SSL 证书到期计算

Q: 证书过期一天影响多大？

浏览器立即全屏警告，Chrome 下大部分用户会直接离开。API 客户端（curl、代码请求）默认也会拒绝连接。

Q: 免费证书够用吗？

绝大多数场景够用：Let's Encrypt 的加密强度与付费 DV 完全相同。付费证书的价值在 OV/EV 的企业身份展示和保险赔付，个人与小企业无需购买。

Q: 证书到期会发生什么？

浏览器向所有访客展示整屏红色警告（NET::ERR_CERT_DATE_INVALID），用户需手动点击「高级 → 继续访问」才能进入——绝大多数人会直接离开；API 调用方多数会直接拒绝连接，等于站点失联。

Q: 证书有效期为什么越来越短？

短有效期可缩小私钥泄露后的滥用窗口、强制企业保持续期流程健康。2011 年上限 8 年 → 2015 年 39 个月 → 2018 年 825 天 → 2020 年 398 天，CA/B 论坛已投票通过 2029 年收紧到 47 天，方向不可逆。

Q: Let’s Encrypt 90 天证书怎么自动续期？

用 certbot 或 acme.sh 等 ACME 客户端，配置 systemd timer 或 cron 每天检查一次，剩余 30 天内自动完成域名验证并签发新证书；关键是续期后要 reload nginx/apache 让新证书生效，并监控续期失败告警。

Q: 还剩多少天就该续期了？

经验法则：90 天证书剩 30 天启动续期（留足失败重试时间）；398 天商业证书提前 30-60 天（OV/EV 要预留人工审核时间）；任何证书都不应拖到剩 7 天以内。

Q: 通配符证书和多域名证书有什么区别？

通配符（*.example.com）覆盖同一级所有子域名，适合子域名多且频繁新增的场景；多域名（SAN/UCC）在一张证书里列举若干个具体域名，适合跨域名的企业集团。价格和维护方式不同，到期时间统一按证书 notAfter 计算。

Q: 证书过期后重新签发，历史数据还在吗？

HTTPS 证书只做传输加密，不存储网站数据，过期重签不影响任何内容。但要注意：如果用了 HSTS 且加入了 preload 列表，证书失效期间用户完全无法访问，恢复前没有任何绕开办法。

Q: 怎么批量监控多个域名的证书到期？

小规模用本工具的倒计时逐个记录；中等规模用 Uptime Kuma、Prometheus blackbox_exporter 等开源监控，配置 30 天阈值告警；企业级用 Venafi、Sectigo Certificate Manager 做全生命周期管理。

Q: CDN 上的证书和源站证书都要管吗？

都要。CDN 边缘证书（面向用户）通常由 CDN 商自动管理（如 Cloudflare 的 Universal SSL），但源站证书（CDN 回源用的）需要你自己维护，源站证书过期会导致 5xx 错误，排查时容易被忽略。

什么是SSL 证书到期计算？

SSL/TLS 证书都有固定有效期：Let's Encrypt 90 天、付费 DV/OV 证书最长 398 天（CA/B 论坛 2020 年起取消 2 年期）。到期不续，浏览器会对访客显示整页「连接不安全」警告，转化率瞬间归零。

续期的现实风险不在「忘了」而在「以为自动续了」：自动续期脚本可能因 DNS 验证方式变更、API 额度、服务器时间漂移而静默失败。最佳实践是到期前 30 天设置人工提醒，双重保险。

证书透明化（CT Log）让所有签发的证书公开可查，你可以用 crt.sh 查询自己域名的所有证书记录——既能盘点证书资产，也能发现被冒签的异常情况。

SSL 证书续期前建议预留至少 14~30 天缓冲，因为证书链签发、CDN 缓存、以及各客户端对「已过期证书」的拦截策略各不相同。部分自动续期工具（如 Lets Encrypt 免费证书机构）会在到期前 30 天自动申请新证书，只要域名 CNAME 校验通过即可无缝轮换。监控剩余天数能帮你提前发现「忘记续期」的风险——一旦证书真正过期，浏览器会直接拦截访问，造成业务中断。

剩余天数 = 到期日 − 今天；分级：>30 天安全 / 7-30 天关注 / <7 天紧急 / <0 已过期

到期倒计时与续期窗口：剩余天数 = 证书 notAfter 日期 − 今天（按 UTC 计）。示例：证书 2026 年 12 月 31 日 23:59 到期，今天 2026 年 10 月 16 日，剩余 = 76 天。Let’s Encrypt 证书有效期 90 天，官方建议在剩余 30 天内自动续期；商业 OV/EV 证书最长 398 天（2020 年 9 月起 CA/B 论坛上限），2029 年前将逐步收紧到 47 天，自动化续期已成刚需。

主流证书类型与有效期
类型	最长有效期	典型续期方式	适用
DV（域名验证）	398 天	手动/自动	个人站、博客
OV（组织验证）	398 天	手动，需审核企业信息	企业官网
EV（扩展验证）	398 天	手动，审核最严	金融、电商
Let’s Encrypt（DV）	90 天	ACME 协议自动续期	一切站点，免费
未来基线（2029）	47 天	强制自动化	全行业趋势

如何使用SSL 证书到期计算

1
输入证书到期日期。
2
点击计算。
3
查看剩余天数与状态分级。

计算示例

例 1健康状态

到期日 2027-01-01，剩余 100+ 天，状态安全，按季度巡检即可。

例 2紧急续期

剩余 5 天：立即续期并验证全链路（含 CDN、负载均衡器上的证书副本）都已更新。

注意事项

证书链上的中间证书也会过期，更新时要整链替换。
CDN 和 WAF 上配置的证书与源站证书是两套，都要管。
iOS/Android 的 App 内置证书（SSL Pinning）过期会导致 App 直接无法联网，更新需发版。

常见问题