公司动态 · 发布时间：
域名证书快到期时，先确认它部署在哪里：攻击防御服务的接入节点可能持有面向访客的证书，源站也可能单独配置证书。两者用途不同，不能只更新其中一份就认为全链路安全。做好攻击防御服务的域名证书自动续期与回源联动，关键是让证书签发、部署、验证和流量切换按顺序完成，并保留失败时的回退路径。
先区分前端证书与源站证书
若 TLS 在防护平台终止，访客看到的是平台接入端配置的证书；平台到源站若也使用 TLS，还要校验源站证书是否有效、域名是否匹配，以及证书链是否完整。若 TLS 直接终止在源站，则证书更新和服务重载主要发生在源站一侧。部分架构会在两处都配置证书，应分别盘点。
准备清单时，记录证书覆盖的域名、签发机构、到期时间、私钥保管位置、部署节点和回源协议。域名增加或证书替换后，还要确认证书的备用名称包含实际访问域名。私钥不应随日志或工单明文流转，自动化账户也只授予必要的 DNS 或证书管理权限。
把续期流程拆成可验证的步骤
- 确定签发方式。支持 ACME 的环境可通过兼容客户端申请和续签公有证书；HTTP-01 通常要求验证请求能到达指定路径，DNS-01 则需写入域名验证记录，适用于无法从公网访问验证路径的场景。若域名由外部 DNS 管理，先确认是否有可用的自动化接口。
- 提前触发续期。配置到期监控，并在到期前留出足够处理时间。常见 ACME 证书有效期较短，客户端通常会在剩余有效期较多时尝试续签；具体触发策略应以所用客户端和签发方规则为准。失败时同时通知值班人员，避免只依赖自动重试。
- 先部署到非生产节点。检查证书与私钥是否匹配、域名是否覆盖、证书链是否齐全，再确认服务能正常加载。若平台提供证书版本或部署状态记录，保留更新前版本，便于快速恢复。
- 验证防护入口。从外部确认用户访问时呈现的是新证书，并检查常用页面或业务操作是否正常。还应查看防护平台到源站的连接状态，避免前端证书更新成功、回源校验却因旧证书或信任链问题失败。
- 满足条件后再切换回源。如果续期伴随源站迁移或维护，先让新源站具备正确证书和应用配置，再将防护平台的回源目标切换过去。观察错误率、响应情况和业务日志；确认稳定后再下线旧源站。
联动切换要考虑架构差异
在防护平台内切换回源
如果平台支持配置多个源站或源站组，可先加入新目标并完成健康检查，再按权重逐步导流。优点是切换集中、通常不必等待公共 DNS 缓存更新；但具体生效速度、探测能力和回退方式取决于平台功能，不能默认所有产品都支持无损切换。
通过 DNS 更换源站
若回源依赖域名解析，调整解析记录后，递归解析器和客户端仍可能缓存旧结果。切换前可按实际 DNS 配置提前降低 TTL，并确认旧源站在缓存过渡期仍能承接请求。该方式适合没有平台内回源编排能力的场景，但生效时间较难统一控制，回退也受缓存影响。
无论采用哪种方式，证书更新与切换都应设置明确的停止条件：新源站证书校验失败、关键业务操作异常或错误率明显上升时，不继续扩大流量。先恢复旧回源目标，排查证书链、主机名校验、源站访问控制和应用配置，再重新安排切换。
常见问题
只续签防护平台上的证书够不够？
不一定。若平台到源站使用加密连接，还需确认源站证书有效且平台能够信任；具体取决于 TLS 终止位置和回源配置。
续期成功后是否必须切换回源？
不必。单纯更换证书通常不要求更换源站；只有迁移、维护或故障恢复等需要时才联动切换，避免把无关变更绑在一起。
如何避免自动续期失败后才发现？
同时监控到期时间、签发任务结果和部署状态，并设置人工告警与旧证书回退方案。定期演练一次续期与回源恢复流程，确认权限、密钥和操作记录均可用。
归根结底，攻击防御服务的域名证书自动续期与回源联动不是单一的定时任务，而是一条有校验、有观察、有回退的变更链路。先明确证书部署位置，再验证新证书和新源站，最后按架构选择平台内切换或 DNS 切换，才能减少到期和迁移叠加带来的中断风险。
