① 项目背景
稀土大厦一家外贸公司凌晨三点被客户电话叫醒：官网打开弹红色警告，证书过期了。上午临时买了张一年期证书手忙脚乱换上，搜索引擎收录还掉了几天。很多客户以为买张证书就一劳永逸，实际上证书生命周期管理才是坑：一年期证书存在14个人都看过密码的Excel里，离职一个忘交接一个，过期是迟早的事。
② 咨询设计
我们给的方案是三件套。第一件，证书托管与自动续期：把站点迁到支持ACME协议的环境，用Let's Encrypt 90天证书配合Certbot自动续期，续期后自动重载Nginx并推送验证结果到企业微信群，90天短周期反而更安全，密钥泄露窗口小。第二件，全域名监控：用Uptime Kuma每5分钟探测主域、API域、邮箱域的证书剩余天数，30天黄色告警、14天红色告警，直接短信加微信双通道通知到我和客户的IT负责人，不再依赖某一个人的记性。第三件，把官网、OA门户、邮件系统的TLS统一到TLS1.2以上，禁用老套件，HSTS开启一年有效期。
③ 施工规划
实施放在周六晚10点后。先在测试环境跑通ACME验证流程，DNS改CNAME做验证记录，避免停服窗口改A记录；生产切换前导出全站当前证书指纹留底，切换后用SSL Labs扫描评分从C提到A。邮件服务器证书同步更换，Outlook客户端配置文档重写了一版发给全员。监控探针部署在公司内网一台低配虚拟机加一台云上轻量服务器，内网外网各看一遍，防止监控自己瞎了。证书链也顺手梳理：补齐中间证书，SNI多域名站点分开签发，微信内嵌浏览器打开白屏的老问题一并解决。
④ 安全补丁
顺带做了暴露面收敛：原先服务器上还开着21、3389这些端口，全关掉，远程只留VPN入口；证书私钥统一存放在服务器加密分区，权限只给部署账号，Excel密码表当众作废。再上WAF规则拦爬虫和SQL注入探测，之前每周几千次扫描，现在连日志都清爽了。
⑤ 验收交付
验收连续观察30天：证书自动续期两次均无人值守成功，探测告警零误报，SSL Labs评分A，Google Search Console收录一周内恢复。交付了证书管理手册、续期排障流程图、监控平台账号，给客户IT做了1小时演练，故意把Nginx配置改坏让他按手册恢复。顺手把www裸域、老旧HTTP链路全部301到HTTPS，全网外链权重不再分散。
⑥ 售后承诺
此后每季度免费做一次证书和TLS基线巡检。半夜出事打17704868686，包头本地团队2小时到场，大年三十也在，不舍昼夜守着您那一纸证书。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）