证书过期，Fastly的月末域名计数仍在

摘要

证书有过期日，计费清单却不会照着那天自动散场。Fastly的TLS服务说明明列一条规则：月末仍激活的域名，不论证书有效还是过期，都进入账单计数。凭证结束了自己的有效期，服务设置没有收到退场指令。

对替客户运营网站的公司来说，这个区别有现金含义。卖出去的是能用的HTTPS入口，后台管理的却是证书、域名激活和付款承诺几种不同状态。把其中一张工单标成完成，另外几笔账未必跟着结束。

这也是“自带证书”容易被算错的一门生意。客户自己准备文件、承担一部分续期工作；平台仍在托管相关名字的TLS服务。把采购凭证与运行入口当成同一项支出，便会误判自己究竟替供应商做了多少事，又买下了什么。

一份证书可以包含根域、子域和通配符条目。Fastly把每个条目分别对待，再把客户自管证书和平台管理证书上的域名合并计算。月末激活状态决定哪些名字进入这项计数。文件数量、访问流量与这个数量不是同一本账。

把若干名字装进同一份文件，确实能减少一部分管理动作。不过文件合并不改写计量单位。按文件数预测名字的费用，拿到的是一个很方便整理文件夹的数字。轮到更换或删除那份共用文件时，它背后还可能连着几项不同的服务。

当前公开报价页把自带证书与非营利CA的管理型TLS放在同一栏，列出的超额单价为每域名每月20美元。实际金额还差账户额度、月末激活清单和合同价。文件由自己提供，不会自动让托管的名字获得计数豁免。

因此，客户承担的工作也应入账。谁盯有效期，谁提供新凭证，谁确认它已用在仍需服务的名字上，都要有人做。平台收取托管服务费用，与客户继续付出运营劳动，可以同时成立。

自管证书指南说，过期前三十天，界面开始提示，并向超级用户发送周期性提醒。如果没有替换或移除，提醒持续到证书过期；过期后，自动通知停止。

于是，抓住人注意力的那套机制先安静了。域名若仍激活，月末计数的条件却还满足。公司需要明确选择：继续使用的名字补上新凭证，结束用途的名字走完获准退出的流程。凭证的日期不会替团队作出这个选择。

过期证书不能提供有效的TLS身份凭证。一个名字若另有有效证书，单个文件到期也不能说明整个服务都停了。反过来，名字仍被计数，更不能证明客户接到的是正常服务。计费清单回答激活状态，业务验收回答入口是否能用，两者各有自己的问题。

清理还会直接影响生产。指南说明，一个域名上所有证书的激活都被撤销后，Fastly便不再为这个名字提供TLS流量服务。删除自管证书之前，要先停用这份证书上全部域名的TLS。共享文件的一次整理，可能碰到多个仍在交付的入口。

所以，省钱应先从没有用途的名字和实际依赖关系查起。看见日期过了便删文件，可能把容易看到的费用换成客户立刻看得到的服务问题。结束一项支出，也是一项运营决策。

TLS前置条件要求合适的管理权限、修改相关DNS记录的能力，以及添加到正确服务上的域名。自管路径还需要有效证书和配对密钥。拥有文件，只占运行能力的一部分。

走Fastly管理路径，平台使用ACME办理申请和续期。DNS或CAA条件仍可能挡住续期。后台有尝试，不等于眼前的凭证有效，也不等于月底的激活名单已经改变。

买方比较两条路径，应该数清楚转移了哪些劳动和权限。委托申请与续期能少做特定任务，是否继续保留某个名字仍须由业务作决定。把“我自己提供证书”理解成“我已经把TLS服务全做了”，会把仍买着的托管能力和仍负着的责任一起漏掉。

前置条件文档还写了旧版Customer-Provided TLS Certificate Hosting Service的边界。更新先前上传的证书，可以维持旧服务而不改变账单。把旧证书移除，再用Fastly TLS上传新证书，新对象会进入现有产品的计费；旧对象仍按适用的合同期限继续收费。

技术团队可能把两种做法都叫“换证”。财务负责人必须知道走的是哪一条。新资源建好了，不会自动解除以前承诺的期限。旧服务剩下什么、新产品开始数什么，应是完成任务时一起交付的信息。

这让一门看似简单的TLS服务出现三本生命周期账：身份是否有效，名字是否激活，付款承诺是否结束。客户只要一个能工作的安全入口。运营公司必须把几本账对齐，留住仍有用途的名字，获准结束不再需要的服务。

证书上印着终止日期。托管的名字需要一个负责到底的人。邮件停止提醒以后，计量条件还可以静静留着。给这段沉默安排好最后一天，才算把这门生意的成本算完。