服务

SSL/TLS 证书管理

SSL/TLS 证书是这样一类东西：一直运行良好，直到某一天，在大多数业务人员毫无预警的情况下突然失效。一份证书在周日悄然过期，每个浏览器访问您的网站时都弹出醒目的警告，而不明白 TLS 错误是什么的客户会直接认为您被入侵了。这是一次自己造成的中断，而且完全可以避免，这恰恰是它不断发生的原因。证书管理不只是续期提醒，而是了解您运行的每个域名、子域名、API 和内部服务上的每一份证书，保持它们有效，并确保底层配置（协议版本、密码套件、信任链）确实可靠，而不仅仅是存在。

实践中问题出在哪里

证书会悄悄增多。一家以为只有少数证书需要跟踪的公司，在有人真正清点内部服务、遗留子域名和第三方集成之后，往往会发现有几十份。所有权分散在各个团队，续期提醒发送到没人再查看的邮箱，而多年前设置的自动化在一次没人想到与之相关的基础设施变更后悄然失效。

我会怎么做

我会从完整清点入手，覆盖您环境中任何地方正在使用的每一份证书，而不仅仅是人们记得的那些面向公众的域名。随后，只要可行就实施自动化监控和续期，因为目标是让人再也不用通过客户的愤怒邮件才发现证书已经过期。我还会审查每份证书背后的实际配置，包括弱协议、配置错误的证书链、签发范围超出必要的证书，因为证书虽然有效但配置不当，仍然是真实的风险，只是更隐蔽。对于无法自动化的部分，我会建立职责明确的流程，使续期不再依赖某一个人的记忆。

如果您曾经是从客户而不是仪表板得知证书已过期，或者不能完全确定自己究竟在运行多少份证书，欢迎联系我，让我们把它管起来。