文档中心

证书中心

用户指南

SSL证书自动化管理使用指南

CA/B Forum 已通过新的证书有效期基线要求，公共信任 SSL 证书的有效期正在逐步缩短，人工申请、验证、部署证书的运维方式越来越难以为继。火山引擎证书中心为此提供了 SSL 证书自动化能力：您只需购买一次订阅实例，并按需开启证书托管，证书中心就会在订阅期内自动完成新证书的循环签发，并把新证书自动替换到云产品资源上，全程无需重新下单、无需手动更换。

本文介绍 SSL 证书自动化的工作机制、支持范围和完整操作方法，包括购买订阅实例、完成 CNAME 代理验证、开启和管理证书托管、处理异常与续费等。

说明

该功能目前处于灰度发布阶段。如需使用，请联系技术支持申请加入白名单。

功能概述

SSL 证书自动化由两部分组成：

订阅实例（自动续签）：预付费购买 1～3 年服务周期后，证书中心会在订阅期内自动循环签发新证书，无需您重新下单。

证书托管（自动部署替换）：订阅实例的可选附加服务。开启后，每本新证书签发时，证书中心会自动把新证书部署到旧证书当前实际生效的云产品资源上，完成无感替换。

两者分工不同：订阅实例负责“自动把新证书签出来”，证书托管负责“自动把新证书换上去”。您可以只购买订阅实例而不开启托管，这种情况下证书仍会自动续签，但需要您自行完成域名验证并手动部署。

说明

证书的自动续签在证书到期前 15 天触发。

核心概念

概念	说明
订阅实例	预付费购买 1～3 年服务周期的证书实体。一个订阅实例在服务周期内会先后关联多本证书实例，系统在到期前自动申请并签发下一本证书。订阅有效期从第一本证书签发之日起算。
证书实例	单本 SSL 证书。订阅实例详情页的证书列表按时间倒序展示其关联的所有证书实例，只有最新一本标记为“最新证书”并作为当前生效证书。
最新证书	订阅实例内最新一本证书。开启托管后，系统自动使用该证书完成云资源替换；未开启托管时，需要您手动部署该证书。
证书托管	订阅实例的附加服务，包含自动续签触发、CNAME 代理验证和云产品自动替换。一个订阅实例同一时间只能有一个托管任务。
托管任务	一次开启托管行为生成的任务实体，记录托管云产品、资源替换周期与时段、验证详情和每次自动部署的操作记录，有托管中、部署中、已停用、部署异常等状态。
CNAME 代理验证	证书中心提供的自动域名验证方式。您把待验证域名的一条固定 CNAME 记录指向证书中心分配的代理验证域名，之后每次续签所需的验证记录都由证书中心在代理域名侧维护，一次配置、长期有效。仅订阅实例支持该验证方式。
资源替换周期	新证书签发后，系统何时把新证书部署到云资源，支持“新证书签发后立即更换”和“旧证书到期前 7 天”两种选择。

使用限制

证书范围

仅支持 DigiCert、GeoTrust 品牌的 DV 正式版证书。购买页中只有同时满足品牌和证书级别要求时，才会展示 1 年、2 年、3 年的订阅服务时长。

支持单域名、泛域名；支持 RSA、ECC 密钥算法。

不支持 OV、EV 证书，不支持免费证书、测试证书、上传证书、国密（SM2）证书和 IP 证书。

订阅实例只能通过域名快捷购买方式下单，不支持证书数量购买；CSR 由系统自动生成，不支持手动填写 CSR（中文域名会自动完成 punycode 转换）。

订阅实例在整个服务周期内沿用购买时确定的域名、品牌和算法，不支持中途更换；确需更换时，请重新购买订阅实例。

订阅实例下的每本证书仍受 CA 签发有效期限制（当前为 199 天）。订阅服务周期为 1～3 年，系统会在周期内循环签发多本 199 天有效期的证书，证书数量对您透明。

