主题
CDN 证书更新记录（2026-10-02）
结果
已为 cdn.xiedao888.cn 签发 Let's Encrypt 单域名 RSA 证书，通过阿里云 CDN API 上传证书链和匹配的私钥。CDN 对外证书 SHA-256 指纹与本地证书一致，正常校验 TLS 的图片请求返回 HTTP/2 200。
- 域名：
cdn.xiedao888.cn - 生效时间：2026-10-02 12:50:16（北京时间）
- 到期时间：2026-12-31 12:50:15（北京时间）
- SHA-256 指纹：
2C:73:61:9F:C8:1B:E6:72:E6:DE:3D:DC:C4:55:23:5A:D7:48:A3:DB:0E:EF:B5:24:16:D1:54:1E:F9:9B:57:74 - 服务器：
47.121.197.139 - 服务器证书目录：
/etc/letsencrypt/live/cdn.xiedao888.cn-2026/ - 项目证书目录：
certificates/cdn.xiedao888.cn/，包含fullchain.pem和privkey.pem - 项目目录权限为 700，两个 PEM 文件权限为 600，均被 Git 忽略。证书放在后端资源目录之外，避免进入应用构建产物。
签发和发布
域名的权威 DNS 为 DNSPod（fuchsia.dnspod.net、clarence.dnspod.net）。通过 DNSPod 中的 _acme-challenge.cdn TXT 记录完成手动 DNS-01 验证。
阿里云 RAM 用户 xiedao-cdn-cert-deployer 以账号级别绑定 XiedaoCdnCertificateUpdate 自定义策略，仅授予 cdn.xiedao888.cn 的证书更新与查询权限。策略模板见 cdn-certificate-ram-policy.json。
调用 SetCdnDomainSSLCertificate，参数包括 CertType=upload、SSLProtocol=on，以及文件内读取的证书链和私钥。发布请求 ID：01A0FB28-E597-58FE-89A1-78DB0CC80D41。
使用 DescribeDomainCertificateInfo 确认新有效期，并以正常 TLS 校验请求以下现有图片，返回 HTTP/2 200、Content-Type: image/jpeg、x-oss-cdn-auth: success：
text
https://cdn.xiedao888.cn/upload/2026/07/30/fd81ab59cbdf4f9d818d4c012f7f661b.jpg后续续期
已部署 CDN 证书自动同步任务 xiedao-cdn-certificate.timer，每小时核对本地与 CDN 证书，证书变化时自动上传并验证 HTTPS 图片，执行失败后下次任务重试。服务器专用 CDN AccessKey 保存在 /etc/xiedao/cdn-certificate.json，root 所有、600 权限，项目中没有保存 AccessKey。
证书自动续期尚未完成：两次 HTTP-01 测试环境演练均因 CDN 节点连接问题失败，测试验证脚本已撤下；原手动 DNS-01 配置保持有效。需提供 DNSPod API Token 或腾讯云 API 密钥后，才能完成 TXT 自动验证并演练。当前 certbot renew 无法独立完成该 CDN lineage 的续期。
完整配置、测试结果及运维命令见 阿里云 CDN 证书自动续期部署方案。由于凭证已在聊天中提供，建议轮换，并同时更新服务器专用配置文件。