证书过期是运维里最"冤"的一类故障：不是被攻击，也不是服务器坏了，只是一张数字证书到点了没人管，网站就直接对访客报"不安全"。它的特点是不会提前报错，到点立刻生效，所以只能靠提前管理。
一、证书过期会发生什么
- 浏览器地址栏出现"不安全"或"证书无效"警告，相当一部分访客看到提示就直接关掉；
- 部分浏览器对过期证书拦得更紧，"继续访问"的入口都不明显；
- 依赖 HTTPS 的第三方接口会调用失败：小程序请求、支付回调、部分 API 都会因此报错；
- 搜索引擎与投放平台对站点安全性的判断受影响，收录和广告都可能被牵连；
- 企业信任受损——报价页、支付页出现这种提示，转化会明显下滑。
二、怎么查证书到期时间
- 最直接：浏览器打开网站，点地址栏的锁形图标 → 证书信息，能看到签发者与有效期；
- 多子域名要逐个查：主站正常，不代表 mail、api、m 这些子域名的证书也在有效期内；
- 换过服务器、新加过域名之后，最容易漏掉某个域名的证书；
- 建议建一张证书台账：域名、签发时间、到期时间、负责人都记上，把到期时间统一登记提醒。
三、续费怎么做（两种路径）
- 在原服务商续费：流程最短，通常是重新签发一张新证书，再替换部署到服务器上；
- 换服务商续费：需要重新提交申请与验证，好处是可以顺带换成更合适的类型（例如从单域名换成通配符）；
- DV 证书验证域名归属即可，通常十几分钟到 1 个工作日内签发；
- OV 证书需要重新做企业身份审核，周期更长，要预留时间；
- 无论哪种方式，续费不是"延期"，而是换一张新证书，必须重新部署，别漏了这一步。
四、怎么避免断档
- 提前 30 天提醒：把"到期前一个月"作为固定动作，给重新审核和部署留足时间；
- 用通配符证书覆盖同一主域下的子域名，减少漏掉某个子域名的概率；
- 维护域名清单，新增子域名时同步确认证书是否覆盖；
- 用自动化方式续期的，一定要另配到期告警，避免自动化静默失败没人知道；
- 替换与部署安排在访问低峰执行，减少瞬间影响。
五、几个常见疑问
- 免费证书能续吗？能，但免费证书通常有效期很短，需要更频繁地续；
- 换了服务器证书要重装吗？要，证书与私钥必须重新部署到新环境；
- 过期后再补办来得及吗？补办本身很快，但过期期间损失的访客与信任补不回来，关键还是提前；
- 能不能一次买久一点？主流证书单次有效期有上限，属于行业规则，所以"到期提醒"这件事永远省不掉。