支持自动部署的云产品

证书托管当前支持把新证书自动部署到以下火山引擎云产品：

云产品	控制台名称
内容分发网络	CDN
全站加速	DCDN
应用型负载均衡	ALB
负载均衡	CLB
网络型负载均衡	NLB
DDoS 高防	DDoS 高防

注意事项：

CDN、DCDN 需要您先在对应控制台接入加速域名，资源才会出现在自动替换范围内。

不支持自动部署的云产品资源，以及部署在非火山引擎平台（如自建 Nginx、第三方 CDN）上的证书，仍需您手动替换。

托管只会替换旧证书当前实际生效的所选云资源，不会替换曾经部署过、但当前已解绑的资源。

其他限制

资源替换时段最小粒度为 30 分钟，不支持配置短于 30 分钟的替换窗口。

托管云产品为必选项，开启和编辑托管时至少勾选一个云产品，页面不允许全部取消勾选。

文件验证不进入托管自动化链路。希望续签、部署全程自动化，请选择 CNAME 代理验证并开启托管。

自动化全流程

一个订阅实例从购买到持续自动续签的完整时间线如下：

购买订阅实例：选择 DigiCert 或 GeoTrust 的 DV 正式版证书，证书服务时长选择 1～3 年，提交订单并支付。

完成域名验证：第一本证书进入验证中状态。推荐选择 CNAME 代理验证，按证书详情中的要求配置一条 CNAME 记录。

第一本证书签发：CA 审核通过后签发，订阅实例从“待运行”变为“运行中”，订阅有效期从该证书的签发日起算。

开启证书托管（可选）：建议先把第一本证书手动部署到目标云产品并完成绑定，再开启托管、勾选需要自动替换的云产品。

自动续签：系统在最新证书到期前 15 天自动提交下一本证书申请，订阅期内循环执行。

自动验证与签发：使用 CNAME 代理验证的，系统自动完成验证并签发，无需您操作；使用 DNS 验证或文件验证的，需要您按通知手动完成验证后才会签发。

自动部署替换：托管任务继承上一本证书当前生效的资源列表，按您配置的替换周期和时段，把新证书部署到对应云产品。

到期续费或回收：订阅有效期到期前可续费延长；到期关停后进入 15 天续费宽限期，宽限期内未续费的实例将被回收。

步骤一：购买订阅实例

登录证书中心控制台。

在左侧导航栏，选择 SSL 证书 > 证书管理。

在证书管理页面右上角单击购买证书。

按下表完成购买配置，勾选服务协议后单击立即购买，并完成支付。

购买页顶部有订阅模式提示：预付费购买 1～3 年服务周期订阅实例，有效期内系统自动循环签发新证书；附加开启证书托管可实现免运维自动化证书替换。

购买页主要配置项说明如下：

配置项	业务含义与配置说明
证书标准（必填）	选择证书遵循的技术标准。可选国际标准（支持 RSA、ECC 算法，兼容性好，满足通用 SSL 证书需求）和国密标准（支持 SM2 算法）。订阅实例仅支持国际标准，默认选择国际标准。
证书级别（必填）	选择证书的审核级别。可选 DV 正式版｜域名级、OV 正式版｜企业级、EV 正式版｜企业增强级、DV 测试版｜域名级、DV 免费版｜域名级。订阅实例仅支持 DV 正式版｜域名级。
证书品牌（必填）	选择签发证书的 CA 品牌。可选 DigiCert、GeoTrust、GlobalSign、Wotrus、vTrus、AlphaSSL、sslTrus 等。仅 DigiCert、GeoTrust 支持订阅实例，选择其他品牌时不展示 1～3 年订阅时长。
域名类型（必填）	选择证书保护的域名形态。可选单域名（保护一个域名，可以是主域名或子域名）和泛域名（保护一个通配符域名及其下一级子域名）。订阅实例不支持混合多域名。
证书服务时长（必填）	选择证书服务的有效期。可选项为 199 天、1 年、2 年、3 年。其中 199 天为按次购买的单本证书；1 年、2 年、3 年带有“订阅实例”标识，选择后创建订阅实例，服务周期内系统自动循环签发新证书。
购买方式（必填）	选择下单后证书请求的提交方式。订阅实例固定为域名快捷购买（证书购买与申请一步到位，付款后自动提交证书请求，签发更快），页面不展示证书数量购买方式。
CSR 生成方式（必填）	选择 CSR 的生成方式。订阅实例固定为自动，由系统自动生成 CSR 和私钥，不展示手动选项。
密钥算法（必填）	选择证书密钥使用的非对称算法。可选 RSA（默认，兼容性最广）和 ECC（更先进，加密与握手效率更高，主流浏览器均支持）。
域名（CN）（必填）	输入证书保护的域名，即证书的 CN 字段。单域名输入一个域名（如 volcengine.com、a.volcengine.com），泛域名输入通配符域名（如 *.volcengine.com）。订阅实例不支持输入 IP 地址。
域名验证方式（必填）	选择证明域名所有权的验证方式。可选 DNS验证、文件验证和 CNAME代理验证。仅订阅实例展示并支持 CNAME代理验证；选择该项时页面提示“一次配置，后续证书将自动完成域名验证，无需人工介入”，并提供查看详细指引链接。
选择信息模板（必填）	选择证书申请使用的联系人信息模板（个人或企业），包含姓名、手机、邮箱等。可选择已有模板，或单击新建模板创建。模板用于证书申请信息及验证通知。
备注名称（必填）	为证书填写便于识别的名称，默认值为“未命名证书”，后续可修改。
所属项目（必填）	选择订阅实例归属的火山引擎项目，默认为 default（默认项目）。实例创建后仅能在对应项目下查看，可单击新建项目创建。
标签（可选）	为实例添加一个或多个标签，便于分类和检索，最多可添加 50 个标签。
协议（必填）	勾选“我已阅读并同意《证书中心产品服务专用条款》”后，才可以提交订单。

