SSL证书90天自动续签失败？手把手教你排查并快速恢复HTTPS服务

如果你正在搭建自己的网站或准备上线一个新项目，却突然发现SSL证书续签失败、浏览器提示“不安全”，别慌——这其实是很多初次部署HTTPS服务的用户都会遇到的问题。尤其当你使用的是免费证书（如Let’s Encrypt），其90天有效期机制对自动化运维提出了更高要求。本文将带你一步步排查自动续签失败的根本原因，并提供可立即执行的修复方案，确保你的网站始终处于安全可用状态。

更重要的是，这些排查步骤也能帮你判断：当前服务器环境是否真的适合长期稳定运行Web服务。如果你发现配置复杂、依赖过多、日志混乱，或许正是时候考虑一个更简洁、可控的部署环境——比如从零开始选择一台更适合你业务需求的云服务器。

为什么90天免费SSL证书会续签失败？

Let’s Encrypt等免费证书颁发机构（CA）出于安全策略，将证书有效期严格限制在90天内。虽然支持自动续期，但一旦以下任一环节出错，续签就会失败：

• 域名解析异常：CA在续签时需验证你对域名的控制权，若DNS记录错误或未生效，验证失败。
• Web服务配置错误：Nginx/Apache未正确暴露验证路径（如/.well-known/acme-challenge/）。
• 系统时间不准：服务器时间偏差超过几分钟，会导致证书签发被拒绝。
• 权限或路径问题：Certbot等工具无法读写证书目录或日志文件。
• 防火墙或安全组拦截：80/443端口未开放，导致CA无法访问验证文件。

第一步：确认证书是否真的过期

不要仅凭浏览器提示判断。使用以下命令精准查看证书到期时间：

echo | openssl s_client -connect yourdomain.com:443 2>/dev/null | openssl x509 -noout -enddate

输出示例：

notAfter=Mar 22 23:59:59 2025 GMT

如果当前时间（2025年12月29日）已超过该时间，则证书确实过期，需重新申请。

第二步：模拟续签，定位具体错误

运行Dry Run（模拟续签）是排查问题的关键一步：

sudo certbot renew --dry-run

常见错误及对应解决方案如下：

1. “Failed to connect to host for DVSNI challenge”：说明80端口未开放或Web服务未监听。检查防火墙规则和Nginx配置。
2. “Unable to find a virtual host listening on port 80”：Certbot无法找到用于HTTP验证的server块。需确保Nginx中存在监听80端口的配置。
3. “Timeout during connect”：可能是云服务器安全组未放行80端口。登录控制台检查入站规则。
4. “The manual plugin is not working”：说明你使用了手动模式但未配置DNS API。建议改用Webroot或Standalone模式。

第三步：检查Web服务器配置是否支持ACME验证

以Nginx为例，确保你的站点配置包含以下内容：

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;

    location /.well-known/acme-challenge/ {
        root /var/www/;
        try_files $uri =404;
    }

    location / {
        return 301 https://$host$request_uri;
    }
}

然后验证配置并重载：

sudo nginx -t && sudo systemctl reload nginx

第四步：验证系统时间与证书链完整性

运行以下命令检查服务器时间：

date

若时间偏差较大，启用NTP同步：

sudo timedatectl set-ntp on

同时检查证书链是否完整（避免手机浏览器报错）：

openssl s_client -connect yourdomain.com:443 -servername yourdomain.com

正常应看到两条证书链（0和1）。若只有0，说明中间证书缺失。解决方法是将域名证书与中间证书合并：

cat yourdomain.com.crt /etc/letsencrypt/live/yourdomain.com/chain.pem > fullchain.pem

并在Nginx中使用fullchain.pem作为ssl_certificate。

第五步：设置可靠的自动续签机制

即使手动续签成功，也必须确保自动化。推荐两种方案：

方案一：使用系统定时任务（crontab）

 每天凌晨2点检查续签
0 2    /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

方案二：使用专业工具（如httpsok）

该工具可自动检测Nginx配置、申请证书、重载服务，并支持多域名、泛解析：

curl -s https://get.httpsok.com/ | bash -s YOUR_TOKEN

安装后自动同步证书状态，到期前15天自动续签，无需干预。

对比：不同SSL证书管理方式的适用场景

如果你频繁遇到续签失败、配置混乱、服务中断等问题，可能说明当前服务器环境缺乏标准化和可维护性。此时，重新评估你的基础设施——比如选择一台预装优化环境、支持一键部署HTTPS的云服务器——或许是更高效的选择。