摘要：通配符证书覆盖多个子域，但更新时并不会自动同步到CDN、WAF、负载均衡、Ingress 和源站。最危险的状态不是更新失败，而是同一个域名在不同节点随机返回新旧证书。本文给出从资产清单、预检、灰度、监控到收尾的切换方法。
更新的单位不是证书文件 而是每一个 TLS 终止点
一张通配符证书可能部署在CDN、WAF、云负载均衡、KubernetesIngress、反向代理和源站服务器上。证书文件更新后，若其中任何一个入口仍保留旧文件或未完成重新加载，用户就可能在同一域名下随机看到不同证书。
这类问题往往不会立即造成全站不可用，却会让少部分用户、特定地区或特定子站出现证书过期、名称不匹配或证书链异常。处理重点不是尽快把新文件覆盖到更多机器，而是先知道TLS 到底在哪一层终止、每一层由谁负责，以及如何从外部验证最终返回的证书。
第一步 先画出通配符证书的实际部署地图
通配符证书通常服务于多个子域名，不代表它们经过同一条网络路径。官网可能先到CDN，管理后台先到 WAF，API 经过负载均衡，内部工具则直接到 Ingress。即使使用同一张证书，不同入口的更新方式、发布窗口和缓存机制也可能完全不同。
• 列出受该通配符证书覆盖的业务域名，以及每个域名的TLS 终止位置。
• 为每个位置记录平台、负责人、部署方式、证书路径、私钥来源和重新加载方式。
• 标出备用区域、灾备入口、旧IP、预发环境和低频访问子站，避免只更新主流量节点。
• 确认哪些域名并不在通配符覆盖范围内，例如根域或更深层级子域，不要把它们混入同一次切换。
第二步 在灰度前完成证书与链路预检
预检至少应包括域名覆盖、私钥匹配、完整证书链、算法兼容性和SNI。只在本机查看证书文件存在，并不代表服务端已经会把正确证书返回给访问者。应以真实域名发起 TLS 握手，确认看到的叶子证书、有效期、SAN、链路和指纹符合预期。
如果同一套配置要分发到多种平台，建议先在预发入口或一个低风险子域执行完整验证。Nginx、负载均衡、CDN 与 Ingress 对证书链文件、私钥权限和配置加载方式的要求并不完全相同，不能假设“一处可用，处处可用”。
第三步 把切换拆成可观察的灰度批次
1. 先选择一个低风险域名或一组可控节点发布新证书，保留已验证的旧配置以便快速恢复。
2. 从外网、不同网络环境和业务监控系统验证握手结果，确认新证书、SNI 与完整链都已生效。
3. 观察错误率、TLS 握手失败、客户端版本分布及用户反馈，再扩大到下一批 CDN 区域、负载均衡池或子站。
4. 全部入口完成后，重新扫描每个域名及备用入口，确认没有节点继续对外提供旧证书。
第四步 用外部结果判断是否真的切完
判断证书是否生效，不能只看运维控制台显示“上传成功”。应记录每个入口的域名、IP 或边缘位置、返回证书序列号或指纹、证书有效期以及检查时间。对同一域名重复探测，才能发现负载均衡池中少数未更新节点。
对于 CDN，还应同时确认边缘到源站的连接是否也需要更新。若用户侧证书已经更新，而 CDN 回源仍使用过期或不受信任的证书，业务仍可能在特定路径失败。
旧证书什么时候可以删除或撤销
正常更新完成后，应先确认没有备用节点、回滚脚本或人工上传目录继续引用旧证书，再清理不再使用的副本。证书撤销则应根据具体风险判断：若私钥泄露、证书误签或证书信息不再可信，应按流程尽快撤销；若只是正常轮换，不应把“立即撤销”当作唯一标准，而应同时考虑回滚窗口和业务连续性。
一份适用于几十个子站的切换清单
• 每个子域的 TLS 终止位置、负责人和更新状态均有记录；
• 新证书覆盖目标域名，私钥匹配，完整中间证书链可用；
• CDN、WAF、负载均衡、Ingress、源站和灾备入口均纳入范围；
• 灰度节点已经从公网通过SNI 验证，并记录了新证书指纹；
• 监控能识别握手失败和少量旧节点返回旧证书的情况；
• 旧文件、旧配置和回滚边界已明确，泄露或误签场景另行启动撤销流程。
FAQ
1.上传新证书后 为什么仍有用户看到旧证书？
优先怀疑未更新的边缘节点、负载均衡成员、备用入口或未重新加载的服务进程。按域名和入口重复从外部验证，比让用户反复刷新页面更有效。
2.通配符证书能否自动覆盖所有子站的部署？
不能。通配符描述的是域名匹配范围，不是配置自动同步能力。每一个TLS 终止点仍需获得新证书、正确私钥和完整链，并按所在平台的方式加载。
3.新证书已经在 CDN 生效 源站还需要更新吗？
取决于 CDN 是否与源站建立 HTTPS 回源连接，以及源站证书是否由同一张通配符证书承担。应按实际链路验证，而不是只看用户浏览器的一次访问。
关于 GlobalSign
GlobalSign 提供 SSL TLS 证书与证书管理能力。对拥有大量子站的团队而言，选择通配符证书只是简化域名覆盖的开始；稳定的更新还需要将部署位置、权限、验证与生命周期管理纳入统一流程。
数据来源：GlobalSignSSL TLS 证书与证书生命周期管理技术资料。