服务器证书过期怎么处理

# 从任意机器远程检查（最权威，含 SNI）
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates

# 只取过期时间
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -enddate
# 输出示例：notAfter=Mar 15 07:59:59 2026 GMT

# 检查本机证书文件是否在 7 天（604800 秒）内过期，返回值 0=未过期，1=即将过期
openssl x509 -in /etc/letsencrypt/live/example.com/cert.pem -noout -checkend 604800
echo $?

# 1. 查看本机所有证书及其剩余天数
sudo certbot certificates

# 2. 演练（不真正签发，用于验证 80 端口/ DNS 验证通道是否通畅）
sudo certbot renew --dry-run

# 3. 正式续期（只续期剩余不足 30 天的证书）
sudo certbot renew

# 4. 强制续期（即使还没到期也重新签发，用于排查或换算法）
sudo certbot renew --force-renewal --cert-name example.com

# 5. 续期后自动重载（推荐写进 deploy-hook，一劳永逸）
sudo certbot renew --deploy-hook "systemctl reload nginx"

# 方式 A：webroot（推荐，不中断现有 Web 服务）
sudo certbot certonly --webroot -w /var/www/html -d example.com -d www.example.com

# 方式 B：standalone（适合还没跑 Web 的机器，需 80 端口空闲）
sudo systemctl stop nginx
sudo certbot certonly --standalone -d example.com
sudo systemctl start nginx

# 方式 C：DNS 验证（泛域名 *.example.com 必须用这种）
sudo certbot certonly --manual --preferred-challenges dns \
  -d example.com -d '*.example.com'
# 按提示在域名控制台添加 _acme-challenge TXT 记录，确认解析生效后再回车

# Nginx：先语法检查再平滑重载（不中断连接）
sudo nginx -t && sudo systemctl reload nginx

# Apache（Debian/Ubuntu 叫 apache2，RHEL 系叫 httpd）
sudo apachectl configtest && sudo systemctl reload apache2
sudo apachectl configtest && sudo systemctl reload httpd

# 验证进程是否加载了新证书：看进程启动时间与当前握手返回的日期
sudo ps -o lstart,cmd -C nginx
echo | openssl s_client -connect 127.0.0.1:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -dates

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers off;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;

    # OCSP Stapling，减少客户端校验耗时
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
    resolver 223.5.5.5 119.29.29.29 valid=300s;
}

# 查看服务器实际发送的证书链有几层
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | grep -E '^[0-9]+ s:|^[0-9]+ i:|Verify return code'
# 正常应看到 2 层（s:叶子 / i:中间CA），且 Verify return code: 0 (ok)

# 验证链是否可由本机 CA 库完整校验
openssl verify -CAfile /etc/letsencrypt/live/example.com/chain.pem \
  /etc/letsencrypt/live/example.com/cert.pem

server {
    listen 80;
    server_name example.com;

    # ACME 验证路径不走跳转
    location ^~ /.well-known/acme-challenge/ {
        root /var/www/html;
        default_type "text/plain";
    }

    location / {
        return 301 https://$host$request_uri;
    }
}

systemctl list-timers | grep certbot
systemctl status certbot.timer
# 若没有，手动建 cron（每周一凌晨 3 点，随机延迟避免集中请求）
# 0 3 * * 1 root sleep $((RANDOM % 1800)) && certbot renew --quiet --deploy-hook "systemctl reload nginx"

#!/usr/bin/env bash
# /usr/local/bin/check-cert-expiry.sh
DOMAIN="example.com"
WARN_DAYS=30
END=$(echo | openssl s_client -connect "${DOMAIN}:443" -servername "${DOMAIN}" 2>/dev/null \
      | openssl x509 -noout -enddate | cut -d= -f2)
END_EPOCH=$(date -d "$END" +%s)
NOW_EPOCH=$(date +%s)
DAYS_LEFT=$(( (END_EPOCH - NOW_EPOCH) / 86400 ))

if [ "$DAYS_LEFT" -lt "$WARN_DAYS" ]; then
  echo "警告：${DOMAIN} 证书仅剩 ${DAYS_LEFT} 天，请检查 certbot 续期"
  exit 1
fi
echo "OK：${DOMAIN} 证书剩余 ${DAYS_LEFT} 天"