凌晨两点，监控群告警某业务域名的 TLS 证书只剩 3 天，ACME 面板却显示“续期成功”。工程师换上新证书，部分请求仍报过期；不同节点还返回不同序列号。反复重跑脚本只会掩盖故障。证书自动轮换实际包含域名验证、签发、部署和到期告警四段链路，后台变成 Valid，不等于线上已使用新证书。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：myhbd（海外服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
ACME 客户端收到 Valid，只代表签发机构完成订单。DNS-01 要确认 TXT 由正确账户写入、覆盖待签域名，且权威与递归解析器均已同步；HTTP-01 要求 80 端口直达源站，/.well-known/acme-challenge/ 不被登录页、CDN 或 WAF 截断。常见坑是 CNAME 仍指向旧账户、残留冲突 TXT、内外网解析不一致。
签发后还要核对主题、SAN、有效期和私钥匹配，并部署完整证书链。只替换叶子证书、遗漏中间证书或进程未重载，都会让新文件与实际握手脱节。多节点须逐台检查。告警应绑定真实域名和 SNI；若监控源文件、错误 IP 或闲置域名，阈值再准也无法反映线上风险。
定位时先保存订单日志、权威 DNS 结果、证书指纹和线上握手记录，再对齐时间轴。验证阶段看挑战令牌能否到达目标、记录能否被公网读取；签发阶段看错误码、CAA 与速率限制；部署阶段比对序列号、有效期和私钥摘要；告警阶段核对探针访问的地址、端口及 SNI。不能只看脚本退出码。
最有效的验收，是从公网分别直连源站、负载均衡入口和业务节点，读取证书指纹并与签发文件对照。指纹一致却握手失败，继续查协议、密码套件、证书链和系统时间；指纹仍旧，则查部署路径、权限、进程重载、灰度节点及自动回滚。ServLlama 可汇总续期任务、指纹和节点状态，辅助定位未更新节点，但外部握手结果才是最终证据。
还要避开两个误区：DNS-01 成功不代表旧 TXT 无冲突；源站正确不代表缓存节点和回滚任务正确。修复后应模拟到期巡检，确认告警提前到达，再从公网连续验证全部入口。这样才能证明证书已接管流量，而非仅证明任务执行过。
ACME域名验证并不只是把文件放到网站目录。验证期间必须确保DNS记录或HTTP响应对验证节点可见，而且相关域名都要分别通过检查。多域名证书常被通配符证书覆盖，但通配符不能直接验证根域，而且依赖DNS-01验证。若更换DNS服务商、修改权威区域或使用多个解析链路，某一处尚未同步就可能失败。
排查时应记录ACME订单状态、验证类型、具体响应码和DNS记录值，不要只看客户端最后一行错误。DNS-01需要确认TXT记录完整、没有被旧任务删除，API凭据仍在有效期内；HTTP-01则要检查80端口是否可达、重定向是否落到其他域名，以及返回内容是否包含指定令牌。时间偏差过大、验证端临时限流、代理缓存旧响应，也会造成看似随机的失败。
预发布环境还有一个隐蔽问题：它使用独立的预发布端点，签出的证书通常不会被公网信任。部分脚本若把预测试证书直接部署到生产，会造成TLS握手异常。因此应区分测试账户、正式账户及对应CA端点，在正式切换前验证证书链、SNI和目标域名，而不是仅检查文件是否已经生成。
自动续期只负责获得新证书，不代表生产节点已经完成证书自动轮换。部署环节要确认证书和私钥匹配、完整信任链已下发、文件权限正确，并检查负载均衡器、容器、网关及后端节点是否使用了不同版本。高可用环境应逐批替换证书，通过健康检查和真实客户端握手后再扩大范围，避免一次覆盖导致连接中断。
回滚方案应在续期前就准备好。保留旧证书、私钥、信任链和对应配置快照，同时记录序列号、指纹及有效期，确保回滚后仍能完成握手。若部署脚本采用符号链接或原子替换，还要验证切换过程中是否存在短暂空文件。自动任务应设置明确的续期阈值，例如剩余三十天发起申请、剩余十四天未成功则触发告警，而不是等证书已经过期才处理。
告警也不能只写“续期失败”。至少应包含域名、订单状态、失败阶段、验证记录、下次重试时间及负责人。证书到期告警需要分级通知，并关联监控面板和变更记录，防止同一故障反复发生却无人确认部署结果。
最后按以下清单执行：核对系统时间和时区；查看ACME账户、订单及验证日志；确认DNS或HTTP验证结果；检查API权限与速率限制；验证新证书域名、有效期和完整链；确认私钥匹配及权限；逐台部署并测试TLS握手；检查所有节点证书指纹；执行客户端兼容性测试；确认告警已触发且通知送达；最后演练一次证书部署回滚。完成这些检查，才能把“自动申请成功”真正转化为“服务持续可信”。
