建站日志 09-18:证书的日历
证书一多就要靠日历活着。自动续期之外,还留了一套人肉核对清单。
今天没大事,做的是证书台账。
手头的证书已经两位数了:主站的、各子域的、导航站的、服务族的。好消息是全部走 acme.sh 自动续期,签发时就把“续期后同步到哪、怎么重载”写死在配置里,到期自动换新,全程无人。坏消息是,自动化的链条上任何一环都可能静默断掉:DNS 供应商改 API、续期脚本权限变化、磁盘满了写不进文件——任何一种都会让“自动”变成“悄无声息地失效”,然后在某个凌晨三点,所有浏览器对你亮红牌。
所以台账上除了自动化,还有人工核对节奏。每张证书的到期日、签发方式、验证通道、部署路径,一页表全览。每月初过一遍到期窗口,谁在六十天内到期就重点盯。这不是不信任自动化,这是承认自己对“静默失败”有恐惧。
有几条纪律也一并写死:测试证书一律不进生产;续期后必须验证线上真的换新了(看证书有效期,不是看脚本输出“成功”);最特殊的一条是 HSTS 的 preload 状态永不移除——全站强制加密这条红线,开弓没有回头箭。
证书这个东西,签发的时候人人在场,失效的时候没人在场。日历是我替“没人在场”准备的。