摘要：ACME客户端升级后，程序能够启动、任务返回成功，并不足以说明原有续期流程保持可用。企业应保留升级前的任务与证书基线，核对运行环境和插件变化，分别验证域名挑战、证书获取、部署与服务加载，再通过原定调度方式检查无人值守执行。本文说明如何识别被跳过的续期、测试模式与缓存结果，并为升级验收和回退建立具体依据。
升级完成后，管理员手动运行一次续期命令，看到返回成功，便结束了变更。下一次定时任务到来时，才发现执行的仍是旧路径，或者新程序读不到DNS凭据。这是一种需要在验收中主动排除的故障情形。
ACME客户端升级的验收对象，应是原来的续期任务能否继续完成工作。判断至少要覆盖任务识别、验证与签发、部署，以及无人值守调度。单次测试只能证明当时覆盖到的环节；把测试范围和未覆盖事项记清楚，后续维护才有依据。
1 先留下升级前可以对照的记录
在覆盖安装目录之前，先记录当前客户端版本、安装方式和实际执行路径。由系统包、容器或独立压缩包安装的客户端，升级入口和依赖处理方式可能不同，应按对应发行说明操作。不要一边升级，一边顺手更换CA端点、验证方式和部署脚本，否则失败后很难确定是哪项变化造成的。
版本号之外，更值得保留的是已有任务如何运行：任务名称或证书标识、域名列表、CA目录地址、验证插件、配置目录、运行账户，以及部署后的服务处理方式。对HTTP-01，记录实际使用的站点路径；对DNS-01，记录凭据引用位置和验证区域，不把秘密信息原文写进普通变更单。同时记下当前线上证书的SHA-256指纹、到期时间及任务的下次运行时间，升级后才能判断实际发生了哪些变化。
备份也应覆盖配置和任务状态，而不只是程序文件。账户密钥、续期配置、证书与对应私钥、插件、部署脚本以及调度定义，需要按实际安装结构保存。备份应受访问控制，并保留文件权限和必要的目录关系；容器部署还要确认状态是否在持久卷中，不能以为保留旧镜像就保住了全部配置。
使用GlobalSign Atlas ACME时，还应区分账户绑定凭据与已注册账户的密钥。GlobalSign官方说明，MAC Key用于外部账户绑定（EAB），不是每次普通ACME请求都需要重新使用的凭据。升级不应被机械处理为“删除账户、重新注册所有任务”，应先确认原有账户状态能否正确保留。
对于Certbot，可以先用以下查询命令建立记录。这些命令用于查看版本、插件和证书清单，不会主动发起证书续期；应使用与原任务一致的配置位置和运行身份。
certbot --version
certbot plugins
certbot certificates
2 把版本变化映射到现有任务
发行说明里的“修复”“兼容性调整”需要对应到本机配置。例如，运行时要求变化会影响程序能否启动；DNS插件变化会影响验证接口；安装或存储插件变化会影响证书能否交给正确服务。只确认主程序版本，没有确认配套插件，可能把问题留到下一次真正续期才暴露。
simple-acme官方安装文档说明，手动压缩包更新可以覆盖原程序目录并保留设置和续期任务。这里的“保留”不等于已经完成业务回归：升级后仍应检查任务是否齐全、配套插件是否匹配，原定任务是否指向新程序。如果跨越多个版本，还要阅读中间版本的破坏性变更说明。
测试样本应覆盖配置差异。一个使用HTTP-01并直接安装到Web服务器的任务，不能代表通过DNS API验证、再调用脚本部署到其他设备的任务。可以按验证方式、存储位置和部署方式挑选代表性任务，先验证这些差异，再扩大升级范围；没有必要为证明“测得多”而无差别重复申请全部证书。
3 先确认测试实际做了什么
第一种误判，是把没有续期当成续期成功。Certbot官方文档明确，certbot renew在没有证书需要更新时，也可以返回退出状态0。因此，记录里应写清任务是被跳过、完成了模拟验证，还是确实获取了新证书。只有“命令成功”四个字，无法区分这些结果。
第二种误判，是把dry-run当作完全离线的检查。 Certbot默认的dry-run使用Let’s Encrypt测试服务；显式配置自定义--server后，行为需要按实际端点核对，官方提醒这可能产生真实签发后又被丢弃的证书。连接GlobalSign等其他CA时，不能照搬默认测试结论，也不能自行假定存在一个通用测试端点。
dry-run也可能执行pre-hook、post-hook，涉及临时服务配置调整；deploy-hook默认不执行。即使通过--run-deploy-hooks启用，Certbot文档说明使用的也是当前活动证书，而非临时测试证书。因此，这类测试能覆盖的内容，必须结合现有脚本判断，不能直接写成“已经验证新证书完整发布”。
