证书用几个月后突然过期 Shopify 自动续期失败

现象#

某天早上全站报 NET::ERR_CERT_DATE_INVALID，点开证书详情 notAfter 已经是上周，后台域名却仍显示 Connected。

原因#

• 续期走 HTTP-01 校验，期间 A 记录被改动或加了代理，校验请求打不到 Shopify 边缘。
• 新增的 CAA 记录没有包含续期所用的 CA，签发请求被拒绝。
• DNSSEC 签名过期，解析器返回 SERVFAIL，CA 查不到验证记录。
• 域名在注册商侧被暂停解析或欠费，Shopify 的状态不会立刻变化。

处理步骤#

1. 用 openssl x509 -noout -dates 读证书实际有效期。
2. 核对 A 与 www 的 CNAME 是否仍指向 Shopify，删除期间新增的代理或跳转。
3. 执行 dig CAA example.com，确认三个 CA 都在授权列表内。
4. 在后台把域名移除再添加，强制触发一次新的签发流程。
5. 24 小时后复查；仍未更新就提工单并附上 openssl 输出。

验收标准#

notAfter 显示为新的 90 天周期，SSL Labs 评级 A，证书链完整无警告。