子域名与SSL证书配置风险排查清单

一、证书未覆盖子域名：最易发生、影响面最广

很多主体域名已部署证书，但新增的 www、m、api、admin 等子域名仍在用自签证书或直接走 HTTP。识别信号：浏览器地址栏出现“不安全”提示、访问子域名时证书告警、证书详情中的“使用者可选名称”只列了主域名。应对动作：盘点全部在用子域名，逐条核对证书覆盖范围；对泛域名证书与多域名证书按业务规划取舍，泛域名证书通常只覆盖一级子域名，多级子域名需单独评估；新增子域名上线前把证书申请纳入发布清单。公开的证书类型与签发周期可在 CA 机构页面查到，费用按证书类型与品牌差异较大，建议以官方报价为准做预算。

二、证书过期与续期断档：后果直接、停机即损失

证书有效期到期未续，会导致全站或部分子域名无法访问，支付、登录、API 调用同步中断。识别信号：监控缺失、到期前无提醒、运维交接后无人负责、证书详情页显示剩余天数已不足 30 天。应对动作：建立证书台账，记录域名、签发机构、到期日、责任人；设置到期前 30 天与 7 天两级提醒；优先启用自动化续期与部署，减少人工漏续；续期后立即在各子域名验证证书链完整性与生效时间。

三、私钥与验证材料管理失控：低频但后果严重

私钥随意存放在共享目录、聊天记录或代码仓库，或域名验证材料由离职人员掌握，可能造成证书被滥用、域名被恶意签发。识别信号：私钥文件权限过宽、多人持有同一私钥、验证邮箱为个人邮箱、签发记录无法追溯。应对动作：私钥集中存放并限制访问权限，签发与部署分离；域名验证优先使用 DNS 方式并绑定企业邮箱；人员变动时立即轮换私钥并复核已签发证书清单。

四、解析与证书配置不一致：隐蔽性强、排查耗时

子域名 CNAME 指向未配置证书的源站、CDN 回源使用 HTTP、负载均衡器未同步证书，都会造成“证书已买但页面仍报错”。识别信号：部分地域或部分运营商访问异常、抓包显示回源为明文、不同子域名证书指纹不一致。应对动作：按“解析记录—接入层—源站”三层核对证书部署位置；变更解析或接入服务商后做全链路复测；把证书配置纳入变更评审，避免只改一处。

把上述四项做成季度自查表，逐条打勾留痕，比事后救火更省成本。

本文由钻瓜网整理发布，内容仅供参考，具体政策、流程与费用请以国家知识产权局及各地官方机构最新公告为准。