2026 年 3 月 15 日起，公开信任的 TLS/SSL 证书有效期上限已经从 398 天缩短到 200 天。这项变化来自 CA/Browser Forum 的 SC-081v3 决议，并且不是一次性调整：后续还会继续缩短。对拥有官网、旧域名、客服站和云产品站的遂宁企业来说，证书管理正在从“每年记得续一次”变成需要长期维护的基础设施工作。
一、这次变化具体是什么
CA/Browser Forum 是浏览器厂商与证书机构共同参与的行业组织。SC-081v3 为公开信任 TLS 证书设定了分阶段的有效期上限：
| 生效时间 | 单张证书有效期上限 | 管理含义 |
|---|---|---|
| 2026 年 3 月 15 日 | 200 天 | 一年内通常需要多次续期 |
| 2027 年 3 月 15 日 | 100 天 | 人工到期提醒容易失效 |
| 2029 年 3 月 15 日 | 47 天 | 自动签发和自动轮换成为基础能力 |
这不是某一家云厂商的促销政策，也不是只影响新证书。企业需要把证书当成域名、备案、云主机同等级别的资产来管理。证书过期后，浏览器会提示连接不安全；如果搜索引擎恰好在这段时间抓取，可能看到超时、证书错误或无法访问。即使站点内容正常，用户也可能在进入页面前就离开。
二、企业官网真正受影响的三个环节
1. 多域名让到期时间变得分散
主域名、带 www 的域名、旧域名、客服域名、云产品域名可能分别申请证书。旧域名即使只做 301，也可能需要先完成 HTTPS 握手，证书配置不完整时，跳转还没有发生，浏览器已经报错。只记录“主站证书”不够，必须覆盖每一个仍可能被用户、客户或搜索引擎访问的域名。
2. 自动续期不等于自动可用
很多站点已经配置自动续期，但续期成功只代表新文件生成，不代表已经部署到正确位置。常见问题包括：续到了旧目录、CDN 仍在用旧证书、证书链不完整、宿主机更新了但回源节点没有更新。页面在浏览器里显示锁形图标，也不代表所有域名和链路上的证书都正常。
3. 证书失效会影响询盘链路
企业官网承担着产品展示、案例说明、在线咨询和电话引导。证书错误通常会让访客立即中断访问，广告投放、搜索结果和微信分享也会受到影响。对服务本地企业的官网来说，证书问题不只是技术告警，而是直接的商机损失。
三、现在应该补上的三套机制
1. 建立一张统一的证书台账
先在表格里把域名逐个列出来，至少记录下面这些字段：
- 域名和业务归属：官网、客服站、旧域名或客户项目
- 证书来源：云厂商、CA、CDN 或免费证书
- 签发时间、到期时间、验证方式
- 部署位置：源站、CDN、负载均衡或第三方托管
- 自动续期是否开启，责任人是谁
- 上一次人工验收时间和验收人
台账不能只放在某个人的电脑里。建议放到企业网盘或运营系统，并指定一个主要负责人。每次新增域名、迁移 CDN、换服务器或更换服务商时，都要同步更新。
2. 自动续期之外增加人工验收
如果条件允许，使用 ACME 自动签发和 DNS 验证；有多个子域名时，统一管理验证记录。自动续期开启后，仍要在续期完成后执行验收：证书是否覆盖当前域名、证书链是否完整、HTTP 是否正常跳转到 HTTPS、页面是否存在混合内容、移动端是否能打开。
建议把提醒节点设为到期前 45 天、30 天、14 天、7 天、3 天和 1 天。提醒内容不能只写“证书快到期”，还要带上域名、负责人和当前部署位置。这样收到消息的人可以直接处理，不需要再四处查找。
3. 从外部监控，并准备失败预案
证书监控应从企业办公网络之外发起，不能只在同一台服务器上检查文件是否存在。监控至少覆盖：HTTPS 状态码、证书剩余天数、证书域名、证书链和页面访问结果。发现异常时，通知到企业微信或值班人，而不是只写进日志。
还要准备一条人工兜底路径：CA 接口不可用、DNS 验证失败、CDN 控制台无法登录时，谁能拿到备用证书，谁负责切换，切换后由谁复核。自动化的价值是减少重复操作，不是把风险藏起来。
四、遂宁企业可以照着做的检查清单
- 把公司所有域名列全，包括只做跳转的旧域名。
- 逐个确认源站和 CDN 的证书到期时间是否一致。
- 用手机流量和电脑网络各打开一次，观察是否出现证书警告。
- 检查 HTTP 到 HTTPS 的跳转是否保留原路径和参数。
- 确认续期联系人、备份证书位置和故障处理人。
证书有效期缩短会持续发生。与其等到某天浏览器弹出警告再处理，不如现在把域名、证书、部署位置和责任人放进同一套流程。对企业官网来说，这项工作的目标不是追求漂亮的技术指标，而是让客户在搜索、点击、咨询的每一步都能正常打开页面。