支付成功后，系统创建订阅实例并自动提交第一本证书申请。您可以在 SSL 证书 > 证书管理的订阅实例页签查看该实例；按次购买的证书仍在证书实例页签。

说明

证书实例页签包含单次购买的 199 天正式证书、测试证书、3 个月免费证书及国密证书；订阅实例页签为预付费购买 1～3 年服务周期、有效期内自动循环签发新证书的订阅实例。

步骤二：完成第一本证书的域名验证

第一本证书提交后进入验证中状态。您可以通过订阅实例列表中最新签发证书状态列的查看验证记录，直接跳转到对应证书详情页；也可以在订阅实例详情的证书列表中单击证书 ID 进入。

证书详情页右侧的订单进度依次展示：待申请、CA 机构验证中、等待域名验证、校验域名验证信息是否配置正确。在等待域名验证部分的验证信息卡片中，可以看到验证类型、待验证域名、记录类型、待添加主机记录和记录值。

订阅实例支持以下三种验证方式：

CNAME 代理验证（推荐）

CNAME 代理验证通过一条固定 CNAME 记录完成长期授权：您把待验证域名 CNAME 到证书中心分配的代理验证域名后，每次续签时 CA 要求的验证记录都由证书中心在代理域名侧维护，一次配置后后续续签无需再操作 DNS。详细的记录配置方法，请参见域名验证中的 CNAME 代理验证说明。

配置要点：

在证书详情的验证信息中获取待添加主机记录和记录值。主机记录为 _dnsauth. 前缀的固定记录（例如 _dnsauth.example.com），记录值为证书中心分配的代理验证域名（线上域名为 auto-validation.com，例如 a1b2c3d4e5f6a7b8.auto-validation.com），记录类型为 CNAME。

登录域名的 DNS 解析服务商，添加一条 CNAME 记录：主机记录填写验证信息中的主机记录，记录值填写代理验证域名，其他项保持默认。

返回证书详情，在订单进度区域单击检查配置，等待校验通过。校验通过后等待 CA 定期检查（通常约 5 分钟），证书即完成签发。

后续每本证书续签时复用同一条 CNAME 记录，自动完成验证，无需再次配置。

注意事项：

CNAME 记录配置校验成功后，请勿修改或删除该记录，否则将导致证书自动续费和更新失败。

如果相同主机记录下已存在 TXT 记录，会出现 CNAME 与 TXT 记录值冲突，证书无法签发。请按页面提示前往解析服务商，仅删除与验证主机记录同名的那条冲突 TXT 记录，再重新检查配置；不要批量删除域名下的其他 TXT 记录，尤其不要误删 SPF、DKIM、DMARC 等业务记录。

证书签发后，系统会持续检测该 CNAME 记录。记录被删除或修改导致检测不到时，会发送 CNAME 代理验证异常通知，请及时修复以免影响下一本证书自动签发。

配置记录只影响带 _dnsauth. 前缀的验证名称，不要改动业务域名本身的 A、AAAA 或业务 CNAME 记录，否则可能影响网站或应用访问。

主机记录的填写口径

不同 DNS 服务商对主机记录的填写要求不同：有的要求填写相对当前解析区域的名称，有的要求填写完整域名。请以保存后解析出的完整记录名与验证信息一致为准。例如，验证信息给出的完整主机记录为 _dnsauth.api.example.com：

