摘要：多张SSL证书在同一时间启动续期，可能集中调用CA、DNS及云平台接口。企业可在安全续期窗口内分散任务，同时控制共享接口的请求频率与并发数；遇到限流后按返回信息等待重试，并保留已有申请状态。支持ARI的ACME客户端，还可利用CA提供的建议续期窗口安排更新。
凌晨两点，几十台服务器同时开始续期。部分证书顺利签发，另一些收到限流响应；失败任务约定五分钟后重试，于是五分钟后又一起发出请求。原本为了避开白天业务高峰的安排，反而在证书接口上制造了新的高峰。
这种情况需要调整任务怎样进入接口、失败后何时再次执行。单纯把执行时间改到更晚，或者增加重试次数，往往只是把同一批请求搬到另一个时间点。
一 先找出请求集中在哪个环节
一次续期通常不止一次调用。创建申请、完成域名验证、查询状态和下载证书，都可能产生请求；采用DNS验证时，还要写入及查询记录；证书部署在云平台上，导入和绑定又是另一组接口操作。
因此，排查限流应记录接口所属平台、响应状态、错误类型及发生时间。GlobalSign Atlas的证书申请API文档列有429限流响应；其他接口也可能有各自的频率或配额规则，不能看到续期失败就全部归因于CA。
限流与商业配额不足也应分开。前者关注请求速度，后者可能需要核对产品权益或可用额度；等待一会儿不会自动补足商业配额。DNS权限失效、CAA配置不符等问题，同样不能靠降低请求频率解决。
把失败请求按环节归类后，再调整相应任务。否则，CA请求已经足够分散，部署任务却同时涌向云平台，问题仍会出现在流程后半段。
二 在续期窗口内分散 不能拖到最后一天
先根据线上证书到期时间，结合验证、变更窗口和失败恢复所需时间，确定可处理的范围，再为每项任务安排执行时间。不能为了错峰，把一张已经接近到期的证书继续排到队尾。
假设有60张证书进入允许更新的窗口，且都留有足够处理余量，可以按业务或维护批次分组，再在各自时段内分散启动。这个数量只用于说明调度方法，并不是推荐批量或接口阈值。是否跨天处理，应根据实际期限与业务窗口判断。
随机延迟可以避免所有任务在整点同时出发，但应落在允许范围内。可以为每项任务保存选定的执行时间，避免调度器每次检查都重新随机、不断把任务往后推。临期或因安全事件必须提前更换的证书，应获得更高优先级。
错峰也不要求先把所有旧证书重签一遍来改变到期日。可以从本轮续期调度开始逐步分散，减少不必要的签发和生产变更。
三 并发限制和请求限速需要同时设置
并发数限制同时运行多少项操作，请求限速则控制单位时间内发出多少请求。两项任务如果很快结束、立即启动下一项，虽然并发不高，短时间内仍可能产生大量调用。
应依据实际接口规则设置两类约束，并在共享同一限流范围的执行器之间协调。例如多台主机各自限制速度，合计仍可能超出共享账户或接口的允许范围。具体限制按账户、接口、来源地址还是其他维度计算，需要核对当前文档或与服务方确认，不宜猜测一个通用数值。
查询频率也要计入。证书申请已经受理，后台仍在处理时，不应不断创建新申请，也不需要每秒查询同一个订单。应使用已有标识跟踪状态，并遵守接口返回的查询建议。
如果一次请求超时，尚不能确定服务端是否已受理，应先利用已有订单标识或平台记录核对。多个执行器也应避免同时处理同一项续期。但两张有意隔离密钥、部署不同业务的证书，即使包含相同域名，也不宜仅凭名称相同就强行合并。
四 收到限流响应后 不要让重试再次撞车
ACME规范定义了rateLimited错误，并建议服务器通过Retry-After说明何时可再次尝试。客户端收到这类信息后，应据此安排后续请求，而不是固定每隔几十秒重发。
没有明确等待时间时，可以按接口要求采用逐步延长的等待，并加入适度随机偏移，使失败任务不在同一秒恢复。存在服务端等待要求时，随机安排也不应早于该要求。重试仍要设置上限，并随时检查剩余有效时间是否足够。
| 遇到的情况 | 后续处理 |
| 明确限流并返回等待信息 | 按要求暂停相应请求 将下次时间写入任务 |
