摘要：47天是公开信任TLS证书后续阶段的最长有效期要求，并非当前所有证书的统一期限。规划ACME续期时，应观察线上剩余有效时间、最近成功更新和失败原因，按错误类型重试，并在仍有处理余量时转人工。任务运行成功不能替代部署和业务复测。
自动续期计划每天都在运行，证书却一天比一天临近到期。这种情况最危险的地方，是“任务执行过”容易被当成“证书已经更新”。
面向47天周期做准备，需要观察的首先是更新结果。现行规则中的47天上限对应2029年3月15日起的阶段；企业现在就可以在适用环境演练，但不应把它写成所有线上证书当前已经执行的统一期限。
检查应同时看到任务与线上状态
至少保留最近成功取得证书的时间、目标端点的到期时间及当前任务错误。一个任务正常退出，可能只是判断尚未进入更新窗口；也可能已经取得新文件，却没有更新真正的生产入口。
外部检查应尽量按实际主机名和访问路径执行。前面有CDN或负载均衡时，仅检查ACME客户端所在主机不足以判断用户入口；多节点环境还应确认不存在持续返回旧证书的未更新节点。
检查频率与续期窗口需要依据证书实际有效期、客户端机制和业务恢复所需时间设置。可以使用所选CA与客户端支持的更新建议，但不宜在所有环境中固定“剩几天才处理”，更不能一直等到最后一次执行机会。
重试前先判断问题是否会自行恢复
短暂网络中断、服务暂不可用，可以按服务建议或合理退避后重试，并记录下一次尝试时间。对于明确的速率限制，应遵守返回条件，避免频繁创建新订单进一步放大问题。
域名验证路径错误、DNS凭据失效、CAA限制或证书部署权限不足，通常需要调整条件。反复提交相同请求不会自动修复它们，也不应在日志中只留下一个笼统的“续期失败”。
| 观察到的情况 | 重试或处理方向 |
| 网络或服务暂时异常 | 保留错误并按合理间隔重试 |
| HTTP或DNS验证持续失败 | 检查实际挑战位置与可达性 |
| 账号或凭据被拒绝 | 转交授权人员核对并安全更新 |
| 新证书已取得但入口未更新 | 检查部署、绑定和服务加载 |
重试还需要避免任务互相覆盖。多个执行器同时为同一个目标申请和部署，可能产生难以追踪的新旧文件。应明确目标由哪一个流程维护，并按客户端及部署方案处理锁定和并发。
人工接手要发生在仍有余量时
转人工的条件不应只有“证书已经过期”。可以根据持续失败次数、剩余有效时间及下一可用变更窗口综合安排；关键业务或跨团队更新，应留出更多排查时间。
工单应带上主机名、当前线上证书到期日、最近成功时间、错误阶段及已做过的尝试。凭据和私钥不应出现在普通日志附件中。接手人需要的是定位信息，而不是一封只有“请尽快处理”的邮件。
人工处理后，还应恢复自动化维护条件。临时手工部署一次有效证书，能解决当下服务，但不会自动修复失效的DNS授权或损坏的任务。若没有复核，下一周期仍会出现同一问题。
Atlas的ACME接入也要完成部署验收
GlobalSign Atlas 可为适用产品提供ACME申请与更新路径。企业需要按实际服务配置账号凭据、客户端和验证方式；取得证书后，根据所用客户端及目标服务完成安装与加载。
接入时应记录适用证书链的取得方式，不宜长期沿用一份手工固定的旧中间链文件。还应确认只有对应维护流程能够访问凭据，凭据更新后任务能继续运行。
试点可以人为制造一次可恢复的验证失败，在受控环境确认任务保留错误、按照安排重试，并能触发人工接手。完成修复后，再确认真实目标使用新证书。这比只演示一次顺利签发更能检验续期可靠性。
FAQ
Q1：每天运行ACME任务，为什么仍可能过期？
A：任务可能持续验证失败，也可能没有更新实际部署入口。需要观察最近成功更新与线上证书，而不只是执行记录。
Q2：失败后每分钟重新创建订单，会更快恢复吗？
A：未必，还可能触发限制或造成并发混乱。短暂故障可以合理退避，配置和权限错误则需要修复原因。
Q3：人工换好了证书，是否可以关闭所有后续任务？
A：还应修复自动化中断原因，并确认下一次运行可用。临时部署完成不等于长期续期条件已经恢复。
Q4：47天周期现在已经适用于所有TLS证书了吗？
A：不是。现行公开信任TLS规则按签发日期分阶段实施，47天上限对应2029年3月15日起，实际产品期限还需另行核对。
GlobalSign与ACME续期维护
GlobalSign提供AtlasACME相关服务与接入文档，企业可结合适用客户端减少重复申请操作。续期方案还应包括部署、外部验证和人工处理安排；管理工具能执行的范围，需要通过实际目标测试确认，不能用协议名称代替完整维护。
资料来源
GlobalSign Atlas ACME证书管理
https://docs.globalsign.com/solutions/services/acme/certificate-management
CA/Browser Forum TLS证书有效期要求
https://cabforum.org/working-groups/server/baseline-requirements/requirements/