# 证书续期是什么？定义、例子与常见误区

> 证书续期是在证书到期前申请一张新证书来替换它，最好全自动完成并同时更换密钥对。

Source: https://ssl.sh/zh/glossary/certificate-renewal/
Last updated: 2026-11-10

证书续期（也常说"续签"）就是为同样的域名申请一张新证书，替换即将到期的旧证书。技术上并不存在"延长有效期"：CA 会重新签发一张序列号、有效期都全新的证书，复用期已过的验证还要重新做。好的做法是续期时顺便生成新密钥（[密钥轮换](https://ssl.sh/zh/glossary/key-rotation/)），并在到期前留足余量，通常在剩余约三分之一有效期时续期，或者按 CA 通过 [ARI](https://ssl.sh/zh/glossary/ari/) 给出的建议时间续期。

## 为什么重要
证书过期会导致浏览器直接报错、API 调用失败，而续期频率还在上升。根据 CA/浏览器论坛 SC-081v3 投票，证书最长有效期在 2026 年 3 月 15 日起为 200 天，2027 年 3 月 15 日起为 100 天，2029 年 3 月 15 日起为 47 天，域名验证的复用期也同步缩短。Let's Encrypt 已于 2025 年 6 月 4 日停止发送到期提醒邮件，监控只能靠自己。宝塔面板申请的 Let's Encrypt 证书可以自动续签；使用云厂商证书时，要确认是否开启了自动续期或自动部署，否则到期前需要手动重新申请并上传。归根结底，要靠 [ACME](https://ssl.sh/zh/glossary/acme/) 自动化，再加上针对线上实际证书的独立到期监控。

## 例子
```bash
certbot renew --deploy-hook "systemctl reload nginx"
# 确认服务器实际返回的证书
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -enddate
```

## 常见误区
- **续期是把原证书的有效期延长。** 续期总是产生一张新证书，旧证书在过期或被吊销前依然有效。
- **磁盘上的证书文件换了就算续期完成。** 服务必须重新加载，进程仍在使用旧证书是到期故障的常见原因。
- **CA 会提醒我。** 不要依赖邮件提醒：Let's Encrypt 已经停发，其他 CA 的邮件也可能进了没人看的邮箱。

## 相关术语

- [有效期](https://ssl.sh/zh/glossary/validity-period/): 有效期是证书中 notBefore 与 notAfter 两个时间之间的区间，只有在此区间内客户端才会接受这张证书。
- [ACME](https://ssl.sh/zh/glossary/acme/): ACME 是 IETF 标准协议（RFC 8555），让软件自动向 CA 证明域名控制权，并自动申请、续期和吊销证书。
- [ARI](https://ssl.sh/zh/glossary/ari/): ARI 是 ACME 的扩展标准（RFC 9773），由 CA 告诉客户端某张证书应该在哪个时间窗口内续期。
- [密钥轮换](https://ssl.sh/zh/glossary/key-rotation/): 密钥轮换是按计划或在安全事件后，用新生成的密钥替换旧密钥，以限制密钥泄露造成损失的做法。
- [短期证书](https://ssl.sh/zh/glossary/short-lived-certificate/): 短期证书是有效期只有几天的 TLS 证书，靠快速过期而不是吊销来限制被盗证书可被滥用的时间。
- [证书生命周期管理](https://ssl.sh/zh/glossary/certificate-lifecycle-management/): 证书生命周期管理（CLM）是对证书从发现、申请、部署、续期到吊销全过程进行跟踪和自动化的做法与工具。
- [Let's Encrypt](https://ssl.sh/zh/glossary/let-s-encrypt/): Let's Encrypt 是由非营利组织 ISRG 运营的免费、自动化证书颁发机构，通过 ACME 协议签发域名验证型 TLS 证书。