SSL证书到期了怎么更换？SSL 证书到期后，网站会显示 “不安全” 警告，影响用户信任及业务开展。更换需按 “提前准备→申请新证→替换配置→验证生效” 的流程操作，确保无缝衔接，避免服务中断。以下是详细步骤及注意事项。
1. 确认证书到期时间与类型
通过浏览器查看证书信息：访问网站时点击地址栏锁图标，在 “证书” 详情中查看 “有效期至”，建议提前 30 天启动更换流程，避免到期后网站被标记为不安全。记录证书类型：区分单域名证书（仅支持特定域名）、多域名证书（支持多个域名）、通配符证书（支持主域名及所有子域名，如 *.example.com），确保新证书与原类型一致，或根据业务扩展需求升级类型（如从单域名升级为通配符）。
2. 备份旧证书及服务器配置
备份当前 SSL 证书文件：包括私钥（.key 文件）、证书链（.crt 或.pem 文件），存储至安全位置（如加密 U 盘），若新证书配置失败可快速回滚。导出服务器 SSL 配置：记录 Web 服务器的 SSL 相关配置（如 Nginx 的 ssl_certificate 路径、Apache 的 SSLCertificateFile 参数），避免替换时遗漏关键设置（如加密套件、协议版本）。对于云服务器，通过快照功能创建系统备份，确保极端情况下能恢复到更换前的状态。
3. 选择证书颁发机构（CA）
优先选择原 CA 机构续期：续期可简化验证流程（如无需重复验证域名所有权），且证书链兼容性更好。若更换 CA 机构，需重新完成域名验证，建议选择知名机构（如 DigiCert、Let’s Encrypt、阿里云 SSL、腾讯云 SSL），确保浏览器信任其根证书。对比价格与服务：付费证书（如 OV/EV 证书）提供企业身份验证及技术支持，适合电商、金融类网站；免费证书（如 Let’s Encrypt）适合个人或非盈利网站，需注意 90 天有效期需定期续期。
1. 生成证书签名请求（CSR）
通过服务器工具生成 CSR：Nginx/Apache 可使用 OpenSSL 命令，执行 “openssl req -new -newkey rsa:2048 -nodes -keyout server.key -out server.csr”，按提示填写信息（国家、组织、域名等， Common Name 需与网站域名一致）。生成时注意：私钥（server.key）需妥善保管，不可泄露；建议选择 2048 位及以上密钥长度，避免使用 1024 位（安全性不足）。部分 CA 支持在线生成 CSR，填写域名后自动生成，可直接下载私钥和 CSR 文件。
2. 完成域名所有权验证
根据 CA 要求选择验证方式：DNS 验证（推荐，添加 TXT 记录至域名 DNS 解析）、文件验证（上传指定 HTML 文件至网站根目录）、邮箱验证（向域名管理员邮箱发送验证邮件）。以 DNS 验证为例：在 CA 控制台获取 TXT 记录值（如 “20240501abcdef...”），登录域名解析平台（如阿里云 DNS），添加主机记录为 “_acme-challenge” 的 TXT 记录，记录值填写 CA 提供的内容，TTL 设为 10 分钟。验证通常在 10-30 分钟内完成，CA 会通过邮件通知验证结果。
3. 下载新证书文件
验证通过后，CA 会提供新证书包，包含：服务器证书（域名证书，如example.com.crt）、中间证书（CA 颁发的链式证书，确保浏览器信任）。下载时选择与服务器匹配的格式：Nginx/Apache 常用 PEM 格式（文本格式，包含 -----BEGIN CERTIFICATE----- 标识）；IIS 使用 PFX 格式（二进制格式，需包含私钥）。若格式不符，使用 OpenSSL 转换（如 “openssl pkcs12 -export -in cert.crt -inkey private.key -out cert.pfx” 生成 PFX 文件）。
1. 上传新证书至服务器
通过 SFTP 或 SCP 工具将新证书文件（如 server.crt、server.key）上传至服务器的 SSL 目录（如 Nginx 默认路径 /etc/nginx/ssl/），设置文件权限：私钥文件权限设为 600（仅所有者可读），证书文件设为 644，避免权限过高导致服务器拒绝加载。对于 Windows 服务器，通过 “证书管理” 控制台导入 PFX 格式证书，存储位置选择 “本地计算机→个人→证书”，导入时输入证书密码（若生成时设置）。
2. 配置 Web 服务器加载新证书
Nginx 配置：编辑网站配置文件（如 /etc/nginx/conf.d/default.conf），修改 ssl_certificate 指向新证书路径（如 ssl_certificate /etc/nginx/ssl/new.crt），ssl_certificate_key 指向新私钥路径，保存后执行 “nginx -t” 验证配置语法，无错误则执行 “systemctl restart nginx” 重启服务。
