用过免费通配符证书的都知道90 天的有效期意味着一年要换四次。如果你的阿里云 CDN 上挂了好几个子域名每次到期都得手动去控制台替换证书这件事做多了真的很烦。这篇文章记一下我现在的操作流程。核心思路找一个平台统一管证书的签发和部署续签之后让新证书自动推送到阿里云 CDN省掉反复登控制台的步骤。以前手动操作有多少步先回忆一下传统的阿里云 CDN 证书更新流程帮你判断这篇文章对你有没有用手动流程每 90 天重复一次去 Let’s Encrypt 或者其他 CA 申请/续签通配符证书手动添加 DNS TXT 记录做域名验证等签发下载 PEM 和 KEY 文件登录阿里云 SSL 证书控制台上传新证书进入 CDN 控制台 → HTTPS 配置 → 选择新证书如果 OSS 也绑了域名去 OSS 那边再换一遍如果有 ALB 或 CLB继续重复七步每 90 天来一轮。域名多的话时间翻倍。现在的流程长什么样我现在用了一个第三方证书管理平台下面按步骤说清楚每一步是手动还是自动。1. 配置 DNS 服务商密钥一次性在平台上填入你 DNS 服务商的 API 密钥比如阿里云 DNS 的 AccessKey。配好之后后续签发证书需要的 TXT 验证记录平台会自动帮你添加到 DNS不用你手动去 DNS 控制台操作了。这一步只需要做一次。2. 签发免费通配符证书平台提供免费通配符证书覆盖*.yourdomain.com有效期 90 天。发起签发后DNS 验证自动完成因为第一步已经配了密钥DV 证书一般 5-10 分钟就能拿到。3. 一键部署到阿里云手动触发签发完成后配好阿里云的 AccessKey可以把证书一键推送到以下五类阿里云服务CDN— 内容分发网络DCDN— 全站加速OSS— 对象存储自定义域名 HTTPSALB— 应用型负载均衡CLB— 传统负载均衡注意这里的一键部署是你手动点击触发的不是后台自动执行。但一次点击可以覆盖上面所有服务不用挨个控制台跑。4. 到期提醒自动证书快过期时平台会自动发提醒通知。支持的渠道包括微信、邮件、短信、电话、钉钉、飞书。5. 续签手动触发收到提醒后你需要手动回到平台点击续签。这里要特别说清楚续签不是自动的。平台不会在后台偷偷帮你续签。你必须自己操作这一步。好消息是续签过程本身很快——DNS 验证还是自动的DV 证书几分钟就签好了。6. 续签后推送到阿里云自动这一步是整个流程最省事的地方续签完成后新证书会自动同步到你之前配置好的阿里云部署目标CDN、DCDN、OSS、ALB、CLB。也就是说你点完续签阿里云上的证书就自动换好了。不需要再登录阿里云控制台操作。两种流程对比操作手动流程现在的流程DNS 验证手动加 TXT 记录自动配过一次密钥签发等待取决于 CA5-10 分钟上传证书到阿里云手动上传文件一键推送手动触发CDN/OSS 替换证书每个服务手动换首次一键覆盖所有续签手动操作手动操作续签后更新阿里云每个服务再手动换一遍自动同步关键区别在最后一行续签之后不用再跑一遍部署流程了新证书自动推过去。覆盖不了的场景必须讲清楚这个方案的边界自建服务器上的 Nginx/Apache不支持。平台不会 SSH 到你的服务器上替换证书文件ECS 上自己装的 Web 服务器还是得手动更新。腾讯云/华为云/其他云部署能力只覆盖阿里云的那五类服务。宝塔面板不支持。如果你的架构是阿里云 CDN 自建源站 Nginx 的组合CDN 那层的证书可以走自动同步但源站 Nginx 的证书还是要你自己处理。付费方面免费通配符证书完全够日常使用只是 90 天需要手动续签一次。如果想要更长有效期DV 单域名39 元/年DV 通配符349 元/年OV 单域名590 元/年起我自己用的免费版四次续签体验下来没出过问题。总结通配符证书 90 天到期确实烦但真正耗时间的不是续签本身而是续签之后挨个去阿里云控制台换证书。把这一步自动化掉之后整件事就变成了收到提醒 → 点一下续签 → 完事。我用的平台是 ssl.spug.cc有需要的可以看看。