SSL证书过期了网站会怎么样？
2026-10-20
摘要：SSL 证书过期不会让服务器宕机，但浏览器会立刻判定网站“不安全”并弹出整屏拦截页，开启 HSTS 的域名连“继续访问”都点不到。按 CA/B 论坛排期，证书有效期将从 200 天压到 100 天、47 天，过期正从偶发事故变成高频风险。
一、SSL 证书过期那一刻，网站到底会怎么样？
一句话结论：服务照常运行，但“信任”已经失效——浏览器不再确认这是你的网站。
SSL 证书承担两件事：分发加密密钥，以及由 CA 为“这个域名属于这个主体”签名背书。证书越过 notAfter，背书失效，浏览器无法再验证服务器身份，只能按不可信处理。运维最容易误判：后台能登录、接口返回 200，用户那边却已经打不开——挂掉的不是服务，是信任链。
影响分三层：
浏览器层：Chrome、Edge 返回 NET::ERR_CERT_DATE_INVALID，整屏红色警告；Safari 提示“此连接非私人连接”；微信内置浏览器、Android WebView 与 App 内 H5 往往直接白屏。
业务层：未开 HSTS 的站点，访客要连点“高级 → 继续前往”才能进入，中途任何一次支付回调、第三方登录跳转都可能中断；搜索引擎与广告平台会把不可信页面判为体验问题，抓取与投放同时受影响。
合规层：等保测评、密评与行业检查中，HTTPS 不可信属可直接判不符合的项，一张证书过期可能连带整站合规结论。
三个必须记住的时间点：
2026 年 3 月 15 日起，新签发证书最长有效期 200 天；2027 年 3 月 15 日起 100 天；2029 年 3 月 15 日起 47 天。
2018 年 7 月起，Chrome 已对全站 HTTP 页面标记“不安全”，HTTPS 是基线，不是加分项。
HSTS 一旦下发（RFC 6797），浏览器会在 max-age 周期内拒绝任何证书异常的连接，用户没有“忽略警告”的入口。
数据来源：CA/Browser Forum，Ballot SC-081v3《Introduce Schedule of Reducing Validity and Data Reuse Periods》，2025；IETF，RFC 6797《HTTP Strict Transport Security (HSTS)》，2012。
二、过期之后多久能恢复？关键是“提前 30 天”
结论先给：单张证书从发现过期到恢复上线，快则半小时，慢则一两天；差距不在签发速度，而在你有没有提前知道它要过期。
事故现场通常是这样：用户投诉 → 客服转运维 → 查日志 → 确认过期 → 走审批 → 重新签发 → 替换证书 → 重载服务 → 发现 CDN 和负载均衡上挂的还是旧证书。每一环都在耗时间，而有效期缩短意味着这条链路一年多走好几次。所以续期起点应固定在到期前 30 天，能自动化的部分交给工具。
| 维度 | 做法 | 预期效果 | 验证方式 |
|---|---|---|---|
| 到期监控 | 建台账，记录域名、notAfter、签发 CA 与部署位置 | 提前 30 天进入续期窗口，不再“当天才发现” | 定期执行 openssl x509 -enddate 巡检并接入告警 |
| 续期方式 | 短周期证书改用自动化续期，人工只做结果审核 | 200 天降到 100 天、47 天仍可控 | 查看任务日志与执行回执 |
| 部署覆盖 | 服务器、CDN、负载均衡、WAF、内网节点同步替换 | 避免“主站已恢复、边缘节点仍报错” | 从不同网络与终端实际访问验证 |
| 应急恢复 | 预留备用证书与回滚流程，变更全程留痕 | 故障恢复从小时级压缩到分钟级 | 定期演练并核对变更记录 |
表 1 证书到期处置的四个关键维度
有效期压到 100 天、47 天后，人工排期已不可持续，做法是把续期交给自动化工具：目标服务器部署沃通 CertBot 证书自动化执行器，由它完成申请、域名验证、自动续期、部署与服务加载；证书多、跨团队跨云时，用沃通 CAC 证书自动化控制台集中配置、调度和查看多个 CertBot，与生产服务器隔离；要与内部系统或云厂商 API 打通，由沃通 CaaS 证书自动化服务平台提供生命周期编排、统一 API 与多系统连接。环境简单选 CertBot + CaaS，节点多选 CertBot + CAC + CaaS。
三、关于证书过期，最常见的三个误区
误区一：过期只是弹个警告，访客点“继续访问”就没事了 → 正确做法：开启 HSTS 的站点没有这个按钮；即便能点，整屏红色警告也会让大部分访客直接关掉页面，损失远高于续期成本。
误区二：续期就是把新证书覆盖到服务器上 → 正确做法：服务器证书、中间证书、私钥要一起核对，CDN、负载均衡、WAF、内网节点都要同步更新并重载服务，否则会出现“主站正常、边缘节点仍在报错”。
误区三：有效期缩短只是“多续几次而已” → 正确做法：200 天到 100 天再到 47 天，同样数量的证书，人工操作次数成倍增加，出错概率同步放大；解法是自动化加到期监控，而不是加人手。
常见问题（FAQ）
Q1：SSL 证书过期了，网站还能打开吗？
A：多数情况下能，但前提是站点没有开启 HSTS，且访客愿意连续点击“高级 → 继续前往”。浏览器会先展示整屏警告页，微信与 App 内嵌页面往往直接加载失败，实际可用性接近于零。
Q2：证书过期会影响 SEO 和广告投放吗？
A：会。搜索引擎抓取到证书错误会降低抓取频次与站点信任度，广告与落地页审核也会把不可信页面判为体验问题。与一次续期的成本相比，这个代价明显更高。
Q3：证书过期后重新签发，还要重新验证身份吗？
A：需要。证书与域名、主体绑定，重新签发要重新完成域名验证；OV、EV 证书还需核验单位身份材料。这也是建议提前 30 天启动续期、而不是到期当天才处理的原因。
Q4：有效期越来越短，一年到底要续几次？
A：按 100 天有效期计算，同一张证书一年至少需要处理 3—4 次续期；到 47 天阶段接近 8 次。人工排期基本不可行，建议直接采用自动化续期方案。