域名的解析区域	服务商要求相对名称时填写	保存后的完整记录名
example.com	_dnsauth.api	_dnsauth.api.example.com
api.example.com	_dnsauth	_dnsauth.api.example.com
服务商要求完整域名	_dnsauth.api.example.com	_dnsauth.api.example.com

不要机械地按二级域名截取主机记录，也不要让服务商再次追加已经包含在填写内容中的后缀。TTL 和解析线路没有特殊要求时保持默认即可，但需确保公网 CA 可以查询到该记录，不能只在私网或特定解析线路生效。

DNS 验证

文件验证

将证书详情中指定的验证文件放置到 Web 服务器的指定目录（.well-known/pki-validation），并确保可通过 80 或 443 端口访问。文件验证不进入托管自动化链路，后续每本证书仍需手动完成验证。配置方法请参见域名验证中的“文件验证说明”。

说明

当前版本中，尚未单击检查配置时验证状态为“待配置”；已发起检查但记录未配置、配置错误或存在冲突时，统一显示为“配置异常”，暂不单独区分“未配置”。请完成配置后再单击检查配置。

步骤三：查看订阅实例

在 SSL 证书 > 证书管理的订阅实例页签，可以查看订阅实例列表和实例详情。

订阅实例列表

列表上方提供四步操作指引（购买证书、验证、开启、更新）和实例统计卡片：全部订阅实例、待运行、运行中、即将到期、已到期。

搜索：支持按订阅实例 ID、证书实例 ID、备注名称、绑定域名搜索。

状态筛选：支持按订阅实例状态筛选，可选项为待运行、运行中、即将到期、取消中、已到期、已取消。

列表字段说明如下：

字段	说明
订阅实例	订阅实例 ID 和备注名称。单击 ID 进入订阅实例详情。
绑定域名	订阅实例保护的域名，泛域名同时展示通配符域名和主域名。
标签	实例绑定的标签数量。
证书规格	以标签形式展示证书品牌、级别和域名类型，例如 DigiCert、DV、单域名。
订阅实例状态	实例当前的运行状态，各状态含义见下表。
订阅有效期	订阅服务的到期日期。到期前 30 天展示“即将到期”标签。第一张证书的签发时间为实例开始时间，到期时间从签发时间开始顺延。例如，2026 年 9 月 1 日购买的 1 年期订阅实例，第一本证书在 2026 年 10 月 1 日签发，则订阅有效期至 2027 年 10 月 1 日。
最新签发证书状态	订阅实例内最新一本证书的状态（如验证中、已签发、已吊销等），与实例最新证书保持一致。证书处于验证中时，字段下展示查看验证记录，单击跳转至该证书详情页。
操作	可执行的操作，包括开启托管、取消订单、查看托管、续费等，具体见下方说明。

订阅实例状态说明：

状态	含义
待运行	订阅实例已创建，第一本证书尚未签发。
运行中	第一本证书已签发，订阅服务正常生效，系统将按规则自动续签。
取消中	您发起取消订单申请，实例正在取消。
即将到期	运行中的实例距订阅有效期到期不足 30 天的提示状态。
已到期	订阅有效期结束。到期关停和到期回收在列表中都可能显示为“已到期”：到期关停后有 15 天续费宽限期，宽限期内可单击续费跳转官网续费管理页续费恢复；宽限期结束实例被回收后不可续费。是否还能续费以实例的实际状态为准。
已取消	订阅订单被成功取消，实例停止服务，不再自动续签和部署。

列表操作列根据实例状态展示不同入口：

开启托管：运行中的订阅实例可开启，单击进入开启证书托管页面。

取消订单：第一本证书签发前，或第一本证书签发后 5 天内展示，单击弹出确认框，确认后取消订阅实例并退款。

查看托管：已开启托管的实例展示，单击跳转至托管任务详情。

续费：已到期且处于续费宽限期内的实例展示，单击跳转官网续费管理页。

订阅实例详情

单击订阅实例 ID 进入详情页，包含基本信息和证书列表两个模块。

基本信息字段如下：

字段	说明
订阅实例 ID	订阅实例的唯一标识。
订阅实例状态	实例当前状态。
订阅有效期	订阅服务到期日期，到期前 30 天展示“即将到期”标签。
备注名称	实例的备注名，单击编辑图标可修改。
信息模板	展示当前信息模板中的联系人姓名、手机、邮箱（敏感信息打码显示），单击编辑图标可在抽屉中修改。修改只对后续待申请的证书生效，不影响已签发证书。
证书规格	品牌、级别、域名类型。
证书标准	国际标准或国密标准，订阅实例为国际标准。
证书来源	证书的获取渠道，订阅实例展示为“正式证书（付费）”。
项目	实例归属的火山引擎项目。
标签	实例绑定的标签。