第三种误判，是忽略客户端缓存。simple-acme可以在手动触发续期时命中证书缓存，继续执行后续步骤，却没有向CA申请新证书。它可以帮助检查安装环节，但不能据此认定新版本已经通过一次新的验证与签发。是否绕过缓存，应按客户端文档、CA限制和测试计划决定。
我们建议为每个样本填写下表，而不是仅保存一张成功截图。
| 检查环节 | 应留下的结果 |
| 任务读取 | 原任务标识、域名列表与CA端点正确，所需插件可用 |
| 验证与签发 | 标明是否复用已有授权、是否命中缓存；若进行了新申请，记录申请结果 |
| 证书交付 | 记录证书指纹、有效期、名称覆盖及实际存储位置，私钥不写入报告 |
| 部署与加载 | 目标服务使用了预期证书，链路与业务访问检查通过 |
| 调度运行 | 原调度入口运行新版本，执行身份、日志和后续执行时间正确 |
| 检查环节 | 应留下的结果 |
首次测试可以先在受控环境进行。若要验证真实签发与部署，使用明确选定的样本，并安排相应变更窗口。测试证书不应被误装到生产入口；复制生产配置到测试环境时，也要防止两套任务同时修改同一个验证记录或部署目标。
4 在原调度身份下再验证一次
管理员终端里的环境变量、凭据访问和工作目录，可能与cron、systemd或Windows计划任务不同。手动测试完成后，应通过原来的调度入口触发受控检查，确认实际运行的是新程序，而不是另一个安装目录中的旧副本。
重点看执行身份能否读取凭据、写入证书目录、调用部署脚本，以及完成必要的服务操作。不要仅为通过测试，把DNS账户或文件目录开放成所有用户可读写；应修正原任务所需的最小权限与凭据交付方式。
当样本确实签发了新证书，应从业务访问端检查其指纹、有效期、名称和证书链，再与本次任务记录对照。若入口经过CDN或负载均衡，检查对象应包括实际终止TLS的入口及约定部署范围。磁盘上的文件更新，不能单独证明服务已经加载。
随后检查调度状态：下一次运行是否已安排，是否意外同时启用了旧任务和新任务，日志能否持续留下，以及失败通知是否到达既定接收人。若当前任务尚未到续期条件，这次检查只能验收调度与读取能力；仍应保留对下一次真实续期的观察，不能提前将其标记为全部通过。
5 回退方案要同时考虑程序和状态
回退准备应在升级前完成。至少明确哪些结果会停止推广，例如任务缺失、关键插件不可用、验证持续失败，或部署后的业务检查异常；同时确认旧程序、旧配置与运行依赖能否配套恢复。
如果新版本修改了状态文件或配置结构，不能直接假定旧程序能够继续读取。回退时应依据客户端的兼容说明，恢复一致的程序与状态，并防止两套调度器同时工作。已经成功部署、仍然有效且安全的新证书，也不必仅因客户端回退就机械换回旧证书；是否更换应由具体故障和证书状态决定。
从GlobalSign ACME服务的使用角度，我们建议把CA端与本地客户端的检查分开记录。GlobalSign官方列出了兼容的ACME客户端，但兼容协议不等于每次本地升级都无需回归。账户和域名条件由相应服务流程处理，插件、调度身份、证书交付与部署脚本仍要在企业实际环境中验证。
一份可交接的升级记录，应能说明升级了什么、哪些任务经过测试、哪些结果已经确认，以及剩余检查由谁跟进。这样即使下一次续期由另一位同事值守，也能沿着记录判断故障发生在哪一段。
FAQ
Q1 升级后执行续期没有报错是否就可以结束验收
A：还不够。先确认任务是否真正执行了续期，而非因尚未到期而跳过，再检查验证、签发、部署和调度分别覆盖到了什么。没有发生新签发时，应如实记录测试边界。
Q2 dry-run能否证明GlobalSign ACME续期完全正常
A：不能直接等同。应先核对实际CA端点和测试方式，并确认hooks、缓存及授权复用的影响。连接其他CA的测试成功，不能代替对实际GlobalSign接入配置的验证。
Q3 生产证书快到期了是否应先升级客户端再续期
A：应结合故障原因和剩余处理时间判断。若旧版本仍能正常续期，可先完成必要的证书更换，再安排升级；若升级是修复当前续期故障所必需，则应集中验证该问题，并准备可执行的应急交付方式。
Q4 需要为升级测试把所有证书都强制续期一次吗
A：通常不必。先按验证与部署方式选择代表性任务，避免无差别请求。强制续期、跳过缓存及批量申请应结合客户端行为和CA限制安排，不能用请求次数替代对关键环节的检查。
资料来源
GlobalSign：ACMEFAQs，兼容客户端与MAC Key、EAB说明。
Certbot：UserGuide，续期退出状态、dry-run、hooks及配置说明。
simple-acme：Installation与Automatic renewal，更新方式、调度及缓存行为。