Appearance
网站换证流程图解：证书装在哪里，更新后怎么检查？
拿到新证书后，需要把它安装到实际为网站提供 HTTPS 的服务器或平台上。本文用图解解释证书装在哪里、一次换证包含哪些环节；具体操作统一见手动更新 SSL 证书。
先找到谁在提供 HTTPS
先确认你平时在哪里管理网站：是直接管理 Nginx、Apache 等服务器，还是通过宝塔、1Panel 或云平台管理。常见情况有下面两种。
情况一：访客直接访问网站服务器
图中右侧是访客端，左侧是服务端，箭头表示请求从访客发往服务器；网站页面等响应沿原连接返回。例如，网站由一台 Nginx 服务器直接提供 HTTPS，那么应更新这台服务器使用的证书。通过宝塔或 1Panel 管理网站时，通常从对应网站的证书设置中操作。
情况二：网站前面还有 CDN、WAF 或负载均衡
请求从右侧访客端进入前置平台，再由平台向左侧网站服务器发起 HTTPS 回源请求；响应沿相应连接返回。两处证书分别管理：更新后端服务器后，还要检查前置平台是否也需要换证。
如果前置平台通过 HTTP 访问后端，后端这段连接不使用证书。如果设备只转发 TLS 流量、不处理加密连接，则应在后方实际提供 HTTPS 的服务器上更新证书。
不知道自己属于哪种情况时，先向网站管理员或服务商确认：“访客访问这个域名时，使用的是哪台服务器或哪个平台上的证书？” 同时确认是否还有其他服务器也在使用同一张证书。
一次换证按这个顺序完成
第一步：准备新证书和原配置备份
- 在 CertCloud 中找到本次已签发的新证书，确认它包含网站需要的域名，并查看生效和到期时间。尚未取得新证书时，先完成订单中的续期或重颁发。
- 按目标服务器类型下载或导出证书。使用 KeyManager 时，解压导出的压缩包，找到对应服务器的文件。PFX、JKS 的密码可在一起导出的
readme文件中查看。 - 准备与新证书匹配的私钥和本次配套中间链。本次沿用原密钥时，核对其公钥与新证书一致后再部署。
- 更新前备份网站当前使用的证书文件和配置。通过面板管理时，记下原来选择的证书和网站设置。备份中含有私钥，应保存在只有必要人员能访问的位置。
如果已有工具自动更新这个网站的证书，先与维护人员确认本次如何操作，避免手动更新后又被自动任务覆盖。
第二步：在原网站中更新证书
保留现有网站、域名和端口设置，只更新证书及其配套文件。 不同环境看起来操作不同，实际都要完成两个环节：
- 更新材料或引用：文件型服务替换实际引用的证书与密钥；密钥库型服务更新身份条目；面板或云平台导入新证书后，还要让目标网站或监听器引用它。
- 让服务加载：按原部署方式检查配置，再重载、重启或发布。自动化维护的文件和资源，通过原管理流程处理。
“重载”是让服务重新读取配置和证书，部分环境需要重启或等待平台分发。加载完成后，再从网站实际入口检查新证书。
具体命令和面板步骤统一见手动更新 SSL 证书，在该页选择你的服务器环境即可。
第三步：打开网站，检查是否已换成新证书
- 在自己的电脑上重新打开网站的完整 HTTPS 地址，确认访问的是目标域名和端口。
- 点击浏览器地址栏左侧的网站信息按钮，打开连接信息和证书查看器。不同浏览器的入口名称可能略有不同。
- 对照本次新证书，检查域名、生效时间和到期时间。新旧证书的到期日可能相同，需要准确确认时，应比较同一种算法生成的证书指纹，例如 SHA-256。
- 浏览常用页面，并测试登录、图片和接口等实际业务，确认没有证书错误或访问异常。
- 网站使用前置平台或多台服务器时，请维护人员分别检查各入口和节点。
确认网站实际返回新证书、证书校验正常且业务可用后，本次换证才算完成。
如果网站仍返回旧证书，先检查是否更新了正确位置、是否保存了绑定、服务是否成功加载。详细检查方法见证书已经更新，为什么访问仍显示旧证书？。
更新失败时怎么办？
先查看服务器或面板的错误提示，检查文件、密码和读取权限。需要恢复时，按原部署方式恢复备份文件或原证书绑定，再检查网站访问。
恢复使用的旧证书必须仍有效、未被吊销，并带有匹配私钥。旧证书已过期、已吊销或私钥泄露时，应尽快部署有效的新证书，并联系技术支持协助处理。
日常巡检关注什么？
平时主要记住三件事：
- 看网站证书何时到期：提前留出申请、验证和部署时间。
- 看订单服务期是否充足：需要续费时提前办理。
- 启用了自动更新就检查执行结果：查看最近任务是否成功，并确认网站实际使用的证书已更新。
可以记录“网站域名、管理平台或服务器、证书到期时间、负责人和下次处理时间”，方便交接与提醒。