网站SSL证书到期后如何正确续期并重新部署？

网站SSL证书到期后的正确续期与重新部署流程如下：

一、直接回答

SSL证书到期后，需向证书颁发机构（CA）申请签发新证书，将新证书及私钥文件上传至Web服务器对应目录，修改配置文件指向新文件路径，最后重载或重启Web服务使配置生效。

二、具体操作步骤

1. 生成CSR文件：在服务器上生成新的证书签名请求（CSR）文件和对应的私钥（Private Key）。若沿用原私钥，可直接使用旧CSR，但出于安全考虑建议重新生成。
2. 提交续期申请：登录CA平台或代理商后台，提交CSR文件完成域名所有权验证（如DNS解析验证、文件验证等），等待签发新证书。
3. 下载证书文件：签发成功后，下载适用于当前Web服务器类型（如Nginx、Apache、IIS、Tomcat）的证书文件包，通常包含公钥证书和中间证书链。
4. 上传并替换文件：将新证书文件上传至服务器指定目录，覆盖旧文件或重命名保存。
5. 修改服务器配置：更新Web服务器配置文件中的证书路径。例如Nginx中修改ssl_certificate和ssl_certificate_key指令指向新文件。
6. 重载服务：执行平滑重载命令（如Nginx的nginx -s reload或Apache的apachectl graceful），无需完全停止服务即可应用新证书。
7. 验证部署结果：通过浏览器访问网站检查锁图标状态，或使用命令行工具检测证书有效期是否已更新。

三、判断依据

• 浏览器地址栏出现“您的连接不是私密”或红色警告标识，表明证书已过期或未正确部署。
• 查看证书详情中的“有效期”字段，确认起止时间是否覆盖当前日期。

四、适用条件

• 手动续期适用于所有类型的SSL证书（DV、OV、EV）。
• 自动化续期（如Let's Encrypt配合Certbot）仅适用于支持ACME协议的免费DV证书，且需服务器具备自动执行脚本的权限。

五、常见误区

• 误区一：认为续费等于自动生效。 向CA付款续费后，必须在服务器端手动替换证书文件并重载服务，否则旧证书依然处于过期状态。
• 误区二：忽略中间证书链。 仅部署域名证书而遗漏中间证书，会导致部分移动端或老旧浏览器提示证书不受信任。
• 误区三：私钥泄露风险。 续期时切勿将私钥发送给第三方，CSR文件中不包含私钥信息，CA仅需CSR即可完成签发。