证书自动续期的几个坑

2026-10-21

最常见的是续期成功了但服务没重载，浏览器拿到的还是旧证书。acme.sh 的 install-cert 可以挂 reloadcmd，把重载动作一起做掉。

acme.sh --install-cert -d example.com --ecc   --key-file /etc/nginx/certs/example.com.key   --fullchain-file /etc/nginx/certs/example.com.pem   --reloadcmd "systemctl reload nginx"

第二个坑是 DNS-01 的 TXT 记录缓存太久，续期时校验拿不到新值。把 TTL 调低可以缓解。