证书监控应针对访客实际看到的证书，而不是只检查服务器上的证书文件。CDN、负载均衡和源站可能各有一份。
建立域名清单
主站、子域名、API和回调入口都纳入，记录续期责任人。
分阶段提醒
在剩余时间足够处理时发预警，临近到期升级通知，避免只有最后一天报警。
验证续期结果
外网检查新证书、链和域名匹配，确认服务已加载。自动续期任务运行成功也需要访问验证。
监控实际公开的证书而非文件
分别检查主域、子域与必要入口，提醒留出处理窗口并有明确接收人。
续期完成再验证线上加载、证书链及回源，不能把自动任务成功视为所有节点都已更新。
例如自动续期成功后服务未重载，应检查线上证书，监控对象不能只设本地文件。
相关阅读：网站HTTPS与安全响应头：证书、混合内容和续期。