SEO 百科
证书链与续期
本页目录
证书链与续期
证书链与续期 指的是两件事，一是发证书时把整条链配全，二是到期前把它自动换掉。链少发了一段，浏览器可能照常打开，爬虫和一些客户端却会连接失败；续期没自动化，短有效期的证书一过期，HTTPS 就断在这头。这两件事平时不显眼，出事时最难查，配好之后还要长期盯着。
证书链由三段接成
网站拿到的是终端实体证书，也叫站点证书。它对着一批域名，自己不能再签别的证书[1]。这张证书要由一张中间证书签出来，中间证书再由根证书或另一张中间证书签，一路连到一张根证书[1]。这么分层，是因为根证书的私钥离线保管，日常签站点证书的活交给中间证书来做[1]。
根证书预先装在操作系统和浏览器的信任库里。客户端验证一张站点证书，是顺着这条链一张核一张，核到库里那张被信任的根为止[1]。链上少一环，这条核对就接不上。
中间证书缺失的后果
服务器该把站点证书和中间证书一起发出去，只发站点证书、不发中间证书，是最常见的配错。遇到这种断链，浏览器多半能自己补上：证书里带一个 AIA 扩展，写着去哪取签发者，浏览器照着去下载缺的那张中间证书[1]。所以用浏览器打开看着一切正常。
问题出在不肯自动补的客户端。curl、很多 Java 程序、还有搜索引擎的抓取工具，遇到断链不会去顺 AIA 取证书，连接直接判失败[2]。Let’s Encrypt 明确说，在新平台上出验证问题，最常见的原因就是没把正确的证书链发全[2]。结果就是同一个站点，浏览器能看、接口调用和抓取却报错，最难查的正是这种“看着没事”的差一半。
验证链是否完整
配好证书后先验一次链全不全，别等出事再查。最直接的是一条命令，把服务端返回的证书链打印出来：
openssl s_client -connect example.com:443 -servername example.com -showcerts
返回里该看到站点证书在上、中间证书紧随其后。核对结果看最后那行 Verify return code：若是 21，多半就是缺了中间证书、链没接上。更快的做法是拿在线工具跑一遍，比如 SSL Labs 的 Server Test，这个工具 Let’s Encrypt 也推荐，能直接标出链里少了哪一环[2]。
配的时候把站点证书和中间证书拼进同一个文件一起发，别只发站点证书那一份。
续期失败的常见原因
续期不是点一下就行，几个坎最常绊住自动续期。
- 域名列表变了。用非 ARI 方式续期时，新证书要和旧证书的域名完全一致才算“续期”；改了一个域名，就被当成新签发，占用签发限额[4]。批量续期撞到限额，多出现在这里。
- 验证挑战过不去。HTTP-01 要求 80 端口可达、
/.well-known路径没被拦也没跳错地址；防火墙改了、重定向配歪了，续期的验证就收不到应答。 - 写死了中间证书。中间证书会变，不该在配置里硬指定，要用 ACME 返回的链接头去取[3]。写死的版本一换，链又断。
- 换了证书没重载。文件已经换成新的，但 Nginx、Apache 还在用内存里的旧证书，不 reload 就等于没续上。
让续期稳下来
把续期做成不用人惦记的循环，是防过期唯一的稳妥办法。Let’s Encrypt 建议每天查两次续期信息，由服务端提示什么时候该续；查不到就退一步，在证书还剩三分之一寿命时重签[3]。
失败别当致命错误处理。官方推荐用指数退避重试：第一次隔一分钟，第二次隔十分钟，再往后逐渐拉长到每天一次[3]。这样一次瞬时故障不至于把站点拖到过期。同时给到期状态配一个监控告警，续期连续失败几天就发通知，赶在过期前有人来查。
与抓取和收录的关系
链不全和证书过期，在抓取这一侧是同一类后果：客户端认为这张证书无效。Google 选规范网页时优先 HTTPS，但 HTTPS 页面的“SSL 证书无效”时，它会改挑 HTTP 版本当规范网页[5]。断链让爬虫补不齐证书、续期失手让证书过期，都会把站点推到这条偏好对面去。
浏览器能自己补中间证书，不等于爬虫也能补。所以配完链、跑通自动续期，保护的正是那部分不会自动补齐的访问方。证书有效、链完整、按时无声更新，抓取和接口调用才都能顺过去。
附录
参见
参考资料
官方（境外）
- 《Glossary》，Let's Encrypt，2026-09-08 更新。
- 《Certificate Compatibility》，Let's Encrypt，2025-01-19 更新。
- 《Integration Guide》，Let's Encrypt，2025-06-23 更新。
- 《Rate Limits》，Let's Encrypt。
- 《如何使用 rel="canonical" 及其他方法指定规范网址》，Google 搜索中心。
外部链接
无。