Apache 配置：在 httpd.conf 或 ssl.conf 中，更新 SSLCertificateFile（新证书路径）、SSLCertificateKeyFile（新私钥路径）、SSLCertificateChainFile（中间证书路径），执行 “apachectl configtest” 检查配置，无误后重启 Apache（“systemctl restart httpd”）。
IIS 配置：打开 “IIS 管理器→网站→绑定”，选择 HTTPS 绑定，点击 “编辑→选择证书”，在列表中选择新导入的证书，确认后应用配置，无需重启服务器即可生效。
3. 配置证书自动续期（针对免费证书）
Let’s Encrypt 等免费证书需每 90 天续期，可通过 Certbot 工具实现自动续期：安装 Certbot 后，执行 “certbot --nginx -d example.com”（Nginx）或 “certbot --apache -d example.com”（Apache），按提示完成配置，工具会自动添加定时任务（如 crontab），在证书到期前 30 天自动续期并重启服务器。验证自动续期是否生效：执行 “certbot renew --dry-run” 模拟续期，无错误则配置成功。
1. 基础访问测试
清除浏览器缓存后访问网站，确认地址栏显示锁图标且无 “不安全” 警告。使用多个浏览器测试（Chrome、Edge、Firefox），避免因浏览器缓存导致的误判。检查证书详情：确认 “有效期至” 已更新为新时间，颁发者与新 CA 一致，证书用途包含 “服务器身份验证”。
2. 在线工具深度检测
通过 SSL Labs 的 SSL Server Test（ssllabs.com/ssltest/）检测：输入域名后查看评分（建议 A 及以上），检查是否存在 “证书过期”“证书不匹配”“链不完整” 等错误，确认支持的协议（如 TLS 1.2/1.3）和加密套件符合安全标准。使用浏览器开发者工具：在 “安全” 面板中查看 “连接” 状态，确认 “使用 TLS 1.3”“证书有效” 等信息，无警告提示。
3. 监控业务连续性
测试网站核心功能：如用户登录、表单提交、文件上传，确保 HTTPS 环境下功能正常（避免因证书配置错误导致 POST 请求失败）。检查第三方服务集成：如支付接口、CDN 加速、API 调用，确认其与新证书兼容（如 CDN 需同步更新源站 SSL 配置）。观察服务器日志（如 Nginx 的 error.log），排查是否有 “SSL handshake failed” 等错误，及时处理配置问题。
1. 记录证书信息并设置到期提醒
建立证书管理表：记录新证书的域名、类型、有效期、CA 机构、私钥存储位置等信息，便于后续跟踪。设置到期提醒：通过日历工具（如 Outlook、Google Calendar）添加提醒（提前 45 天、30 天、15 天），或使用专业 SSL 管理工具（如 Keyfactor、Venafi）自动监控到期时间，发送邮件 / 短信通知。对于自动续期的证书，定期检查续期日志（如 Certbot 的 /var/log/letsencrypt/），确保续期任务正常执行。
2. 优化 SSL 配置增强安全性
禁用不安全协议和加密套件：在服务器配置中关闭 SSLv3、TLS 1.0/1.1，仅保留 TLS 1.2/1.3；加密套件优先选择 ECDHE-ECDSA-AES256-GCM-SHA384 等强加密算法，禁用 RC4、DES 等弱算法。启用 HTTP 严格传输安全（HSTS）：在响应头中添加 “Strict-Transport-Security: max-age=31536000; includeSubDomains”，强制浏览器使用 HTTPS 访问，防止降级攻击。配置证书透明度（CT）日志：部分 CA 默认支持，可在服务器端启用 CT 验证，增强证书可信度。
3. 定期审计与备份
每季度检查 SSL 配置：使用工具（如 Mozilla SSL Configuration Generator）生成推荐配置，对比当前设置并优化。每年备份一次证书文件：即使自动续期，也需保留历史证书记录，用于合规审计（如金融行业需保留 3 年以上证书文件）。对于企业级网站，纳入年度安全审计范围，评估 SSL 证书的安全性、兼容性及管理流程，持续改进证书生命周期管理。
SSL 证书更换的核心是 “提前规划、无缝替换、全面验证”。通过提前备份、选择合适 CA、正确配置服务器，可确保更换过程不影响网站运行；而完善的后续管理（如到期提醒、安全优化），能长期保障 HTTPS 服务的稳定性与安全性。
上一篇：DNS发生故障的解决方法
下一篇：如何让网站支持IPv6？
