TLS 证书过期或替换失败：安全恢复 HTTPS 的步骤

适用范围与前提

使用 OpenSSL 3.x 诊断 HTTPS；CDN 边缘证书与源站证书属于不同部署。

确认域名和 TLS 终止位置。仅在持有主机上检查私钥，不复制到工单；同时检查客户端时间。

常见症状

• 浏览器提示 NET::ERR_CERT_DATE_INVALID 或证书名称不匹配
• 监控在续期日后仍报证书将过期
• 已有新证书但部分地区访问仍拿到旧证书

1. 从用户访问路径验证证书

不要只检查磁盘上的 pem 文件。使用目标域名和 SNI 从外部或边缘节点观察实际返回的序列号、有效期和签发者。

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -issuer -dates -serial

2. 检查证书链与部署位置

反向代理、负载均衡、CDN 与源站可能分别持有证书。确认证书文件和私钥匹配，fullchain 是否包含中间证书，再进行配置测试和优雅重载。

openssl x509 -in fullchain.pem -pubkey -noout | openssl pkey -pubin -outform DER | openssl dgst -sha256
openssl pkey -in privkey.pem -pubout -outform DER | openssl dgst -sha256
nginx -t && systemctl reload nginx

3. 避免用跳过校验的方式止血

关闭客户端证书校验或临时回退到 HTTP 会扩大风险。若自动续期失败，记录 ACME challenge 的 DNS/HTTP 路径、权限与 DNS 传播时间，再修复自动化。

journalctl -u certbot --since "24 hours ago" --no-pager

解读证据

说明性诊断案例

以下假设案例用于解释推理，并非客户真实事故，也不代表已在你的技术环境中测试。

源站证书已续期，访客却仍收到过期证书。如果 TLS 在负载均衡器终止，更新源站文件不会改变负载均衡器的证书。逐个比较实际提供的序列号，并在故障终止点部署新证书。

验证恢复

• 使用正常验证证书的 HTTPS 客户端检查正式域名，确认域名、链与有效期，不使用跳过验证参数。
• 对各 TLS 终止点复测并检查自动续期日志，确认后续续期链路可用。

回滚与停止条件

验证完成前保留原有效证书与私钥。只有原证书仍适用于域名且未过期时才能回退；否则需重新签发或切换健康终止点。