acme.sh 证书续签检查清单

证书自动续签真正重要的是“续签后安装到了哪里”和“服务有没有重新加载”。

检查项

• DNS API Token 权限是否最小化。
• 证书安装路径是否被服务实际引用。
• reload hook 是否执行成功。
• 定期检查剩余有效期。

openssl x509 -in fullchain.pem -noout -dates
systemctl reload nginx

不要只看 acme.sh 目录里的证书，要看 Nginx 实际加载的那份。