证书列表说明：

列表按时间倒序展示订阅实例关联的全部证书实例，最新一本证书带最新证书标签。

支持按状态筛选（全部证书、待申请、验证中、已签发、即将到期、已到期），并支持按证书实例 ID、域名、备注名称搜索。

当最新证书为已签发状态时，列表上方提示“您的下一张证书预计在 XXXX-XX-XX 开始申请”；最新证书处于验证中时不展示该提示。

表格字段包括：证书实例、绑定域名、标签、状态、有效期限、证书部署、操作。

证书部署列展示该证书当前关联的云产品资源情况，可帮助您识别是否仍有历史证书部署在资源上。

操作列提供部署、下载、吊销、重新申请、删除、开启/关闭证书到期告警等入口（按证书状态展示）。

注意

当订阅实例下存在 2 本及以上有效证书时，如果您对不是最新版本的证书手动部署，页面会弹出部署风险提示：该证书并非最新版本、可能已临近到期，手动部署后需提前安排更新，且若已开启托管，该证书可能不在自动续签与替换范围内。确认知悉风险后可单击继续部署进入部署页面。

证书到期告警开关

订阅实例下每本证书的到期告警默认开启，在证书到期前 30 天、15 天、7 天、3 天发送到期提醒。您可以在订阅实例详情的证书列表中，对单本证书关闭或重新开启到期告警。订阅实例本身不单独发送证书维度的到期告警，订阅实例维度的到期提醒（到期关停、到期回收）由火山引擎官网统一发送。

步骤四：开启证书托管

证书托管在独立的配置页面开启。

前提条件

订阅实例处于运行中状态（第一本证书已签发）。

已完成证书中心对目标云产品的跨服务访问授权。单击开启托管时系统会自动检查授权，尚未授权时会引导您跳转完成服务关联角色（SLR）授权，授权完成后才能继续。

建议先将第一本证书手动部署到目标云产品并完成资源绑定。托管只替换旧证书当前实际生效的资源，如果旧证书尚未关联任何云资源，开启托管后暂不会发生实际替换。

配置托管

在订阅实例列表单击开启托管，进入开启证书托管页面，页面从上到下包括：

托管说明：页面顶部提示，开启托管后系统将在证书到期前 15 天自动续费并更新证书，更新完成后自动重新部署至旧证书关联的云产品资源；当前支持自动部署的云产品为 CDN、DCDN、ALB、CLB、NLB、DDoS；不支持自动部署的云产品资源和部署于非火山引擎平台的资源，仍需手动完成证书替换。

证书托管介绍：说明证书托管是在证书到期前自动将续费后的新证书部署并更新至旧证书关联的托管云资源；只支持 DigiCert/GeoTrust 正式版 DV 类型的订阅制实例，免费证书、测试证书和上传证书不支持托管。