| 暂时不可用或短暂网络异常 | 按可恢复故障处理 保留状态并合理退避 |
| 凭据 权限或验证配置错误 | 转交对应人员修复 避免无效循环 |
| 证书已取得但部署失败 | 从部署环节继续排查 不要重复申请 |
这一安排还应覆盖调度器重启。恢复运行后，若把所有积压任务立即发出，又会形成突发流量。应按剩余期限重新检查优先级，让待执行和重试任务继续经过同一套限速规则。
五 利用Atlas的ARI建议 安排更合适的续期时间
ARI是ACMERenewal Information的缩写，用于让CA向客户端提供建议续期窗口。相比仅按固定日期运行，它可以把CA侧的更新安排带入客户端决策，帮助分散续期负载。
GlobalSign Atlas官方资料说明，其ACME服务支持ARI，并在目录中提供renewalInfo信息。使用支持ARI的客户端时，可以取得相应证书的建议窗口，结合本地维护条件安排执行。实施前应确认所用客户端和版本确实支持并采用该机制，不能只因配置了ACME就默认已经启用ARI。
ARI不能替企业协调全部接口。DNS服务商的写入限制、云平台的部署请求，以及多台执行器的共同负载，仍需在自己的调度中处理。自行使用Atlas REST API构建的申请流程，也不能直接假定会获得与ACME客户端相同的自动调度行为。
建议窗口还可能因证书状态改变而调整。客户端应按机制更新信息，维护人员也需要关注异常期限，不能把第一次取得的时间永久写死。
六 以线上换证完成为终点
任务至少要区分等待执行、申请处理中、已取得证书、待部署和已验证生效。只有一项“成功”状态，很难说明证书究竟走到了哪里。
部署后应检查真实业务入口返回的证书、名称与链，并确认需要更新的节点都已完成。监测可重点关注临近期限仍未完成的任务、重复限流、长期等待以及已签发未部署的项目；这些比某一分钟成功签发了多少张更值得优先处理。
进入人工接手时，提供目标入口、当前线上到期时间、已有订单标识、最近错误和下一次计划时间。不要在日志里附上私钥或API密钥。故障修复后，应继续使用受控队列推进，避免人工处理与自动任务同时操作同一目标。
Q1：只把续期时间从凌晨两点改成凌晨三点，能避免限流吗？ A：如果任务仍同时启动，只是换了集中请求的时刻。应在安全窗口内分散启动，并限制共享接口的请求频率和并发。 Q2：已经限制并发数，为什么还会收到429响应？ A：并发低不代表单位时间请求少，还可能有状态查询、重试或其他主机共同调用。应核对总请求量及服务端实际限制维度。 Q3：收到限流后，是否应该为失败任务全部重新创建申请？ A：不应直接这样做。应按错误与等待信息处理，并检查已有申请状态。重复创建可能增加请求和重复制品，证书已经签发时尤其应从后续环节继续处理。 Q4：采用Atlas的ARI以后，还需要企业自己做错峰吗？ A：仍需要协调其他接口和本地执行器。ARI提供CA侧的续期时间建议，不会自动消除DNS写入、云部署及积压任务恢复时的流量高峰。 FAQ
关于GlobalSign Atlas
GlobalSign Atlas提供数字证书签发与相关管理服务，企业可根据所选产品和环境采用RESTAPI或ACME接入。对于集中续期，Atlas的ARI能力可为支持该扩展的客户端提供续期时间建议；企业再结合接口限速、DNS权限及部署验收，形成适合自身业务的更新流程。
资料来源
GlobalSign Atlas ACME ARI说明
https://docs.globalsign.com/solutions/services/clm/acme/acme-ari
GlobalSign Atlas证书申请API及响应说明
https://api.docs.globalsign.com/docs/hvca/create-certificate
IETF ACME协议 RFC8555 第6.6节
https://www.rfc-editor.org/rfc/rfc8555#section-6.6