运维人的末日来了！SSL证书有效期又要缩短？！该怎么办

本文链接：https://blog.csdn.net/Justinpr/article/details/148174262

最近运维圈传来噩耗。

上个月，CAB论坛（CA/Browser 论坛）的SC-081提案，说是要把SSL证书的有效期，从现在的90天（最常见的），直接砍到可能只有47天！

以前吧，一年一续，或者最多90天一续（像Let's Encrypt那种），虽然也挺折腾，但咬咬牙也就过去了。可这要是变成一个半月就得搞一次，而且是所有证书都这样，那画面太美我不敢看啊！想象一下，每个月都要检查哪些证书快到期了，然后一个个去申请、验证、部署…… 出点岔子，网站就“不安全”警告，老板的电话、用户的投诉立马就追过来了。这工作量，简直是指数级上升，想想都觉得眼前一黑，焦虑得我晚上睡觉都不踏实。

这不，自从听到这风声，我就开始琢磨咋办了。总不能坐以待毙，等着被无穷无尽的续期工作淹没吧？于是就开始到处翻帖子、看方案，想找个能自动化的、或者能简化这事儿的路子。什么自动化脚本啊、各种证书管理平台啊，也看了一些。

就在我焦头烂额的时候，偶然间，在一个技术交流群里看到有哥们提了一嘴一个叫 ServBay 的工具。本着死马当活马医、试试不会怀孕的心态，我特地下载下来在我本地的开发环境和一台测试服务器上装上了。说实话，一开始我还有点怀疑，但用了之后，嘿，真香。

第一个让我觉得“真香”的：开发环境的 HTTPS，ServBay CA 搞定！

兄弟们，咱们搞运维的，跟开发团队打交道是家常便饭。开发环境、测试环境，现在不都讲究个尽量跟生产一致嘛？HTTPS 自然也少不了。但以前咋整呢？

自签名证书？ 行吧，浏览器天天给你弹“您的连接不是私密连接”，红叉叉看着就闹心。还得一个个教团队成员怎么“忽略此警告并继续”，解释半天人家还一脸懵逼，觉得咱们不专业。
用 Let's Encrypt？ 也行，但那玩意儿也就 90 天有效期，开发环境域名又多又杂，a.com, test.b.com, feature-x.c.com… 这三天两头续期，也挺蛋疼的。有时候开发那边搞个新服务，急吼吼要个 HTTPS 域名，咱还得手忙脚乱去申请。而且申请 letsencrypt 还需要我去买一个真实的域名，我自己的钱包耗不起。

ServBay 这家伙呢，它自带了一个 CA（证书颁发机构）功能。说白了，就是它能让你自己在本地当个“山大王”，自己给自己签发证书。最骚的是，它签出来的开发证书，有效期最长能到 3 年！3 年啊朋友们！省钱又方便。

操作起来也简单，在 ServBay 里点几下，就能给你的开发域名（如mywebsite.local）签发一个证书。

Duang！奇迹发生了！所有内部的开发站点、测试站点，浏览器地址栏齐刷刷的小灰锁（或者小绿锁，反正就是安全的意思），再也没有烦人的警告了！开发兄弟们访问内部服务顺畅无比，测试小伙伴也舒心多了。咱也不用天天被追着问“为啥我这网站访问不了/不安全”了。

就这一点，我觉得 ServBay 至少帮我清净了不少。以前为了开发环境的 HTTPS，没少折腾 OpenSSL 命令，或者找各种小工具，效果还往往不理想。现在 ServBay 直接集成，方便！

第二个让我觉得“雪中送炭”的：公开证书自动续期，SC-081 的“解药”？

聊完开发环境，咱再回到开头那个让人头疼的 SC-081 提案。如果真变成 47 天有效期，那管理线上那堆公开 SSL 证书，绝对是个噩梦。手动续？想都别想，非得把自己累死不可。脚本续？也行，但脚本出问题的时候，调试起来也够喝一壶的。

ServBay 在这块儿，对我来说，简直是“及时雨”。它内置了对ACME，实现全自动的证书申请和续期（包括Let's Encrypt/ZeroSSL等）。

关键来了，ServBay会定期检查证书的有效期，在到期前自动帮你完成续期，然后自动部署新证书到对应的网站。整个过程，理论上你配置好第一次之后，就可以撒手不管了。

自动续期这个功能，因为我刚用没多久，还没到续期的时候，所以实际效果有待验证。但按照它的设计逻辑，既然初次申请能自动化，那自动续期理论上问题不大。只要ServBay服务在后台正常运行，应该就能按时完成。

当然哈，丑话说在前头，我这也是刚接触ServBay这个工具，目前用下来感觉还不错，主要是在本地开发和测试环境体验了一下它的证书申请和管理功能。它本身其实是个集成了Python、Java、PHP、MariaDB/PostgreSQL、Redis、Node.js等常用开发环境的本地服务器管理面板，类似于MAMP、XAMPP这类，但它的这个CA证书和自动续期我觉得是一个核心亮点。

这要是以后证书有效期真缩短到一个月多点，有个这么个自动化工具在后台 7x24 小时盯着，咱们运维至少能少操一份心，晚上也能睡得安稳点不是？不然光是证书续期这事儿，就够咱们喝一壶的了。

市面上可能也有其他好的自动化证书管理方案，或者针对SC-081有其他应对策略。我这纯粹是分享下我最近的个人发现，算是抛砖引玉吧。

如果大家也为这47天的事儿发愁，不妨可以去ServBay的官网了解一下，或者下载下来在测试环境跑跑看，自己去体验体验，判断一下是否适合自己的业务场景。