SSL/TLS 证书的有效期正在被行业整体压缩，这一趋势由四大浏览器厂商共同推动，影响所有公开可信证书，与证书的签发机构无关。

根据 CA/Browser Forum 通过并实施的 SC-081v3 提案，全球公开可信 SSL/TLS 证书的最大有效期分三步缩短：2026 年 3 月 15 日起，由 398 天缩短至 200 天，该节点已生效；2027 年 3 月 15 日起，进一步缩短至 100 天；2029 年 3 月 15 日起，缩短至 47 天。

在 100 天乃至 47 天的有效期下，人工续期将难以为继。本文梳理政策背景、自动化现状与落地路径，帮助站长与企业提前完成从「人工换证书」到「系统自动续期」的切换，避免在政策节点到来时出现证书批量过期的被动局面。

一、政策背景：谁在推动，为什么

推动证书有效期缩短的是微软、苹果、Mozilla、谷歌四大浏览器厂商，决策机制为 CA/Browser Forum 的投票流程，提案编号 SC-081v3。

缩短有效期有两个明确动机。其一，缩短私钥泄露后的暴露窗口。证书一旦泄露，攻击者可在有效期内冒充对应网站，有效期越短，单张泄露证书的可利用时间越短。其二，以机制倒逼自动化。有效期缩短后，人工申请、验证、签发、部署、续期的频次成倍上升，只有全流程自动化才能维持可用性。

从结果看，这一政策并非增加站长的运维负担，而是推动整个行业把续期从人工动作升级为系统能力。截至 2026 年 11 月，全球约 90% 的网站已将 HTTPS 作为默认协议（W3Techs，2026-11），短有效期政策在此基础上进一步重塑证书的运维方式。

二、自动化现状：能力是通用的，不是某一类证书的专利

近期有营销话术称「只有国产 SSL 证书支持自动化部署，国外证书不支持」。2026 年 11 月 3 日，相关机构已发布公告澄清，该说法与事实不符。

自动化的技术基础是业界通用的 ACME 协议，叠加各 CA 提供的证书生命周期管理能力，覆盖申请、域名验证、签发、部署、续期的全流程。国际主流 CA 中，Sectigo、Certum、DigiCert 三家已支持全流程自动化，覆盖多云、容器与传统服务器环境；GlobalSign 的自动化成熟度相对不足，域名验证环节仍需人工或邮箱配合。

因此，选型不应以「是否国产」为判断依据，而应考察三项硬指标：是否支持 ACME 自动续期、是否提供到期监控与告警、是否支持到期前自动重签。这三项决定证书在短有效期时代能否稳定运行。

三、人工续期在短有效期下的真实成本

人工续期的成本通常被低估，因为它分散在日常协作中，而非集中爆发。

发现滞后：缺少监控时，证书过期往往由用户先看到浏览器告警。对电商、SaaS 等业务站点，这直接转化为订单与信任损失。

部署不完整：证书重签后，边缘节点、CDN、测试环境或个别反向代理未同步更新，出现「主站正常、部分入口仍是旧证书」的不一致，排查成本高于全站过期。

配置错误：私钥与证书不匹配、中间证书链缺失、多域名证书漏配 SAN 条目，都是高频问题。有效期缩短后，这些错误的发生频率被成倍放大。

结论明确：在 100 天乃至 47 天的有效期内，人工续期不是「多花时间」，而是「迟早断链」。

四、落地路径：把续期变成系统能力

第一步：以 ACME 实现申请与续期自动化。ACME 协议使证书申请、域名验证、签发、部署无需人工干预。免费证书场景下 Certbot、acme.sh 等工具已成熟；企业场景需确认所选 CA 的自动化接口与云、容器、传统主机等实际部署方式匹配。

第二步：建立分级监控与告警。自动化不等于无风险。应在证书到期前 30 天、7 天、1 天分级告警，并监控证书透明度（CT）日志，发现非预期的新证书签发即触发排查。监控目标是「是否真的续上」，而非「日历是否记录」。

第三步：执行到期演练。选定测试域名，人为缩短证书有效期，完整跑通从触发、签发、部署到验证的链路，确认各环节可用。多数自动化流程平时表现正常，续期触发时才暴露环节故障。

第四步：规范通配符与多域名证书的 SAN 管理。自动化续期最常见的错误集中在 SAN（Subject Alternative Name）条目上：新增子域名后未同步到证书，或删除子域名后 SAN 残留过期条目，都会在验证阶段被拦截。应将 SAN 清单纳入配置管理，与域名台账保持一致，每次变更后自动触发一次重签与校验。

五、三类需要立即检查的场景

仍在使用一年期老证书。现行规则下证书最长 200 天。若仍持有长于 200 天的证书，其签发时间早于新规生效，到期后将按新规则处理，应趁当前周期切换续期方式。

证书分散在多台机器。建立证书台账，逐条记录每张证书的位置、域名、到期时间与 SAN 配置。多域名、通配符证书需单独核对，这是自动化改造的前置动作。

续期依赖人工提醒。若证书到期的唯一通知方式是人工日历记录，应优先补齐到期监控，再推进自动化。作为域名与证书服务商，时代互联在为客户处理证书事故时观察到，绝大多数断链并非证书本身出错，而是「没有人负责续期」这一环节断掉。

六、常见问答

证书有效期缩短，是所有证书都受影响吗？
公开可信的 SSL/TLS 证书均受影响，覆盖境内外全部合规 CA 签发的证书。内部自签或私有 CA 签发的证书不受 CA/Browser Forum 政策约束。

免费证书和付费证书在自动化上有区别吗？
自动化能力取决于是否支持 ACME 与生命周期管理，而非是否收费。主流免费证书（如 Let's Encrypt）同样支持完整的 ACME 自动续期。

已经用 Certbot 自动续期，还需要做什么？
需补充到期监控与续期成功校验。自动续期工具存在执行失败的可能，缺少监控时失败会被静默忽略，直到证书过期。

47 天的证书会不会影响 SEO 或用户体验？
不会。有效期与加密强度、站点排名、访问体验无关。需要关注的是续期自动化是否可靠，避免因过期导致 HTTPS 中断。

企业如何判断所选 CA 的自动化是否达标？
以三项指标验证：支持 ACME 自动续期、提供到期分级告警、支持到期前自动重签。三项齐备即可满足短有效期时代的运维要求。

国内环境下，国密（SM2）证书也要做自动化吗？
需要。国密证书同样存在有效期与续期问题，且多用于政务、金融等合规要求高的场景，人工续期的中断风险更大。应确认所选 CA 的国密证书是否支持自动续期与生命周期管理。

相关服务

SSL 证书（https://www.now.cn/ssl/）：覆盖 DV、OV、EV 多种验证级别，支持自动化部署与到期管理，满足短有效期时代的续期要求
域名注册（https://www.now.cn/domain/）：域名实名认证与解析管理，配合证书完成站点 HTTPS 加固