SSL证书运维需将证书视为动态资产，依托CaaS、CLM或手动模式管理，结合浏览器验证、OpenSSL检测及SSL Labs扫描确保生效，并通过服务重载、权限设置、环境隔离和CDN/WAF同步形成闭环操作。
SSL证书运维指南不是一份“看完了就完事”的文档，而是一套需要落地执行的日常动作体系。核心在于把证书从“静态配置”变成“动态资产”，尤其在当前证书有效期普遍压缩至47天（CA/B论坛新规）的背景下，靠人工盯到期日已不可行。
一、先确认你用的是哪种运维模式
不同架构对应不同查看和管理入口：
- 如果用的是CaaS（证书即服务），比如沃通CaaS或类似平台，登录对应服务商后台 → 进入「我的证书」或「证书订阅」页面，所有证书状态、剩余天数、签发时间、绑定域名一目了然；客户端（如WTCertBot）的日志也需定期查，重点看
renewal success或validation failed类提示。 - 如果部署的是CLM（证书生命周期管理）系统，比如Lemur或自建Vault+ACME集成，要进CLM控制台 → 查「证书仪表盘」，关注告警项：过期倒计时、OCSP响应异常、证书链断裂、密钥强度不合规（如SHA-1签名）。
- 如果纯手动管理，那就没有“指南页面”可看——所有信息分散在服务器文件、配置指令和命令行输出里，必须靠人主动巡检。
二、关键信息不能只“看”，得验证是否生效
光看到证书文件存在、后台显示“正常”，不代表用户访问没问题：
- 浏览器地址栏点锁图标 → 查「有效至」日期、颁发者是否为可信CA、域名是否完全匹配（注意www与非www、SAN列表）；
- 用
openssl s_client -connect your-domain.com:443 -servername your-domain.com | openssl x509 -noout -dates直接抓远程证书有效期，避开本地缓存干扰； - 跑一次
ssltest.ssllabs.com全面扫描，它会暴露证书链缺失、协议降级、弱加密套件等隐藏问题。
三、运维动作要形成闭环，不是单点查看
真正有效的指南体现在操作流里：
- 每次续证后，必须 reload Web服务（Nginx用
nginx -s reload，Apache用systemctl reload apache2），否则新证书不加载； - 私钥权限必须是600，证书文件644，否则Nginx/Apache启动失败；
- 多环境（测试/预发/生产）要分开管理，避免用错证书路径或混用私钥；
- CDN或WAF层若终止TLS，得单独在对应控制台上传并启用证书，服务器端配置再全也不起作用。
不复杂但容易忽略。
