补充这方面，证书自动续约检查、故障诊断与重新签发

上一篇的观点是。自动续费 ssL证书文档 ： juejin.cn/post/…不过，

完成 acme.sh 自动续约配置后建议同时掌握下面这些检查命令。

证书自动续约出现问题时不要第一时间重新申请证书。应该先判断问题发生在哪一层：

• 腾讯云 DNS API 凭证是否存在
• cron 是否正常执行
• acme.sh 是否成功生成新证书
• 新证书是否复制到 Nginx
• Nginx 是否 reload
• 线上实际证书是否更新

常见使用者痛点与快速定位思路

• 痛点1：“我的网站一直提示 TLS 版本不支持，为什么会出现？” 可能是 Nginx 没有 reload 或 CDN 缓存未更新。
• 痛点2：“我看到 acme.sh 的日志报错，但我没改过任何配置。” 可能是腾讯云凭证失效或未持久化。
• 痛点3：“cron 看似已设置，却没有触发。” cron 服务未启动或任务被覆盖。按理说，
• 痛点4：“acme.sh 管理的域名列表中缺少我的域名。” 域名被误删或未加入管理。

一、查看 acme.sh 当前管理的所有证书

/root/.acme.sh/acme.sh --list
# 示例输出
# Main_Domain KeyLength SAN_Domains CA Created Renew
# Renewexample.com ec- *.example.com LetsEncrypt.org --25T18::27Z --23T18::27Z

主要关注的观点是，

• Main_Domain: 主域名。
• SAN_Domains: 通配符或其他域名。
• Created: 证书创建时间。
如果某个正在使用的域名没有出现在这里说明 cron 正常执行也不会续约此域名！话说回来，需要重新执行 --issue。

二、查看 Nginx 当前配置了哪些 HTTPS 域名

# 查看全部
nginx -T>/dev/null | grep -nE 'server_name|ssl_certificate|ssl_certificate_key'
# 查看指定域名
nginx -T>/dev/null | grep -n -B3 -A5 'zhideyun.cn'
# 示例：
# server_name zxhrs.zhideyun.cn;# ssl_certificate /usr/local/nginx/ssl/zhideyun.cn.pem;话说回来，# ssl_certificate_key /usr/local/nginx/ssl/zhideyun.cn.key;

确认能看到以下三点信息：

1. 域名是否仍然由 Nginx 提供服务；
2. Nginx 实际读取的是哪个证书文件；如果找不到对应文件，说明 acme.sh 并未安装到正确方法！

三、检查当前 Nginx 证书是否已经过期

# 检查本地 PEM 文件有效期
openssl x509 -in /usr/local/nginx/ssl/zhideyun.cn.pem -noout -subject -issuer -dates -serial

主要看 `notAfter`：它就是本地文件的过期时间。 如果 `notAfter` 已经过去。但页面仍显示旧内容，说明部署环节出现故障。

四、检查线上实际使用的 HTTPS 证书

# 用客户端方式获取线上服务器返回的 TLS cert 信息
echo | openssl s_client -servername zxhrs.zhideyun.cn -connect zxhrs.zhideyun.cn:443>/dev/null | openssl x509 -noout -subject -issuer -dates

这条命令直接验证浏览器真正看到的 certificate。再看比较两者，

• Nginx 本地 cert 文件 vs online cert；如果两者不一致，常见原因包括：`--install-cert` 未正确部署、Nginx 未 reload 或 CDN/负载均衡缓存。怎么说呢，

五、检查腾讯云 SecretId / SecretKey 配置

千万别直接 `echo $Tencent_SecretKey` 打印到终端！会泄露密钥，

# 推荐安全检查方式
for v in TencentSecretId TencentSecretKey;do
if，n
echo "$v: 已配置"
else
echo "$v: 未配置"
fi
done

再看正常输出示例，

Tencent_SecretId: 已配置 Tencent_SecretKey: 已配置

持久化 SecretId / SecretKey 到 account.conf

# 检查 account.conf 中是否已有凭据
grep ^Tencent_Secret /root/.acme.sh/account.conf | sed 's/=.*$/=<已配置>/'

为什么要持久化？ acme.sh 的 dns_tencent 插件优先读取环境变量；若不存在则读取 account.conf。 若两者都缺失，则无人值守自动续约无法通过 DNS 验签。 老实说，

如何将凭据写入 account.conf？

# 假设你已经在 shell 中 export 掉了凭据
sed -i '/^TencentSecretId=/d;/^TencentSecretKey=/d' /root/.acme.sh/account.conf

printf "TencentSecretId='%s' TencentSecretKey='%s' " \ "$TencentSecretId" "$TencentSecretKey">> /root/.acme.sh/account.conf

chmod +r /root/.acme.sh/account.conf

完成后即使退出 SSH 或重新启动器。只要 cron 正常运行，acme.sh 就能 读取凭据完成 DNS 验签。

是否还需要写 `/root/.bash_profile`？其实，

一般不需要。只在你手工登录后想直接使用环境变量时才写入；但请记住这并不能给 cron 提供凭据。

六、检查自动续约定时任务

# 查看 root 使用者 crontab 列表
crontab -l

sudo crontab -l

至于程序级别。systemctl status crond --no-pager # CentOS/RockyLinux 等

如果 crond 未运行： systemctl enable --now crond

如果 cron 没跑，整个自动续约流程就会彻底停止！请务必先开启 crond 服务。怎么说呢，

七、手工执行一次自动续约

/root/.acme.sh/acme.sh --cron --home /root/.acme.sh --debug 

注意观察日志中是否出现类似：

Tencent_SecretId/Tencent_SecretKey dns_tencent AuthFailure SecretIDDNS renew reload nginx ...

这些都是常见错误提示。

---

八、采取相应行动

• /root/.acme.sh/acme.sh --list --debug?   ❯ ✅ 有记录 → 跳至接下来，否则执行 --issue 重签发。

nginx -T --no‑pager -g 'servername|sslcertificate|sslcertificatekey'   ❯ ✅ 对比本地 & 在线 cert 若不一致 → 跳至接下来。

openssl x509 -i ./path/to/cert.pem --noout --dates --subject.   ❯ ✅ 确认有效期若已过 → 跳至接下来。

grep ^Tencent_Secret ~/.acmecalsh/account.conf …不过，.   ❯ ✅ 若无输出 → 执行持久化脚本补齐。

crontab -l;不过，systemctl status crond. ' ❯  

---

---