一日一技 | 一篇教你搞定 SSL 证书监控和续签
内容提要
数字证书颁发机构Gworg宣布，从2023年12月31日起停止签发为期一年的免费SSL证书，网站需要每3个月续期。文章介绍了使用Certbot自动续签证书的方法，以及手动续签的步骤。同时提到了使用Uptime Kuma监测SSL证书状态的方法。作者对国内云服务商提高SSL证书费用的做法表示不满。
延伸解读
免费证书政策变化的影响
Gworg 停止签发一年期免费 SSL 证书后，使用免费证书的网站需每 3 个月续期一次。这增加了管理多个域名或子域的难度，个人网站和图床可能因证书过期而暂时下线。文章指出，证书过期会导致网站无法通过 HTTPS 安全访问，主流浏览器会显示安全警告。
自动续签的可行方案与限制
Certbot 可自动获取并续签 Let's Encrypt 证书，支持泛域名，简化管理。但其自动续签依赖 80 端口，在国内家用宽带中常受限，可借助 Nginx Proxy Manager 实现。使用 DNS 插件（如 certbot-dns-aliyun）可绕过端口限制，但首次自动续签可能被云平台误判为异常调用，触发安全警报。
CDN 场景下的手动续签
对于使用图床或 CDN 的用户，云服务商接口可能不支持免费证书自动续签，必须手动操作。步骤包括定位 Certbot 证书文件（通常在 /etc/letsencrypt/live 或 nginx-proxy-manager 的 archive 目录），然后在 CDN 管理界面上传 fullchain.pem 和 privkey.pem 替换旧证书。
监控证书状态与成本考量
定期监测 SSL 证书状态可避免过期导致访问中断。Uptime Kuma 可监控证书到期，默认在剩余 21、14、7 天时通知。文章作者对国内云服务商提高证书费用表示不满，认为单域名证书年费超 300 元、泛域名超 1000 元，可能超过服务器开销，难以接受。
Q&A
Gworg停止签发一年期免费SSL证书的原因是什么？
Gworg停止签发一年期免费SSL证书是为了调整市场策略，可能是为了鼓励用户购买付费证书。
如何使用Certbot自动续签SSL证书？
使用Certbot自动续签SSL证书需要安装Certbot和相应插件，配置AccessKey凭证，并运行Certbot命令获取证书。
手动续签SSL证书的步骤是什么？
手动续签SSL证书需要定位证书文件，并将证书内容上传至CDN管理界面替换旧证书。
如何监测SSL证书的状态？
可以使用Uptime Kuma监测SSL证书状态，设置监控项目并启用证书到期通知。
国内云服务商提高SSL证书费用的影响是什么？
提高SSL证书费用和续签难度可能导致个人用户感到不满，增加了网站管理的经济负担。
Certbot的自动续签功能在国内环境中可能遇到什么问题？
Certbot的自动续签功能依赖于80端口的访问，这在国内家用宽带环境中常常受限。
