自动续期与服务器更新

1. 自动续期

CNAME 或 NS 委托配置生效后，OKSSL 会在证书进入续期窗口时自动提交续期任务。

续期完成后，可手动下载，也可让受控服务器使用带密钥的下载地址定时拉取最新文件。

在服务器本地校验并替换证书，再测试配置并平滑重载 Web 服务。

OKSSL 使用证书总有效期计算备用续期窗口：通常在有效期最后三分之一开放续期，短期证书在有效期后半段开放，且备用窗口最长为 30 天。后续接入支持 ARI 的证书颁发机构时，将优先采用颁发机构建议的续期时间。

因此，90 天证书通常在到期前 30 天进入窗口；不同有效期或不同颁发机构的证书可能使用不同时间。

收到续期成功通知后，在证书详情页下载新文件，替换服务器上的证书与私钥，验证配置后重新加载服务。

在证书详情页启用“服务器自动拉取”，建议配置部署服务器公网 IP 白名单，再生成仅显示一次的下载密钥。将真实下载地址保存在服务器的安全配置中，由计划任务通过 curl --fail 或 wget 定时获取。

# 示例仅展示拉取动作；请使用详情页生成的真实地址
curl --fail --silent --show-error \
  --output /secure/path/latest-certificate.zip \
  "$OKSSL_CERTIFICATE_DOWNLOAD_URL"

下载成功不等于部署成功。生产脚本还应校验证书域名和有效期、原子替换文件、执行配置测试，并仅在测试通过后重载服务。