用自动化钩子轮转 TLS 证书

用 ACME 客户端签发证书并安装到负载均衡器后，配置续期后钩子重载服务器，使轮转无需人工介入。

续期，再重载

证书不难，重载常被遗忘。把重载接入 deploy hook，每次续期成功即触发，并定时每天检查两次。

[Timer]
OnCalendar=*-*-* 00,12:00:00
Persistent=true

用 certbot renew –dry-run 模拟续期并确认钩子触发。干跑不改动线上证书，可反复执行以调优重载命令。

certbot renew --dry-run

定时器在证书过期前续期，deploy hook 不丢连接地重载服务器，干跑确认整条链路可用。另设监控跟踪证书到期日，续期失败时提前告警，避免重蹈周日早晨证书过期的覆辙。ACME 服务器有速率限制，真实签发不宜频繁。