. 一条只读命令（把 你的域名 换成实际域名）：

echo | openssl s_client -connect 你的域名:443 -servername 你的域名 2>/dev/null | openssl x509 -noout -subject -issuer -dates

notAfter 就是到期时间（GMT 时间，换算北京时间要加 8 小时）；subject 是证书包含哪些域名，issuer 是谁签发的——续期前顺手看一眼，续期后要核对这三项有没有变化。

5 分钟应急：三步走

第 1 步：按路线立即续期（找到你的那一行）

路线 A：Linux 服务器（Certbot）

在服务器上执行：

sudo certbot renew

如果提示「not due for renewal」，说明定时任务认为还不到期——用强制方式续一张：

sudo certbot renew --force-renewal

续期后确认网页软件已经加载新证书：Certbot 的 --nginx / --apache 插件会自动重载；如果你当初用的是 certonly --webroot 方式，需要自己重载（在 /etc/letsencrypt/renewal-hooks/deploy/ 目录放一个内容为 systemctl reload nginx 的脚本，并 chmod +x 加上可执行权限）。

完整教程：路线 A：Linux 云服务器 + Certbot

路线 B：宝塔面板

1. 1. 登录宝塔面板，左侧菜单点网站，找到你的站点，进入设置 → SSL。
2. 2. 如果证书列表里能看到过期的证书，点重新申请 / 续签；如果「自动续签」被关掉了，顺手打开。
3. 3. 回到 SSL 页面确认剩余天数已经刷新（正常是 89 天左右）。

完整教程：路线 B：宝塔面板

路线 C：cPanel 虚拟主机

1. 1. 登录 cPanel，在 Security（安全） 区域找到 SSL/TLS Status。
2. 2. 点 Run AutoSSL，等它跑完。
3. 3. 看到域名状态变成 AutoSSL Domain Validated 即为成功；顺手确认 Force HTTPS Redirect 是打开的。

完整教程：路线 C：cPanel 虚拟主机（AutoSSL）

路线 D：Cloudflare

Cloudflare 的边缘证书是自动续期的，访客看到的证书一般不会因为它而过期。如果走 Cloudflare 的网站出现了过期红屏，按顺序查这三处：

1. 1. 域名的 DNS 记录是不是灰色云朵（未代理）——灰色意味着访客直连源站，源站证书过期就会红屏；恢复橙色云朵即可。
2. 2. SSL/TLS → 边缘证书里，边缘证书状态是不是 Active；不是就点一下重新验证。
3. 3. 用 Full (strict) 模式的，源站证书过期会让 Cloudflare 返回 Error 526（而不是给访客看红屏）——这时按路线 A/B/C/F 把源站证书续上。

完整教程：路线 D：Cloudflare

路线 E：SaaS 建站平台

Shopify、Wix、WordPress.com 这类平台自动、免费管理证书，一般不需要你操心。如果平台后台一直显示「待处理 / Pending」，逐项核对：域名解析记录与平台要求一字不差、删掉指向旧网站的 A / AAAA 记录、检查 CAA 记录是否放行了平台的证书机构。

完整教程：路线 E：SaaS 建站平台

路线 F：Windows IIS（win-acme）

1. 1. 用管理员身份运行 wacs.exe。
2. 2. 选 A: Manage renewals 能看到现有续期计划；选续期菜单把证书更新掉。
3. 3. 到 IIS 里确认网站的 https 绑定已经是新证书，任务计划程序里能看到下一次续期时间。

完整教程：路线 F：Windows 服务器 + IIS（win-acme）

第 2 步：三分钟验证（红屏消失不算完）

如果第 1 步做完红屏还在，先清一次浏览器缓存再试；换了设备的红屏还在，说明续期没有真正生效——回到第 1 步检查证书文件是不是换对了（Nginx 用的是不是 fullchain.pem、面板里粘贴的是不是完整证书链）。

第 3 步：查「为什么没自动续」（下次别再过期）

过期只是结果，真正要修的是「自动续期为什么失效」：

确认自动续期（各路线一行，完整版见装好之后：这 6 件事一定要做）：

再补一层到期监控（Let's Encrypt 已于 2025-06-04 停止发送到期提醒邮件，所以这层必须自己设）：

• Let's Encrypt 官方推荐的替代方案 Red Sift Certificates Lite（原 Hardenize）：免费监控最多 250 张证书，到期前发邮件提醒，用公司邮箱注册即可；
• 最简单的土办法：在手机日历里按证书到期日提前 20 天设一个提醒，内容写「检查网站证书是否已自动续期」。

两个常见追问

证书过期期间，网站数据会丢吗？会被黑吗？ 都不会。过期影响的只是「访客到网站」的加密连接——浏览器拒绝连接，所以访客看到红屏、访问基本流失；网站文件、数据库、客户数据都不受影响。续期成功后网站立刻恢复，不需要做额外操作【判断】。

为什么说「过期不是忘了续，是没人管」？ 免费证书有效期只有 90 天，而且会继续缩短（Let's Encrypt 官方计划 2027-02-10 起 64 天、2028-02-16 起 45 天）；整个行业的规则也在收紧，所有公开证书最长有效期 2026-03-15 起 200 天、2027-03-15 起 100 天、2029-03-15 起 47 天【官】。靠人工记着续，早晚会过期一次——只有自动续期 + 到期监控才是可靠的做法。

现在要做的事

• 还没确认是不是过期：先做一次免费的 HTTPS 体检，拿到错误码和到期日再动手；
• 想先看看其他几种故障长什么样：四种 SSL 故障实景演示（附 30 秒自查）；
• 显示「不安全」但没有红屏：按浏览器显示「不安全」的 6 种原因与排查逐项对照；
• 页面能打开但图片不显示、表单点不动：看混合内容修复；
• 拿不准错误码什么意思：SSL 错误码速查 一码一行；
• 不想再被这件事打断：把部署、监控、自动续期和失效应急一起交出去，见 SSL 证书终身维护服务（600 元/域名 · 长期统一价）；也可以先预约 30 分钟诊断。