HTTPS证书更新排查：同时验证CDN边缘和源站回源链路

🔐 证书更新涉及用户侧和回源侧两次TLS握手

使用CDN的网站至少有两段连接：用户与边缘节点，以及边缘节点与源站。若回源使用HTTP，源站证书不参与该链路；若使用HTTPS，则源站证书验证会影响边缘取内容。更新其中一张证书不能证明另一段链路可用。排障前先确定两段协议和各自使用的主机名。

🌐 验证用户到边缘的证书

从实际入口域名发起新的TLS连接，核对证书主题备用名称（SAN）、有效期、信任链和协商结果。裸域、www子域、API子域可能绑定不同证书或配置，逐个检查。不同网络看到的证书不同时，结合解析结果、边缘配置绑定和连接节点定位差异。浏览器复用已有连接可能暂时继续使用既有会话，独立建立新连接更适合验证更新传播。

证书日期有效不等于主机名匹配；证书链也可能缺少中间证书。应从客户端完整验证链，而不只是读取证书文件的到期时间。

🔗 验证边缘到源站的证书

HTTPS回源时，先确定边缘实际连接的回源主机名、端口及SNI，再核对源站证书是否覆盖该名称、是否过期以及链是否受信任。源站证书可以覆盖专用回源域名，不必与用户访问域名相同，但配置与证书名称必须一致。若证书通过而边缘仍报回源错误，继续检查TLS版本协商、网络访问、监听端口和源站日志。

边缘侧握手成功而回源握手失败时，用户可能看到502或平台定义的回源错误；这与浏览器直接报告证书不可信是不同故障。结合边缘错误分类、回源耗时和源站TLS日志，判断失败发生在哪条连接。

🛠️ 安全的更新与回退顺序

1. 记录两段链路的主机名、证书指纹、到期日和现有配置引用。
2. 先部署并验证源站证书（仅HTTPS回源时适用），确认新连接握手正常。
3. 再更新边缘证书绑定，逐个入口建立新连接检查名称、链和有效期。
4. 观察回源TLS错误、用户侧握手失败和请求成功率；保留可恢复的旧配置引用。

✅ 验收标准

验收记录应覆盖裸域、常用子域、不同网络入口及源站回源主机名，保存新握手结果、证书SAN、有效期和链状态。持续请求一段观察期，确认没有间歇性回源TLS错误。上传成功或面板显示有效只是配置状态，端到端实际握手、正确的主机名匹配和应用响应才构成完整验收。✅