每个人都可以，
拥有SSL证书

2026年6月29日，博客园发了一篇SSL证书续期操作指南。这则指南的由头很明确：2026年3月起正式生效的证书最长199天有效期规定。

以前一份商业证书吃一年，现在半年就得续一次，想要覆盖全年只能靠两次证书签发。园子里的指南贴出了申请CSR、下载文件、替换Nginx配置并重载服务的完整步骤，甚至标上了阿里云和腾讯云控制台的操作路径。写完就有人在评论里调侃，这要是管着十几个域名，光半年就跟证书干上了。

手工续期那套动作，其实大家都不陌生。

但最近两年做运维的人明显感觉到，证书管理的坑不在操作复杂度，而在频次。频次一旦拉高，遗忘就成了常态。

几年前我给一个电商平台做紧急恢复，就是因为泛域名证书在周末过期，整个站点挂了四十分钟。哪怕配了监控，证书到期告警邮件被当成营销邮件忽略的情况比比皆是。199天周期等于是把这种风险的发生密度翻了一倍。

博客园那篇指南也点到了，有些正规服务商已经提供一年期的自动续期服务。不过稍微多踩几个坑就能发现，这类能力大部分只局限在单域名商业证书。

一旦场景变成几十个租户域名的SaaS，或者需要大量IP证书、泛域名证书，商业服务的覆盖面就跟不上了。

ACME协议在背后做了什么

能把证书管理频次压力卸掉的，是ACME协议。

ACME全称Automated Certificate Management Environment。用大白话说，它约定了你的服务器怎么跟证书颁发机构自动对暗号，完成域名所有权验证，然后直接签发证书、装好，到期前再自动换新。就像把老式挂锁换成指纹锁，验证一次身份之后，后面的全是自动化。验证方式常见就两种：HTTP-01在Web根目录放指定文件，DNS-01要求你添加一条TXT记录。

一条命令就能把这事儿办了。acme.sh --issue -d yourdomain.com --nginx 静默跑完，证书已经塞进对应目录。

续期更省事，acme.sh --renew -d yourdomain.com --force 搭配一个cron就收工。碰上ACME验证不通过，CA甩回来的报错也非常直白：urn:ietf:params:acme:error:unauthorized: The key authorization file from the server did not match the challenge。查一下.well-known/acme-challenge目录权限，或者看TXT记录有没有被CDN缓存污染，基本都能定位。

多域名与泛域名场景的痛点是真实的。一个SaaS平台十几个租户独立域名，每年手工去申请、做DNS验证、上传证书，花掉一整个工作日很正常。走DNS-01验证的ACME虽然可以自动化，但得自己维护轮询DNS解析API的脚本。

单这一块，碰到DNS服务商限频、API变更或者CA政策调整，维护成本就上来了。

一些团队索性把证书生命周完整托出去。lcjmSSL这类平台直接封装了ACME协议，后端对接的是Let's Encrypt、Google Trust Services、ZeroSSL几个支持ACME的受信根。

申请时选择泛域名、多域名或者IP证书，平台自动完成验证和部署，不需要在服务器上单独跑acme客户端。API接口给得也直接，一条curl带上域名列表，证书签发后自动推送到指定位置，可以直接嵌进发布流水线。对于维护着大量域名且不想折腾客户端脚本的团队，算是一个比较干净的解法。

博客园这篇指南把手工流程做了个精确示范，反而让人更清醒地看见一个问题。

证书不是用来磨性子的。把周期性更换这件事从人的记忆清单里彻底删掉，应该是所有业务的基线。