证书怎么部署与自动续期

一句话：部署两件事：把证书与私钥路径写进 nginx，把续期做成定时任务^释定时任务定时任务是按预设时间自动执行的程序，用于对账、报表、清理、同步等周期性工作；日志是程序运行时产生的记录，用于排查问题、审计与监控。并在续期后重载 nginx。缺第二步，证书到期那天全站告警。

部署步骤

1. 上传证书把 fullchain（含中间证书）与私钥放到固定目录，如 /www/ssl/。
2. 改 nginx 配置在 server 块里配 ssl_certificate 与 ssl_certificate_key，并加 ssl_protocols TLSv1.2 TLSv1.3。
3. 检查语法并重载nginx -t 通过后 nginx -s reload。
4. 验证链完整用在线工具检查，缺中间证书时部分安卓机与老版本客户端会握手失败。

自动续期（acme.sh）

1. 安装用官方脚本安装 acme.sh，安装后会自动生成 cron 任务。
2. 签发用 DNS 或 webroot 方式签发，DNS 方式支持通配符。
3. 安装证书用 --install-cert 指定证书路径与重载命令，续期后自动执行。
4. 验证用 --renew --force 手动跑一次，确认文件更新且 nginx 重载成功。

注意：续期成功但服务没 reload，是「证书明明续了却还报过期」的唯一原因。安装证书时的 reloadcmd 必须配，且要确认执行用户有重载权限。

监控

• 用外部监控服务对 HTTPS^释HTTPSSSL 证书是用于在浏览器与服务器之间建立加密通道的数字证书，部署后网站通过 HTTPS 访问。它解决传输过程中的窃听与篡改问题，并验证网站身份。 做定点探测，证书剩余天数少于 14 天告警。
• 续期脚本把结果写到日志，失败时发通知，别让它静默失败。
• 宝塔面板的证书列表会显示到期时间，可作为第二道人工检查。

常见问题

• 403 during validation：文件验证路径被 nginx 规则拦截，检查 /.well-known/ 是否可访问。
• DNS 验证失败：TXT 记录未生效或 API^释APIAPI（Application Programming Interface，应用程序编程接口）是系统之间约定好的调用方式：调用方按约定传入参数，服务方返回结果。它是软件之间协作的接口。 密钥权限不足。
• 证书域名^释域名云服务器是可按需租用的虚拟计算资源；域名是网站的访问地址；带宽决定单位时间内能传输的数据量。三者构成网站运行的基础资源。不匹配：证书是 www 版却用在不带 www 的域名上，需要分别签发或申请通配符。

资料来源

• acme.sh 官方文档：签发、安装证书与 reloadcmd 配置。
• certbot 官方文档：webroot 与 dns 插件用法。
• nginx 文档：ssl_certificate、ssl_protocols 指令说明。