一、准备阶段：先把清单列全
（一）域名清单
把所有需要加密访问的入口一次性列出，包括带主机名与不带主机名的两种写法，以及可能的跳转域名。这一步遗漏，后面必然要重新申请。
（二）主体证明材料
需要核验主体身份时，要准备能证明身份的材料。材料中的名称应与对外使用的名称保持一致，不一致会被要求补充说明。
（三）联系人信息
核验过程中签发机构会通过邮件或电话与联系人确认。联系方式要选常用且长期有效的，否则会卡在最后一步。
二、生成密钥与请求文件
（一）在哪里生成
建议在对外提供服务的那台机器上生成私钥，不要借助外部代生成服务。生成后收紧文件权限，并记下存放位置以便日后查找。
（二）请求文件的填写要点
请求文件里的域名部分要与清单完全对应，主体信息要与证明材料一致。填写完成后可以先本地查看一遍内容，确认无误再提交。
（三）备份与安全
私钥需要妥善保管，备份要有访问控制。私钥泄露时应当重新生成并重新签发，这一点没有折衷余地。
三、提交与核验
（一）选择核验方式
常见有在站点路径下放指定文件、添加指定解析记录两种方式。前者直观，后者更便于自动化，按站点结构选择即可。
（二）核验过程中的常见问题
文件方式常见问题是路径被规则拦截；解析方式常见问题是记录尚未传播完成。两者都可以通过从外部实际访问来确认。
（三）材料补充
核验主体身份时可能需要补充说明材料，及时响应能让流程不被拖长。安排专人盯邮箱是一个简单有效的办法。
1. 多久能签下来
只核验域名控制权的通常很快，核验主体身份的以工作日计，材料齐备是关键。
2. 能否加急
多数情况下取决于材料是否完整，而不是有无加急通道，先把材料备齐更实际。
3. 签发后可以改吗
签发后发现信息有误通常需要重新申请，因此在提交前核对一遍更省时间。
四、签发时间受哪些因素影响
（一）验证档次
档次越高、人工核验环节越多，所需时间越长。这也是规划上线时间时最先要考虑的因素。
（二）材料是否齐备
材料缺失是最常见的拖延原因。提交前按清单逐项确认，可以把来回补充的往返次数降到最低。
（三）域名数量与覆盖范围
覆盖的域名越多，核验工作量越大。域名清单在提交前收敛一次，有助于缩短等待时间。
五、部署到不同位置
（一）部署在源站
流量直达后端时，把证书与私钥放到约定目录并在站点配置里指向即可。天翼云主机上的站点配置改动后，记得重启服务并检查日志有无报错。
（二）部署在边缘节点
流量先由边缘节点承接时，需要在边缘一侧部署，否则访问者与边缘之间仍是明文。天翼云CDN支持在边缘节点下发证书，入口统一之后源站的改动会少很多。
（三）回源段是否加密
边缘与源站之间是否也需要加密，取决于链路经过的网络性质。对合规要求较高的业务，通常建议两端都做。
① 域名清单一次列全，含跳转域名与不带主机名的写法。
② 主体证书与中间证书一并部署，减少部分客户端无法追溯。
③ 配置改动后重启服务，并用外部网络实际访问确认生效。
六、上线之后的长期维护
（一）到期台账
把每张证书的到期日、覆盖范围、负责人登记成台账，提前一个月开始处理。台账可以放在简单易用的地方，关键是有人按月查看。
（二）自动化续期
条件允许时用脚本完成全流程，并把每次执行结果写入日志。失败必须告警，静默失败迟早会变成一次访问中断。
（三）定期复核配置
-
每半年抽查一次线上配置：是否仍使用推荐的协议版本、加密套件是否需要调整、有无长期未更新的入口。这类复核成本低，却能提前发现问题。
-
上线前可以用外部的检测工具查看配置是否完整，重点看信任链是否齐全、协议版本是否符合当前要求。
-
全部部署完成之后，要用外部网络访问确认标识与有效期，这一步不能只在本机上检查。
-
配置修改之后要重启服务并检查日志，确认没有报错，再进行外部网络访问验证。
-
每月固定做一次集中巡检，把近期到期的证书挑出来提前处理，留出充足的操作窗口，比到期当天被动应对从容得多。
-
把证书到期日写入团队的月度巡检清单，与其他例行检查一起执行，比单独记忆可靠得多。
-
自动续期任务要设定失败告警。静默失败最容易在到期那一天才被发现，届时处理非常被动。
-
到期替换时可以保留旧证书文件一段时间作为回退备份；每次替换都保留旧文件作为回退备份，新配置出现异常时能够立刻切回或恢复原状，减少长时间中断。
（四）申请与核验前准备
-
申请前可以先确认域名解析服务商是否支持接口操作，支持的话自动续期可以做到完全无人值守，长期收益明显。
-
提交之前把域名清单与线上实际入口逐条对照一遍，确认既没有多列也没有漏列，这一步能减少后续返工。
-
域名清单确认后不要急于提交，找第二个人复核一遍，漏项是返工最常见的原因。
-
材料中的名称要与对外使用的完全一致，简称与全称混用会被要求补充说明，白白增加往返。
-
核验过程中如需补充材料，尽快响应可以让流程不被拖长，安排专人留意通知邮箱是简单有效的做法。
-
核验联系人建议使用团队邮箱而非个人邮箱，人员变动时不会影响核验进度。
（五）私钥、部署与协作管理
-
同一份私钥不建议跨多台机器复用。多节点部署时应分别在各自机器上部署同一张证书，统一管理而不是共享私钥文件。
-
生成私钥的机器要记录清楚。日后需要重新签发或排查时，这一步能省不少时间。
-
多节点部署时，证书文件要同步到所有节点并检查一致性，个别节点遗漏会出现访问时好时坏的现象。
-
多人协作时，正在执行证书操作的成员应当在群内同步进度，减少两个人同时修改同一份配置造成冲突。
结语：申请流程的难点从来不是某个技术环节，而是环节之间的衔接。材料一次备齐、域名清单一次列全、部署后立刻重启并验证，这三件事做到，绝大多数问题就不会出现。剩下的长期工作只有一项：把到期日盯住。与其到期后被动处理，不如提前一个月从容替换。
