证书快到期了，是续费还是重新申请？

打开网易新闻 查看精彩图片

摘要：主体信息、域名范围、证书类型与私钥状态四项均未变化时优先续费，任一项发生变更则应当重新申请。选错的代价不是费用差额，而是证书空档带来的业务中断。

一、续费与重新申请，本质区别在哪里？

续费与重新申请都是取得一张新证书的路径，差别在于审核范围与生效的连续性。续费在原订单上延长服务期，在验证数据重用期内，沿用既有的主体与域名验证结果，签发新序列号、新有效期的证书，部署配置通常无需改动；重新申请则新建订单，域名验证与主体审核全部重走，可同步调整证书类型与域名清单。

需要明确的是，证书并不具备延长有效期的能力，notAfter 字段无法修改。续费只是把下一次签发提前安排好，因此续费完成之后仍须执行下载、部署与回读确认。

审核范围：续费复用既有验证数据，重新申请重新核验主体与域名。

变更自由度：续费仅调整服务年限，重新申请可更换类型与算法。

生效连续性：续费在服务期内签发，不产生空档；重新申请若到期后签发则必有空档。

数据来源：CA/Browser Forum，Ballot SC-081v3《缩短证书有效期与验证数据重用周期的时间表》，2025 年

二、如何判断应当续费还是重新申请？

判断标准可以收敛为六个维度，任一维度落在“变更”一侧，就应当走重新申请。前提是掌握证书资产台账，其中至少包含主体信息、域名清单、签发机构、部署节点与剩余天数五项内容。

打开网易新闻 查看精彩图片

还有一条容易被忽略的规则：验证数据的重用期正在同步缩短。按 SC-081v3 的时间表，SAN 验证数据的重用期将由 398 天压缩至 200 天、100 天，2029 年 3 月 15 日之后仅剩 10 天，存量订单的验证资料需提前备齐。

三、常见误区有哪些？

误区一：续费等于把现有证书的有效期往后延。正确做法是把它理解为一次重新签发，必须完成下载、部署与加载验证。

误区二：续费时可以顺带修改域名与单位信息。正确做法是把这类变更剥离出续费流程，任何调整都需重新送审。

误区三：证书过期之后再补办，影响只是几天访问异常。正确做法是把它视为业务中断，浏览器告警与 API 调用失败会同时出现。

四、把单次决策变成可复用的机制

当有效期进入 200 天乃至 47 天的节奏，续费与重新申请就不再是每年一次的临时判断，依靠日历与人工盯防的续期方式，出错只是时间问题。

可行的做法是把判断规则前置到台账：登记每张证书的域名、主体、类型、私钥来源与部署节点，按剩余天数设置阈值自动触发，把申请、验证、签发、部署与回读确认连成闭环，并对临期证书分档告警。沃通在 SSL 证书领域深耕二十余年，其证书自动化方案正是围绕这条路径设计的：

沃通 CertBot 执行器安装在目标服务器上，完成申请、验证、续期、部署与服务加载，并可直接对接主流云平台的 DNS 自动验证；

沃通 CAC 控制台以可视化界面集中调度多个 CertBot，每日巡检在管证书、到期前 30 天自动触发续期；

沃通 CaaS 平台以统一 API 承担生命周期编排与多系统连接。对于需要在两条路径之间反复判断的团队而言，这套组合把人工决策压缩为规则配置。沃通同时是持牌的第三方电子认证服务机构，具备工信部《电子认证服务许可证》与电子政务电子认证服务资质。

常见问题（FAQ）

Q1：证书还有 15 天到期，现在续费来得及吗？

A：来得及，但应当立即启动。DV 证书在完成域名验证后通常数分钟内签发，OV/EV 证书需要人工审核主体资料，一般需要 1 至 3 个工作日，建议预留至少 7 个工作日。

Q2：续费完成之后，旧证书需要手动删除吗？

A：不需要。旧证书在 notAfter 之后自动失效，真正的风险在于配置文件仍指向旧证书路径，因此部署后应当回读线上证书的序列号与到期时间。

Q3：有效期缩短之后，续费频率会上升多少？

A：按 SC-081v3 的时间表，最大有效期由 398 天压缩至 200 天、100 天，最终在 2029 年 3 月 15 日降至 47 天，同一域名的年签发次数将由约 1 次上升至约 8 次。