先区分证书签发和网站启用
申请证书、配置服务器和验证公网访问，是三个不同步骤。证书文件已经出现在服务器上，并不代表 Nginx 已经监听 HTTPS 端口；监听端口后，如果证书路径、域名或证书链配置不匹配，浏览器仍可能拒绝连接。站长应使用正式域名验证访问结果，而不能只检查文件是否存在。
带 www 和不带 www 的地址也需要分别确认。若网站同时提供两个入口，证书应包含相应域名，或通过已具备有效证书的入口做规范跳转。不能把一个域名的成功访问，直接当作另一个域名也已验证。
定时器运行，不代表续期链路已通过
Certbot 提供证书申请和续期功能，部署后可以通过模拟续期检查验证流程。真正需要核对的是：验证请求能否抵达正确的网站、验证目录能否被读取，以及续期任务使用的站点目录是否仍与 Nginx 配置一致。具体命令和选项应以服务器安装版本的帮助信息为准。
如果采用 HTTP 文件验证，网站升级、目录迁移或统一跳转配置都可能影响验证路径。把验证目录当作站点发布清单中的固定检查项，比等到续期失败后再排查更容易定位问题。
把重载和到期监测一起纳入运维
证书文件更新后，运行中的服务还需要加载新证书。可为续期成功事件设置部署钩子，先检查 Nginx 配置，再平滑重载服务；如果检查失败，应记录错误，而不是带着无效配置继续发布。
建议留下四类记录：证书包含哪些域名、证书实际到期时间、自动任务最近一次结果、外部客户端看到的证书信息。只有申请、验证、重载和监测形成闭环，HTTPS 才从一次性配置变成可持续维护的能力。
阅读后的检查清单
- 分别验证主域名和 www 域名的证书与响应状态。
- 在不关闭证书校验的条件下检查公网 HTTPS。
- 运行续期模拟并确认成功后的重载钩子可用。
资料来源
本文为公开资料整理与技术解读，不构成现场新闻报道。配置与步骤以所使用软件版本的官方文档为准。