托管实例：展示本次开启托管的订阅实例 ID、绑定域名、证书规格和订阅有效期。

托管配置，包含下表中的配置项。

托管配置项说明如下：

配置项	业务含义与配置说明
托管云产品（必填）	选择自动替换新证书的目标云产品，可多选：内容分发网络 CDN、全站加速 DCDN、应用型负载均衡 ALB、负载均衡 CLB、网络型负载均衡 NLB、DDoS 高防。系统只会替换旧证书当前实际生效的所选火山引擎云资源。
托管方式（必填）	托管使用的域名验证方式，当前仅支持代理验证托管，即通过 CNAME 代理验证自动完成每次续签的域名验证。卡片提供查看详细指引链接。
CNAME 记录配置	选择代理验证托管后，页面分两步引导：①前往域名 DNS 服务商配置以下 CNAME 记录，页面以表格展示主机记录、记录值、记录类型；②完成配置验证。进入页面后系统自动轮询校验记录配置情况，校验通过显示“配置已完成。CNAME 记录配置校验成功，请勿修改或删除，否则将导致证书自动续费和更新失败”。校验未通过时无法提交；存在同名 TXT 记录冲突时提示配置异常，删除冲突记录并重新检查通过后才能提交。
资源替换周期（必填）	选择新证书部署替换的触发时机，二选一：新证书签发后立即更换（系统检测到续费证书已签发后，立即替换旧证书关联的所选云资源，默认项）；旧证书到期前 7 天（距旧证书到期 7 天时自动替换，不足 7 天会立即执行）。
资源替换时段（必填）	设置每天允许执行替换的时间窗口，默认 00:00:00 - 23:59:59（全天），最小时间间隔为 30 分钟，支持跨凌晨配置。系统只在该时段内替换云资源，超出时段后顺延一天执行，建议设置在业务闲时。
备注（可选）	托管任务的备注名称，最多 64 个字符，便于在托管列表中识别。

配置完成后单击开启托管。托管任务创建成功后，页面自动跳转至证书托管列表页，任务状态为“托管中”。

说明

资源替换周期和资源替换时段同时生效。选择“新证书签发后立即更换”并不表示忽略时段限制：系统检测到新证书已签发后，仍只在配置的替换时段内执行部署，超出时段则顺延一天。临近轮换时修改周期或时段，可能使任务更早满足执行条件，请按新配置安排变更窗口。开启或编辑托管本身不会立即同步证书，如需立即生效请手动部署。

管理托管任务

在左侧导航栏选择 SSL 证书 > 证书托管，可以查看和管理全部托管任务。

托管任务列表

搜索：支持按证书实例 ID、订阅实例 ID、托管任务 ID、备注搜索。

列表字段：任务 ID/备注、绑定域名、托管关联证书 ID、订阅到期时间、状态、托管云产品、轮换周期、操作。

托管关联证书 ID：指托管任务当前或最近一次运行过程中关联的证书 ID，不代表云产品侧实际生效的唯一证书。如果您在云产品中手动关联了其他证书，实际生效情况以对应云产品配置为准。

轮换周期：展示托管配置的资源替换周期和替换时段，例如“新证书签发后立即更换 14:00 - 15:00”。

托管任务状态说明：

状态	含义
托管中	任务正常运行，系统将按配置自动续签、验证并部署。
部署中	系统正在执行一次自动部署替换。
已停用	托管任务已被手动结束，系统不再自动续签和部署。
部署异常	自动部署连续重试超过最大次数后进入的终态，系统不再自动重试，需要人工介入。

操作列说明：

编辑托管：任务处于托管中时展示。

结束托管：任务处于托管中时展示。

删除：任务处于已停用状态时展示。

托管任务详情

在托管列表单击任务 ID，进入托管任务详情页。

基本信息：展示订阅实例 ID、订阅实例状态、订阅有效期、证书规格、托管状态、备注名称（可编辑）、托管关联证书 ID，并提供前往订阅实例详情的快捷链接。

托管配置：展示轮换周期（资源替换周期 + 替换时段）和托管云产品。

验证详情：展示代理验证托管的校验结果（如校验成功），以及 CNAME 记录的记录类型、主机记录和记录值。校验失败时会发送消息提醒；您修复 CNAME 配置后重新校验通过，托管恢复运行。

云产品自动部署操作记录：逐资源展示每次自动部署的结果，支持按云产品、关联资源、更新时间（开始日期、结束日期）筛选。表格字段包括：云产品类型、关联资源、证书下发状态（成功/失败，支持筛选）、旧证书 ID、新证书 ID、更新时间。某条记录下发失败时，鼠标悬浮可查看失败原因。负载均衡等关联资源信息较多的产品，对关联资源做简要展示。

编辑托管

在托管列表单击编辑托管，或在托管详情页单击编辑托管，在弹窗中调整配置。

支持修改托管云产品（新增或取消勾选）、资源替换周期、资源替换时段和备注。

页面提示：编辑/新增托管仅在证书轮换周期执行更新与部署，编辑操作不会即时同步更新；如需立即生效，请手动执行证书部署。

调整替换时段后，在下一次自动部署时生效。

结束托管

在托管列表单击结束托管，或在托管详情页单击结束托管，在确认框中单击结束托管。

确认文案提示：结束托管后，证书将不再自动部署至托管云资源，请谨慎操作。

结束后任务状态变为已停用，系统不再执行自动部署；如需恢复，请重新开启托管。

结束托管不等于取消订阅：只要订阅实例仍在有效期内，系统仍会按规则自动申请新证书；选择 CNAME 代理验证时验证仍自动完成，只是新证书不再自动替换到云资源，需要您手动部署。因此结束托管后也不要删除 CNAME 代理记录。

