TLS 证书已续期，为什么网站仍显示旧证书？
续期成功只是完成了一部分
TLS 续期成功后网站仍出现警告，可能是实际连接端点尚未使用新证书。不应首先要求用户忽略警告，而应区分新证书已签发、已安装到相关系统、用户访问的服务确实返回该证书三个状态，并分别留下证据。
域名续费不同于证书续期，证书续期也不会自动变更 DNS。即使都由同一服务商管理，也应确认 TLS 在网站服务器、负载均衡器还是 CDN 等前端服务处终止，否则只更换后端证书，用户仍可能收到前端的旧证书。
先确认类型，再判断自动化覆盖范围
Azure App Service 区分自行上传与从 Key Vault 导入的证书。自行上传的证书被替换后，绑定不会自动更新；Key Vault 导入证书则有该服务的同步和绑定更新流程。这说明应核实实际证书类型及平台规则，不能认为自动续期涵盖所有曾复制过证书的机器。
为每个服务名称及 TLS 终止点建立记录，注明主机名、环境、负责人、证书来源、核实的到期日及部署方式。网站、API 和合作伙伴系统应按实际调用名称分别检查。登记表可引用安全存储位置，但不应在广泛共享的文档中放入私钥、密码或机密文件。
检查对外返回的证书，而不只是存档文件
更换后，管理员应使用正确主机名检查实际访问路径，将到期日、覆盖域名以及序列号或指纹等标识与预期证书对照，再按授权测试登录、API 连接等关键流程。首页正常不代表子域名或转到其他系统的路径都已正常。
假设主网站检查通过，但合作伙伴系统仍报警，原因是 API 使用另一主机名并在另一套负载均衡器终止 TLS。反复安装主站证书不能解决该端点问题，应检查 API 的登记及绑定。如果不同用户群的结果不一致，先记录访问路径、时间与所收到的证书，不要直接归因于浏览器缓存。
明确完成标准与恢复方案
操作前记录现有绑定、获授权操作人员、变更窗口及负责人认可的恢复流程。确认平台的替换顺序前，不要先删除旧证书或绑定。恢复时不应重新使用已过期证书或疑似泄露的密钥；安全事件应按专门流程处理，而非当作普通续期。
范围内每个端点都返回正确证书且关键流程测试通过后，再结束任务。保留检查日期、检查人及待跟进事项，并测试未来告警能否到达负责人和替补。向 Chawinnix 咨询 IT 或云系统时，可提供服务登记与 TLS 路径，使维护范围同时覆盖更换及验证。
