网站刚上线一周早上打不开显示连接不是私密，Let's Encrypt免费证书90天过期自动续期被关的惨痛教训

SSL证书配完不等于完事了

一个完整的SSL证书生命周期是：选类型 → 申请 → 部署 → 强制HTTPS → 修复混合内容 → 配置HSTS → 自动续期 → 定期检查。大多数翻车发生在以为"部署完就完事了"之后——证书过期了没人知道、页面引了一张HTTP图片导致绿锁变灰、续期脚本被误删了三个月才发现。

这篇文章把八个环节从头到尾拆一遍，每个环节该用什么工具、最容易在哪个节点翻车、翻车了怎么救。

一句话选型：个人博客、企业展示站、内容资讯站——Let's Encrypt免费DV证书完全够用，浏览器小锁和付费DV证书一毛一样。如果你的网站涉及用户注册、在线支付、会员信息，上OV证书，不是因为加密更强，而是因为用户可以点击小锁查看你的企业名称，这是反钓鱼最直接的信任信号。银行、支付、证券——EV证书，这是监管合规要求，不是你想不想的问题。

/etc/nginx/conf.d/example.com.conf

# 80端口 → 强制跳转443

server {

listen 80;

server_name example.com www.example.com;

return 301 https://$host$request_uri;

}

server {

listen 443 ssl http2;

server_name example.com www.example.com;

# 证书路径

ssl_certificate /etc/nginx/ssl/fullchain.pem;

ssl_certificate_key /etc/nginx/ssl/privkey.pem;

# 安全加固（TLS 1.2/1.3，禁用旧协议）

ssl_protocols TLSv1.2 TLSv1.3;

ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;

ssl_prefer_server_ciphers on;

# OCSP Stapling（减少TLS握手延迟）

ssl_stapling on;

ssl_stapling_verify on;

# HSTS（强制浏览器只用HTTPS访问）

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

root /var/www/example.com;

index index.html index.php;

}

三道防线

防线一：宝塔面板内置续期

宝塔默认在crontab里配置了每天凌晨运行的acme.sh续期任务。确认它存在：crontab -l | grep acme。如果不存在，宝塔面板 → 计划任务 → 添加Shell脚本 → 填入acme.sh续期命令 → 每天执行一次。

防线二：外部监控+告警

免费工具：UptimeRobot（uptimerobot.com）不仅可以监控网站是否在线，还可以监控SSL证书到期时间，到期前30天/14天/7天/1天分别发邮件告警。免费版支持50个监控项。另一个选择：SSL Certificate Expiry Monitor（Chrome插件），一键添加所有需要监控的域名。

防线三：日历提醒

Let's Encrypt证书每90天续期一次，在你的日历里设一个每80天重复的提醒："检查所有站点SSL证书有效期"。自动化工具可能出bug，但你的日历提醒不会——这是最后一道物理防线。