免费 SSL 证书到期别慌：续期 = 重新申请 + 重新部署

事情是这样的。

三个月前，也就是 5 月底，在 用户买了 Pro 却激活不了？为「网络不通」：一次授权系统改造复盘 那篇文章里，我记录了为了让国内用户在不开启代理的情况下也能顺畅激活 Obsidian Publisher Pro，我们在腾讯云香港节点搭了一个极简的云函数转发网关（license-cn.xiaoweibox.top）。

当时在文章的技术细节里，我随手记了一笔：

“腾讯云绑定自定义域名并开启 HTTPS 时，需要证书。免费证书有效期 90 天，后续要关注续期。”

时间过得很快。一转眼正好三个月过去，今天一早打开控制台，那张证书果然准时变成了红色的「已过期」。

坦率地讲，隔了三个月没碰这套控制台，很多细节第一眼看上去确实容易生疏：免费证书不能原地续期吗？Cloudflare 上的旧记录还要不要留？签发完之后怎么还没生效？

今天顺手把这套从申请、DNS 验证、到最终部署替换的完整链路重新走了一遍。记录下来当个备忘，也分享给同样在维护自己小项目、用着各大云厂商免费 SSL 证书的朋友。

免费证书没有“原地续期”，本质是“申请一张新的”

很多刚接触云平台证书的朋友（包括我自己最初），都会下意识在已过期的证书后面找“续期”或者“延长有效期”的按钮。

但你会发现找了一圈并没有。

这是因为免费 DV（域名型）证书的逻辑本质是： 签发机构（如 TrustAsia、Let's Encrypt 等）每次都需要重新向你发起一次所有权挑战，验证“你现在依然是这个域名的拥有者”，然后重新计算公私钥并签发一张全新的独立证书。

所以正确的路径从来不是“续期旧证书”，而是：

1. 点击「申请免费证书」（腾讯云一个主账号通常有 50 张额度）
2. 填写要绑定的域名（比如 license-cn.xiaoweibox.top），算法选默认的 RSA 2048，验证方式选 DNS 验证
3. 提交申请，拿到全新的 DNS 验证信息

Cloudflare 与 DNS 验证：两个最容易混淆的坑

这一步是整套流程里最容易让人犹豫的地方，特别是当你的域名 DNS 托管在 Cloudflare 上时。

提交申请后，腾讯云会给你生成一条 TXT 解析要求：

• 主机记录：_dnsauth.license-cn
• 记录类型：TXT
• 记录值：一长串由日期和随机字符组成的字符串（如 20260829090335...）

这时候回到 Cloudflare 的 DNS 列表，很容易产生两个疑问。

疑问一：原有的 CNAME 记录要不要改成 TXT？

千万不要改。

在 Cloudflare 里，我之前有一条 license-cn 指向腾讯云云函数（...ap-hongkong.tencentscf.com）的 CNAME 记录。

这条记录是承载真实网络流量的“业务路牌”。如果把它改掉或删掉，国内用户的请求就彻底找不到服务器了。

• license-cn 的 CNAME：负责日常业务通信，永远保持原样。
• _dnsauth.license-cn 的 TXT：是专门给签发机构做安检证明的，独立存在。

两条记录各管各的，不要混为一谈。

疑问二：三个月前加过的 TXT 记录，还要动吗？

需要动，但只需要改一个地方。

Cloudflare 里可以看到还 5 月份加过的那条 _dnsauth.license-cn TXT 记录。

主机记录（Name）是一模一样的，不用重新创建一条。但 Content（记录值）每次申请都会随机生成一个新的 Token。

只需要：

1. 找到那条旧的 _dnsauth.license-cn TXT 记录，点击 Edit。
2. 把里面的旧字符串清空，粘贴进腾讯云刚刚生成的那串新字符串。
3. 注意不要手动加双引号，直接粘贴纯文本，点击 Save。

Cloudflare 的 DNS 全球广播非常快，通常保存后的 3~5 秒内就已经生效。此时回到腾讯云控制台点击「验证域名」，通常一分钟内就能看到状态变成绿色的「已签发」。

最容易遗漏的收尾：已签发 ≠ 已生效

证书签发成功后，很多人以为大功告成了，结果切回手机或者终端一测，发现依然提示 SSL 证书过期。

这也是最容易踩的一个“静默坑”：证书签发，只是生成了一份数字凭证，它并没有自动挂载到你的服务器或网关上。

此时网关上挂载的，依然是昨天过期的旧证书。

怎么部署？

在证书详情页的右侧，有一个「一键部署证书」面板：

1. 选择目标服务「云函数 SCF」。
2. 地域一定要选对：比如我们当时为了免去国内备案门槛选的是「中国香港」，这里就要切换到中国香港地域。
3. 勾选对应的自定义域名（license-cn.xiaoweibox.top），点击确定部署。

部署完成后，回到证书列表确认一眼：

• 新证书的「关联资源」变成了 1。
• 旧证书的「关联资源」自动变成了「未关联」。

这时候新证书才算真正接管了流量。

一个顺便释怀的问题：50 张额度够用多久？

在申请界面，腾讯云会提示一个 申请免费证书 (1/50) 的额度。

第一次看到可能会稍微盘算一下：3 个月换一次，一年用 4 张，这 50 张岂不是只能用 12 年？

其实完全不用担心。这里的 50 张是指每个自然年度内的免费签发额度（每年 1 月 1 日会自动重置刷新）。

对于像我们这样维护单域名或者少数几个小项目的小团队或独立开发者来说，这个额度不仅够用，而且几乎等同于永久免费。

终端验证：让心里有底的一行命令

所有配置完成后，不用等用户反馈，自己打开终端敲一行命令做个健康检查：

curl -v https://license-cn.xiaoweibox.top/healthz

只要看到 TLS 握手正常、返回类似 HTTP/2 200 或 HTTP/1.1 200，且证书有效期清晰地更新到了三个月后（比如 2026-11-27），整件事情就算彻底落实好了。

技术上的很多小事，往往就是这样：第一次配的时候要查很多文档、跨多个平台摸索；过上三个月到期了，又容易把细节忘掉大半。

把这些看似不起眼但每隔一阵子就会碰到的维护流程顺手记下来，不仅能给下次的自己留个从容的操作指南，如果刚好也能帮到正在对着证书控制台犹豫的朋友，那就更有意义了。