证书快到期了：先分清是没续期，还是续了没部署

先别急着签新证书。很多「快到期」其实是续期已经成功、只是没部署——新证书签出来了,躺在磁盘上或者在 CA 那边,而服务器进程还握着旧文件。这种情况签第二张没有任何用。

判断方法很简单:看证书透明度日志里有没有一张更新的、覆盖同一批域名的证书。有,就是部署问题;没有,才是续期本身没跑起来。

先确认是哪一种

已经签发但没部署

最常见的原因是重载被漏掉了。证书文件是新的,但 nginx / Apache / Java 进程在启动时把证书读进了内存,不重载就一直用旧的。

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -dates -serial

• 没重载:nginx -s reload / systemctl reload nginx。certbot 的 --deploy-hook 就是干这个的。
• 文件路径不对:续期写到了 /etc/letsencrypt/archive/...,而配置指向另一个目录。应当指向 live/ 下的软链。
• 多台机器:证书只更新了一台,负载均衡后面还有别的机器在发旧证书。
• CDN / 负载均衡器:源站换了,但边缘节点上传的还是旧证书。

续期本身没跑起来

• 验证方式失效:HTTP-01 的 .well-known 路径被重定向或防火墙挡了;DNS-01 的 API 凭据过期。
• 定时任务没执行:cron / systemd timer 被停掉,或者容器重建后任务没了。
• 触发太晚:证书只剩几天才开始重试,一旦遇到限流就没有余量了。
• 域名解析变了:域名换了服务商或指向,验证走不通。

应该提前多久处理

90 天有效期的证书通常在第 60 天续期,新旧并存 30 天——所以看到「另有一张仍有效的旧证书」是正常现象,不是重复签发。