SSL 证书续期成功，为什么线上仍是旧证书？

先确认：续期和部署是两个步骤

续期工具成功，通常只说明取得了新证书；对外服务还需要读取这份证书。反向代理、负载均衡和 CDN 可能分别管理证书，其中任一入口未更新，都可能继续向部分访问者返回旧证书。

以下是示意场景，并非真实客户记录：源站已换成新证书，但 CDN 边缘节点仍返回旧证书。只在源站查看文件会认为已完成，用户连接 CDN 时仍可能遇到到期问题。

按这个顺序核对

1. 核对实际访问域名和端口。根域名与 www 子域名分别检查；如使用 8443 等 HTTPS 端口，也需核对该入口。查看证书覆盖域名与到期时间。
2. 找到终止 TLS 的服务。确认连接到的是 CDN、负载均衡还是反向代理。应用服务器的证书文件，不一定是公网用户实际收到的证书。
3. 核对证书路径与重新加载结果。检查服务配置引用的文件、证书链和私钥是否对应；按服务文档检查配置并重新加载，随后核对日志。不要只依据续期任务的成功消息。
4. 比较多个节点。在 HTTPS 证书检测中选择多个节点，比较覆盖域名、签发者和到期时间，并留意证书差异提示。差异可能来自 CDN 的正常证书部署，需结合预期判断，不能直接判定异常；这些可见字段相同也不能证明证书完全相同。
5. 回到浏览器确认。检查目标设备是否仍报错。有效期和域名匹配不能代替完整的信任链、撤销状态与设备兼容性验证。

部署依据：NGINX HTTPS 配置与证书链、NGINX 重新加载配置。若尚未确认是否过期，先按 证书过期处理步骤 核对时间和实际证书。

看到不同结果后，下一步查哪里？

所有节点都返回旧证书

优先检查公网 TLS 入口、配置路径和重新加载是否成功；确认没有查错域名或端口。

只有部分节点返回旧证书

核对各节点解析地址及对应 CDN、负载均衡实例的部署状态，再重复检测确认。

证书已更新，浏览器仍然报错

继续核对域名覆盖、中间证书、设备时间和信任库。保留浏览器的具体错误码，避免把所有问题都归为过期。

有效期缩短后，更需要确认线上部署

按 CA/Browser Forum 当前规则，2026 年 3 月 15 日起新签发的公开信任 TLS 服务器证书，有效期上限为 200 天；2027 年 3 月 15 日起为 100 天，2029 年 3 月 15 日起为 47 天。实际签发期限可能更短，既有证书不会因此统一改成同一个到期日。

自动续期负责申请新证书，部署是否自动完成取决于现有配置；外部检测用于确认线上实际返回的证书。OK Uptime 的证书监控不会代为签发、续期或部署。

依据：CA/Browser Forum TLS Baseline Requirements §6.3.2。了解证书到期提醒的扫描和通知规则。