TLS

证书自动续签经常在部署当天显示正常，却在两个月后因为端口、DNS 或权限变化而失败。最有效的检查不是查看 timer 状态，而是运行完整的模拟续签。 验证挑战路径 HTTP-01 依赖公网 80 端口和正确解析，DNS-01 依赖有效的 API 凭据。选择方式后，要明确哪个进程在验证期间占用端口。 验证部署钩子 证书文件更新后，Web 服务通常还持有旧证书。续签成功必须触发平滑 reload，并确认 reload 失败能够在日志和监控中暴露。 提前告警 除了检查任务退出码，还应直接读取线上证书的剩余有效期。这样即使续签程序本身异常，也能在到期前留下处理窗口。