SSL 证书是部署在网站服务器上的一个数字文件，浏览器借助它确认自己访问的是真实网站，并与网站建立加密连接。网址之所以以 https:// 而不是 http:// 开头，靠的就是它。证书缺失、与域名不匹配或者过期，浏览器就会弹出安全警告，很多访客看到后会直接关闭页面。
“SSL”其实是旧称。SSL 是早期的协议，现在的连接使用的是它的后继协议 TLS。由于多数服务商仍习惯叫“SSL 证书”，本文两种说法混用。
证书到底起什么作用
用户打开网站时，浏览器和服务器会先商定如何加密双方传输的数据。证书在这个过程中承担两项任务：
- 证明身份：证书针对特定域名签发，并由浏览器信任的证书颁发机构（CA）签名。浏览器会核对证书上的域名是否与当前访问的网址一致。
- 建立加密：证书中包含公钥，用于建立加密会话，使表单内容、登录信息和支付信息在传输过程中不容易被窃取或篡改。
证书保护的是传输过程，并不意味着网站本身就安全。背后的应用、服务器和账号仍然需要单独管理。
每张证书都有有效期
证书只在规定期限内有效。一旦到期，即便网站其他地方一点没改，浏览器也不再信任它，访客会看到警告页面。过期还可能影响用户看不到的连接，比如 App 调用网站的 API。
这个期限正在大幅缩短。CA/Browser Forum 是由证书颁发机构和浏览器厂商组成、负责制定公共信任证书规则的组织，2025 年通过了 SC-081 提案，分阶段压缩证书的最长有效期：
- 2026 年 3 月 15 日前签发：398 天
- 2026 年 3 月 15 日起：200 天
- 2027 年 3 月 15 日起：100 天
- 2029 年 3 月 15 日起：47 天
很多网站使用的免费证书颁发机构 Let's Encrypt，有效期本来就更短。它在 2026 年 10 月 7 日宣布，从 2027 年 2 月 10 日起，默认有效期由 90 天改为 64 天，并计划在 2028 年进一步缩短到 45 天。已签发的证书不会被吊销，最后一批 90 天证书预计在 2027 年 5 月 11 日前后到期。域名授权的复用期也会从 30 天缩短到 10 天，2028 年再缩短到 7 小时。
按官方说法，缩短有效期是为了降低私钥泄露或证书误签发带来的风险：证书有效期越短，可能被滥用的时间也越短。
对日常运维有什么影响
过去一年手动续期一次还应付得来。有效期缩短到以周计算后，只要漏掉一次，网站就会报警，所以续期必须自动化。
自动续期大多基于 ACME 标准协议，Certbot、acme.sh 等工具以及不少托管平台都用它申请和部署证书，无需人工操作。Let's Encrypt 给出的建议包括：
- 使用支持 ARI（ACME Renewal Information）的客户端。ARI 让证书颁发机构告诉客户端什么时候续期，有效期调整后也能自动适应。
- 去掉写死的续期时间。很多脚本是按 90 天证书设定的固定天数续期。Let's Encrypt 建议改为在有效期过去约三分之二时续期。
- 提前测试。Let's Encrypt 计划从 2026 年 10 月 14 日起在测试环境（staging）签发 64 天证书，方便团队提前验证。
- 整个流程都要自动化。证书续期后，如果 Web 服务器、负载均衡器或 CDN 还在用旧证书，续期就等于白做。重新加载和部署也应纳入自动流程。
- 续期失败要告警。DNS 或防火墙配置改动后，续期可能悄无声息地失败，应在到期前尽早通知负责人。
以下为说明性示例：某公司的主站通过托管平台自动续期，但几年前在另一台服务器上搭建的预约子域名，仍依赖一个写死日期的脚本。主站一切正常，预约页面却开始出现浏览器警告。如果事先整理过所有使用证书的域名清单，这个问题本可以提前发现。
从哪里入手
- 列出所有启用 HTTPS 的域名和子域名，包括 API、管理后台和测试站点。
- 逐个记录证书由谁签发、怎样续期、部署在哪里。
- 确认续期是否全流程自动化，以及所用工具是否支持 ARI。
- 把证书到期日纳入网站监测，临近到期时自动提醒。
- 明确续期失败时由谁处理，例如写进软件支持 SLA。
如果使用商业证书颁发机构，或由托管服务商代管证书，可以向对方了解他们如何应对新的有效期上限。如需维护和监测已上线系统，可参阅 technine.io 的托管支持与 SLA 服务。
常见问题
SSL 证书和 TLS 证书是两种东西吗？
不是。“SSL 证书”是习惯叫法，证书实际配合取代了 SSL 的 TLS 协议使用。服务商一般两种说法通用。
付费证书的有效期会比免费证书长吗？
不会超过行业上限。CA/Browser Forum 的上限适用于所有公共信任证书，付费证书同样会按时间表缩短有效期。
续期已经自动化了，还要做什么吗？
不一定要改，但值得检查：确认工具没有依赖固定续期天数、续期后的证书确实已部署，以及续期失败时有人收到通知。