阿里云免费证书现在的规则在阿里云数字证书管理服务里申请的免费证书现在叫「个人测试证书免费版」。按阿里云官方说明它有这几条限制有效期 90 天也就是大约 3 个月。每个实名主体每个自然年 20 张吊销不退额度。只保护单个域名不支持通配符也不支持多域名。不支持续费到期只能重新申请一张新证书。不支持托管。阿里云的证书托管和自动部署只对正式证书开放。以前在 CDN、全站加速控制台里直接开启的免费证书还能自动续签这条路也已经关了全站加速DCDN从 2023 年 4 月 15 日起停止免费证书自动续签官方给的办法是去 SSL 证书服务重新申请再手动配置到域名上。所以现在用阿里云免费证书等于每 3 个月要把「申请、验证、部署」完整做一遍。3 个月一次麻烦在哪只有一个域名、挂在一个 CDN 上时3 个月手动换一次还能忍。真正的问题出在规模上。额度不够用。一张证书 90 天考虑提前更换一年大约要换 4 到 5 次。只要有 5 个子域名一年就要 20 多张年度额度直接见底。又因为不支持通配符www、api、static、img每个都要单独占一张。部署点分散。同一个域名的证书往往不止放在一处CDN 或全站加速上的加速域名。OSS Bucket 绑定的自定义域名。负载均衡 CLB / ALB 的 HTTPS 监听。WAF 的防护域名。每换一次证书这些地方都要逐个更新。漏掉一个就会出现「CDN 换好了源站负载均衡还是旧证书」这种半过期状态。全靠人记。到期提醒邮件和短信会发但处理仍然依赖某个人在那几天有空、记得所有部署点、没把证书传错地方。人一换、假期一撞就容易出事。手动续期的完整流程如果暂时还要手动处理下面是阿里云控制台里的标准流程按顺序做可以少踩坑。1. 重新申请证书进入「数字证书管理服务 → SSL 证书管理 → 个人测试证书」创建一张新证书填写域名。注意这会消耗一张年度额度。2. 完成域名验证域名解析在阿里云云解析 DNS 的可以选自动 DNS 验证系统会自动添加验证记录。解析在其他服务商的要按提示手动添加一条 TXT 记录等 CA 查到后才能签发。3. 部署到云产品签发后在证书列表点「部署」选择要部署的云产品和资源比如 CDN 加速域名、OSS 自定义域名、CLB 监听。可以一次勾选多个资源。4. 逐个检查是否生效部署任务成功不等于线上已经生效。换完后最好直接访问一次每个域名确认浏览器拿到的是新证书过期时间已经变成 90 天后。也可以用 SSL 证书到期检测工具 逐个查一下。别等最后一天CDN 证书更新需要一段时间下发到全部节点DNS 验证也可能要等。建议在到期前 2 到 4 周就开始换留出失败重试的余地。有哪些办法可以不再手动换方案优点代价手动换免费证书不花钱每 3 个月一轮限 20 张靠人记正式证书 托管阿里云官方自动部署每张都付费通配符更贵自己写脚本免费不限额度自己对接 OpenAPI、重试和告警自动化平台免费、通配符、自动部署要授权平台访问 DNS 和云产品「自己写脚本」通常是用 acme.sh 或 certbot 签发再调用阿里云 OpenAPI 上传和绑定证书。「自动化平台」就是把这一整段做成现成服务比如 LapseZero。Let’s Encrypt、ZeroSSL、Google Trust Services 这些公开 CA 的免费证书和阿里云免费证书一样是 DV 证书浏览器信任程度相同而且没有「每年 20 张」这种限制还支持通配符。一张*.example.com就能覆盖所有子域名。缺的只是「签发之后自动部署到阿里云」这一段。付费证书也躲不开有人会想干脆买付费证书少换几次。但这条路也在收窄今年起已经买不到一年期的证书了。CA/B 论坛已经通过 SC-081 提案公开信任的 SSL 证书最长有效期分阶段缩短2026 年 3 月 15 日起最长 200 天。2027 年 3 月 15 日起最长 100 天。2029 年 3 月 15 日起最长 47 天。现在付费证书最多用半年左右。从 2027 年开始付费证书也要每 3 个月左右换一次和今天的免费证书一样频繁到 2029 年差不多一个月一次。证书更换迟早要自动化区别只是早做还是晚做。用 LapseZero 自动续期并部署到阿里云LapseZero 把签发、续期和部署到云产品串成一条链路配置一次之后不用再管。1. 添加域名选择验证方式。解析在阿里云 DNS添加一个只有 DNS 权限的 RAM 子账号 AccessKey由平台自动写入验证记录。不想交出 DNS 权限选 DNS 委派只需在域名解析里加一条 CNAME之后的验证都在平台自己的验证区完成。两种方式的区别见 《HTTP-01、DNS-01 和 DNS 委派怎么选》。2. 签发证书。使用 Let’s Encrypt 等免费 CA支持通配符不占用阿里云的免费证书额度。3. 添加部署目标。目前支持阿里云 CDN、全站加速 DCDN、OSS 自定义域名、负载均衡 CLB / ALB 的 HTTPS 监听和 WAF也支持通过 SSH 部署到自己的服务器。添加时平台会列出账号下匹配这个域名的资源勾选即可。云产品凭证建议使用 RAM 子账号只授予对应产品的权限。4. 自动续期和部署。默认在到期前 30 天自动续期签发成功后自动部署到所有目标。每个目标的部署结果单独记录哪个目标失败、失败在哪一步都能直接看到需要你处理的问题会通过邮件、钉钉、飞书等渠道通知你。免费版包含 3 个域名和 5 个部署目标个人站点和小团队基本够用。