398天→47天，证书手动运维能扛得住吗？

发布日期：2026-08-21 18:19 浏览量：30

老生常谈了，SSL证书有效期确认了会从398天，一路缩到现在的200天，明年3月15日到100天，最终47天。还在靠Excel和日历提醒管证书的团队可能会先崩。这篇讲清三件事：为什么崩、自动化要解决什么、现在该动手做什么。

一、398天→47天

先把背景说清：目前为止证书最长有效期是200天。往前推，是365天，再往前，能到825天。

为什么一路在缩？其实就一句话：“证书吊销有延迟。私钥一旦泄露，吊销是唯一的止损手段，可吊销信息全网传开需要时间。有效期越短，一张‘丢了但还没吊销’的证书能作恶的窗口就越短。”

CA/B论坛的SC-081v3提案，就是顺着这条逻辑推到底的：398→200→100→47。

所以对CA机构来说，这代表签发频次暴涨；对企业来说，是过期事故从"可能一年一次"变成"月月可能来"。

二、为什么手工管证书会崩

我们从不少的用户反馈看到，大部分团队还是"Excel+日历+邮件提醒"的老办法：买一张证书、下载、部署，把到期日记在某个同事的日历里，定期邮件提醒，到期前手动续、再重新部署一遍。

有效期825天甚至200天时，这套还凑合，一年操作几次，错不了太多。缩到100天、47天，麻烦翻着倍来：

01、数量爆发：几百个域名、上千台服务器，证书可能上千张。47天一续，一年要处理上万个"签发—部署—续期"动作，漏一个，断一个业务；

02、审批赶不上：续期得走变更、审批、部署、验证。当证书寿命（47天）比一次内部审批还短，续期永远追不上，证书早过期了，流程还没走完；

03、责任人找不到：证书散在各业务线、各团队、各家云上，没统一台账，也没明确所有权人。到期提醒发给谁都不知道，这是证书事故最常见的开头。

这几年前后国际大厂已经出过好几起证书过期导致的支付、云服务中断。这些事技术原理并不复杂，毛病是同一个：一个本该自动化的动作，在某个环节断了。

三、自动化需要解决的四个事

解法不是"更勤快地续期"，是把证书管理从"续期动作"升级成"生命周期管理"。这需要企业or团队建立四个能力：

统一台账：先搞清楚你到底有多少张证书。扫描公网、内网、云、边缘节点，收进一张表，每张标好所有权人和到期状态。
标准化签发：人工申请那套——提CSR、等审核、收邮件、下载——撑不住高频签发。基于ACME这类协议，申请、验证、签发、下发全走接口，人工只留"首次授权"。
自动部署续期：签发后自动推到负载均衡、Web服务器、CDN；到期前自动触发续期，不靠人记。
监控告警：到期、吊销、配置错误持续盯着，异常就多渠道告警，人力有时穷，不能只盯那张Excel。

这四件事说清楚其实就是把"人的记忆"从关键路径上拿掉。自动化避开的是“记不住”这个大坑。