certbot自动续期跑两年没问题但迁移后悄悄失败四周无人发现，SSL证书到期监控到底该做到什么程度全攻略

自动续期不等于不会过期，要监控的是"自动续期有没有成功"

Let's Encrypt的certbot自动续期看似完美，但DNS验证失败、定时任务静默退出、服务器迁移后配置路径变更，这三个场景中任何一个发生都可能导致自动续期失败且没有任何人知道。自动续期解决的是"不用人手动操作"，证书监控解决的是"自动操作失败时有人被通知到"。两件事必须同时存在。具体做法：证书到期前30天和7天各发一次告警，如果30天告警触发时证书还没续，说明自动续期大概率出了问题，手动介入。

监控了主域名不代表监控了所有域名，子域名和辅助域名才是定时炸弹

LinkedIn的lnkd.in短链接域名证书过期导致全平台短链失效、Spotify的内部服务间通信证书过期导致音乐流中断，这些事故的共同特征：出问题的不是主域名证书，是没人盯的辅助域名。一个典型的中型企业可能有：主站域名、CDN域名、API子域名、管理后台子域名、短链接域名、邮件服务域名、内部微服务间通信证书。主域名通常有人在管，后面六个经常被遗忘。Keychest的证书发现功能和Cert Spotter的CT日志监控就是用来堵这个漏洞的。

告警发到了邮箱但没人看到，等于没有监控

监控工具发出告警邮件→发到了一个很少被查看的公共邮箱→30天提醒、14天提醒、7天提醒全部石沉大海→证书过期网站挂了。这不是监控工具的锅，是告警渠道设计有问题。正确做法：证书到期告警至少要配置两个不同渠道（比如邮件+钉钉/企业微信/Slack），且告警接收人至少是两个人（防止一个人休假或离职）。紧急告警（7天以内到期）要升级到电话或短信通知。Better Stack和TrackSSL在这方面做得最好——支持多渠道告警+值班调度。

只监控到期日期不验证证书链，中间证书过期时叶证书看着没问题

Google Voice在2021年因为中间证书过期导致全球中断4小时。叶证书的Not After字段显示还有半年才到期，但证书链里的中间证书已经过期了。大部分免费工具（UptimeRobot、Better Stack免费版、Pingdom）只检查叶证书的到期日期，不检查整个证书链。如果你用的商用证书是DigiCert/Sectigo/GlobalSign等CA签发的，中间证书通常有效期5-10年，到期时间容易被遗忘。Site24x7的免费版能做到第二层验证（检查吊销+黑名单CA），是免费方案里证书链验证最全的。

Certd：一站式证书自动管理

开源免费，GitHub上可直接部署。核心能力：自动申请Let's Encrypt/ZeroSSL等免费证书→自动部署到服务器/CDN/负载均衡→到期前自动续期→续期失败告警通知。首创流水线模式，申请和部署过程可视化。集成了阿里云DNS/腾讯云DNS/Cloudflare等主流DNS API。适合：用免费证书+需要自动化管理的团队。部署一台Certd，证书从申请到部署到续期到告警全自动，人只负责接收告警。

AllinSSL：开源SSL全生命周期管理

同样开源免费，定位和Certd类似但更侧重监控维度。核心能力：一键自动化部署证书+实时监控过期时间+自动续期+续期失败多渠道通知。集成主流DNS提供商，支持Docker一键部署。和Certd的主要区别：AllinSSL的监控面板和告警能力更强，Certd的流水线编排和部署灵活性更强。两个项目可以互补使用。

自建脚本：15行Shell搞定基础监控

如果你只需要"证书快过期了发个邮件"，不需要任何SaaS工具。核心命令：openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -enddate 获取到期日期，配合date命令计算剩余天数，小于30天发邮件。这个脚本放进crontab每天跑一次，配合certbot自动续期，构成零成本的证书生命周期管理。但注意：这个方案只能检查单个域名的叶证书，不检查证书链、不检查吊销状态、不发现遗忘的域名。