证书过期后站点提示不安全，日志里续期任务上次执行是在三个月前。乍看像缓存或者权限的锅，追下去往往不是。
certbot renew --dry-run systemctl list-timers | grep certbot # 手动 certbot renew --force-renewal
追下去是这么回事：续期任务依赖的定时服务没启动，或验证方式在服务器上不可达。
「SSL 自动续期」相关的日志我一般连着看前后五分钟，单看一条报错经常判断不出是哪一步失败。测试环境和线上的差别，往往就在版本号和那几行被忽略的配置上。
线上出问题先对时间点，跟发布、备份、任务执行的时刻排一排，能省掉一半功夫。日志级别临时调高可以，记得改回去，长期开着既占磁盘又掩盖真问题。
权限不要一口气开到最大，先加到够用再往上试，范围小才好收。把复现步骤压到三条以内，交给同事也能跑出来，才算真的定位清楚。
具体做法是，检查定时任务是否在运行；手动执行一次续期看报错；确认验证路径可访问。
验收就看一点，续期任务按时执行，证书剩余有效期始终大于三十天。