已经部署在云资源上的证书不会被卸载，仍按自身有效期正常提供服务。

删除托管任务

已停用的托管任务可以删除。在托管列表单击删除，在确认框中单击删除。删除后托管任务将无法恢复，任务的全部历史记录（含自动部署操作记录）将被清除；订阅实例本身和已部署在云资源上的证书不受影响。

部署异常处理

单个资源部署失败时，系统会自动重试。连续重试超过最大次数仍失败的，托管任务进入部署异常状态并停止自动重试，同时发送自动更新失败通知。控制台不提供自助重置入口，排查和恢复方法：

在托管详情的云产品自动部署操作记录中，按失败状态筛选并查看失败原因。

常见原因包括：云产品资源状态异常、跨服务访问授权被解除（如服务关联角色被删除）、云产品侧数据异常等。

对即将到期、受影响的资源，请先手动部署最新证书，避免业务中断。

问题解决后，如需恢复托管任务的自动部署，请联系技术支持处理。

说明

负载均衡实例处于停止、已删除状态的，自动部署时会跳过；处于运行中、配置中等状态的实例系统都会尝试部署，配置中状态部署失败会进入自动重试。

订阅实例续费

订阅有效期到期前，您可以在火山引擎官网续费管理页对订阅实例续费，延长服务周期。续费不重新下单、不重新配置验证和托管，已有托管任务继续有效。

订阅有效期到期前 30 天，实例展示“即将到期”标签。

到期后实例关停，进入 15 天续费宽限期：宽限期内续费按钮可见，续费后实例恢复运行，托管任务继续生效。关停期间不再发起新的证书续签，但对于关停前已触发续签、关停后才完成签发的证书，托管任务仍会把它自动部署到已绑定的云资源。

宽限期结束仍未续费的，订阅实例被回收、不可再续费，之后不再发起新的续签和部署。

订阅实例的到期关停、到期回收通知由火山引擎消息中心统一发送。

取消订单、吊销证书与重新申请

取消订阅订单

订阅实例的“取消订单”等同于退订，涉及退款；吊销单本证书不涉及退款。规则如下：

对象	规则
第一本证书签发前	可以取消整个订阅订单并退款。
第一本证书签发后 5 天内	不支持单独吊销第一本证书，如需处理只能取消整个订阅订单并退款。
第一本证书签发 5 天后	不支持取消订单和退款，可以吊销第一本证书。
第二本及以后证书	证书签发后即可吊销，不涉及退款；第二本证书申请后不再支持取消订阅订单。

在订阅实例列表单击取消订单，确认框提示“取消订单后当前订阅实例将停止提供服务，请谨慎操作”，单击取消订单完成操作。取消后实例状态变为已取消，不再自动续签和部署。

吊销证书

订阅实例详情的证书列表中，证书状态和操作入口与普通证书实例一致。吊销证书前请确认该证书未在业务资源上使用，相关限制请参见吊销 SSL 证书。

吊销后重新申请

订阅实例运行中，如果最新一本证书在签发后 28 天内被吊销，可以在证书列表的操作列单击重新申请，由系统重新签发下一本证书。

重新申请走订阅续签通道，不是重新购买，新证书仍属于当前订阅实例，托管关系继续有效。

必须同时满足：订阅实例处于运行中；被吊销证书是订阅实例的最新一本；吊销发生在该证书签发后 28 天内。超过 28 天不支持重新申请。

重新申请只签发原域名的证书，不能借吊销更换域名。

如果第二本、第三本续签证书已经在申请中，吊销更早的证书无需也不支持重新申请。

消息通知

证书自动化相关的主要通知如下：

通知	触发时机
SSL 证书开通通知	订阅订单支付成功。
域名验证通知	CA 返回域名验证要求，等待完成验证（DNS 验证、文件验证场景）。
证书签发成功/失败通知	订阅实例下证书签发成功或签发失败。
CNAME 代理验证异常通知	系统检测不到订阅实例配置的 CNAME 记录，或记录值异常。
SSL 证书自动更新失败通知	托管任务自动部署连续重试超过最大次数，进入部署异常。
证书到期提醒	单本证书的到期提醒，默认开启，可在订阅实例详情的证书列表中按需关闭或重新开启。
订阅实例到期提醒	订阅实例即将到期，由火山引擎官网统一发送。
到期关停/到期回收通知	订阅实例到期关停或宽限期结束被回收，由消息中心统一发送。

