nginx 无内置证书过期监控，需用外部脚本结合 openssl 定期检查本地 pem 文件或远程 443 端口证书剩余天数，达阈值时通过邮件、webhook 或 prometheus 告警，并建议适配 let's encrypt 45 天有效期调整预警策略。
Nginx 本身不提供证书过期监控和告警功能，必须通过外部脚本+系统工具组合实现。核心是定期获取证书剩余天数，低于设定阈值时触发通知，整个过程轻量、可靠、无需修改 Nginx 配置。
确定证书来源并提取有效期
证书可能来自本地文件或线上服务端口，两种方式适用不同场景：
-
本地 PEM 文件：适用于证书由运维统一管理（如 /etc/nginx/ssl/example.com.pem），用 OpenSSL 直接解析：
openssl x509 -in /etc/nginx/ssl/example.com.pem -noout -enddate | cut -d'=' -f2- -
远程 443 端口：更贴近真实访问链路，尤其适合用了 CDN、LB 或自动续签的环境：
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -enddate | cut -d'=' -f2-
拿到过期时间后，转为 Unix 时间戳，再与当前时间相减，除以 86400 即得剩余天数。
编写可执行的检查脚本
脚本需支持多域名、阈值判断、日志记录和通知发送。关键逻辑示例：
- 遍历域名列表（如从 /etc/nginx/domains.txt 读取），对每个域名分别检测
- 设定多级预警阈值（如 30 天发提醒、7 天发紧急通知）
- 检查前确认证书文件存在或端口连通，避免静默失败
- 邮件内容包含域名、证书路径（或连接地址）、确切过期日期、剩余天数
- 使用
logger记录到系统日志，便于排查：logger "SSL warning: example.com expires in ${days_left} days"
配置定时任务与通知通道
用 cron 每日执行脚本，确保及时性：
- 添加 root 用户的定时任务：
0 3 * * * /usr/local/bin/check-ssl-expiry.sh >/dev/null 2>&1（每天凌晨 3 点运行） - 确保脚本有执行权限：
chmod +x /usr/local/bin/check-ssl-expiry.sh - 通知方式按需选择：
– 基础邮件：依赖系统已配置的mail或sendmail
– 企业微信/钉钉：用curl调用 Webhook，消息更及时
– Prometheus + Alertmanager：部署 cert-exporter，暴露指标后用 PromQL 告警（适合已有可观测体系的团队）
增强健壮性的实用技巧
避免漏报、误报和重复告警：
- 加入状态文件机制（如 /tmp/ssl_alerted_example.com），防止同一域名一天内多次发信
- 若使用 Let's Encrypt，可将检查逻辑集成进 certbot 的
--deploy-hook，在续签成功后立即验证并清除旧告警 - 对多个证书统一管理时，建议用数组或配置文件驱动，而非硬编码域名
- 2026 年起 Let's Encrypt 默认证书寿命已缩短至 45 天，预警阈值建议同步下调（如首警设为 21 天，紧急设为 5 天）
