证书生命周期管理 （CLM，Certificate Lifecycle Management）

证书生命周期管理覆盖证书的每个阶段：发现（知道有哪些证书、部署在哪里）、申请与签发、部署到服务器、负载均衡和 CDN、监控到期与配置错误、带密钥轮换的 续期，以及最后的吊销和清理。工具可以简单到一个定时运行 ACME 客户端的任务，也可以是跨多个云平台盘点成千上万张证书的商业平台。

为什么重要

证书过期一直是线上故障的常见原因，而有效期不断缩短让手工流程难以为继：截至 2026 年 11 月公网证书最长 200 天，2027 年降到 100 天，2029 年降到 47 天。也不能指望提醒邮件，Let's Encrypt 已于 2025-06-04 停发到期提醒。完善的 CLM 会自动续期，支持 ACME 续期信息（ARI，RFC 9773），让 CA 在必要时要求客户端提前续期；同时监控证书透明度日志中出现的陌生证书，并检查线上实际下发的证书，而不是磁盘上的文件。国内常见的部署点包括宝塔面板、阿里云/腾讯云的 CDN 与负载均衡、对象存储的自定义域名等，每一处都要纳入证书清单。

例子

certbot renew --dry-run
systemctl list-timers | grep certbot

前者测试续期流程能否跑通，后者确认确实有定时任务在执行。

常见误区

• 开了自动续期就万事大吉。 新证书还要部署并重载服务，很多故障是续期后的新文件根本没被 nginx 加载。
• 靠日历提醒就够了。 面对 47 天的有效期，每隔几周手动操作一次，迟早会漏掉。
• CLM 只是大企业的事。 哪怕只有一个网站，CDN、负载均衡和 API 服务器上也可能各有一张会悄悄过期的证书。