所有证书消息都需要在火山引擎消息中心订阅后才能接收。请在消息接收配置 > 基本接收配置中确认证书告警通知的站内信、邮箱、短信等发送方式和接收人配置；如需在飞书群接收，可在机器人接收配置中为证书告警通知绑定飞书机器人。配置方法请参见证书消息。

常见问题

订阅实例的有效期从什么时候开始计算？

从第一本证书签发之日起算，购买后到第一本证书签发前的等待时间不计入服务周期。例如 2026 年 9 月 1 日购买的 1 年期订阅实例，第一本证书在 2026 年 10 月 1 日签发，订阅有效期至 2027 年 10 月 1 日。

订阅服务周期和每本证书的有效期是什么关系？

订阅服务周期为 1～3 年，而 CA 签发的每本公共信任证书有效期当前为 199 天。订阅期内系统会在每本证书到期前 15 天自动签发下一本 199 天有效期的新证书，您只需关注订阅到期时间，实际签发多少本证书由系统处理。

不选择 CNAME 代理验证，证书还会自动续签吗？

会。系统仍会自动提交下一本证书申请，但需要您按域名验证通知手动完成 DNS 验证或文件验证，证书才能签发；选择 CNAME 代理验证时，验证和签发全程自动完成。

只购买订阅实例、不开启托管可以吗？

可以。订阅与托管互相解耦。只订阅不托管时，新证书自动续签，但需要您自行完成验证并手动部署到云产品；后续也可以随时为运行中的订阅实例补开托管。

托管会自动替换所有历史证书吗？

不会。托管只继承上一本证书当前实际生效的资源并替换新证书。更早的历史证书如果仍部署在某些资源上，不在自动替换范围内，需要您登录对应云产品控制台手动部署最新证书。可在订阅实例详情证书列表的证书部署列查看每本证书关联的资源。

旧证书没有绑定任何云资源，可以开启托管吗？

可以开启，但没有实际需要替换的资源，托管不会产生部署动作。建议先把第一本证书手动部署到目标云产品并完成绑定，再开启托管。

托管任务显示部署异常怎么办？

部署异常是自动重试超过最大次数后的终态，不会自行恢复。请先在托管详情的自动部署操作记录中查看失败原因，排查资源状态、跨服务授权等问题；对即将到期的资源先手动部署最新证书。控制台没有自助重置入口，问题解决后如需恢复自动部署，请联系技术支持处理。

证书被吊销后还能重新申请吗？

订阅实例运行中，且被吊销的是最新一本证书、吊销发生在签发后 28 天内的，可以在订阅实例详情的证书列表中单击重新申请；超过 28 天或被吊销的不是最新证书时，不支持重新申请。

第一本证书为什么找不到吊销入口？

第一本证书签发后 5 天内不支持单独吊销，此期间如需处理只能取消整个订阅订单；签发 5 天后展示吊销入口。第二本及以后的证书签发后即可吊销。

结束托管后，订阅实例还会自动续签吗？

会。结束托管只停止自动部署，不取消订阅：订阅有效期内系统仍会自动申请新证书，选择 CNAME 代理验证时验证也照常自动完成，只是新证书需要您手动部署到云资源。因此结束托管后仍要保留 CNAME 代理记录；只有取消订阅订单才会停止整个订阅服务。

订阅到期后托管任务会立即停止吗？

不会。订阅到期关停后，托管任务仍保持有效：如果最新一本证书是在订阅失效前触发续签、在订阅失效后才完成签发的，托管任务仍会把该证书自动部署到已绑定的云资源。订阅失效后不会再发起新的续签；在 15 天续费宽限期内续费恢复后，托管继续正常运行。

为什么收不到证书通知？

证书通知需要先在消息中心订阅。请检查证书告警通知的发送方式和接收人配置，确认邮箱、手机号等信息有效；订阅实例关停、回收等官网统一通知的接收设置，也请在消息中心一并确认。