SSL证书一旦过期，Chrome、Edge、Safari等所有主流浏览器都会弹出红色的“您的连接不是私密连接”警告页面，大量用户会直接关闭页面离开，数据传输也会失去加密保护，网站退回HTTP明文传输状态，用户的身份信息、敏感数据极易被黑客拦截窃取，，因此发现证书过期后必须第一时间完成更新，网站的CA证书过期了怎么更新呢？
一、CA证书过期了怎么更新
很多人以为CA证书过期可以直接“延期”，实际上SSL证书过期后不能直接延长有效期，而是需要重新申请一张全新的证书来替换旧证书。这既是安全合规的要求，也是CA机构的硬性规定。以国内主流服务商安信证书为例，证书到期后的更新流程如下：
第一步：登录安信证书官网，选择续费或重新申请
找到即将到期或已过期的证书，选择“续订”或“重新申请”。可选择保持原有证书类型，也可趁此机会升级——例如从DV证书升级为OV证书，或从单域名证书升级为通配符证书。
第二步：生成并提交新的CSR文件
在服务器上生成新的证书签名请求（CSR），安信证书官网提供CSR在线生成工具，客服可全程协助，生成CSR的同时会生成新的私钥，请务必妥善保管、切勿泄露。
第三步：完成域名及企业验证
DV证书仅需通过DNS验证或邮箱验证完成域名所有权确认，几分钟即可签发，OV/EV证书还需提交企业营业执照等资质文件进行组织身份认证，通常1-3个工作日完成。
第四步：下载新证书并替换旧证书
验证通过后，CA机构签发全新的CA证书。下载证书文件包后，将旧证书替换为新证书即可。安信证书提供免费的一站式安装部署服务，技术人员可全程协助完成配置，直至网站地址栏重新显示HTTPS和安全锁图标。
二、服务器端替换证书操作要点
更新CA证书的本质就是用新证书文件替换旧证书文件。两种主流服务器的操作方式如下：
Nginx服务器：将新证书文件（.crt）和新私钥文件（.key）上传至服务器（推荐存放在/etc/nginx/ssl/目录），确认Nginx配置文件中的ssl_certificate和ssl_certificate_key指令指向了新证书文件路径，然后执行nginx-t测试语法，无误后执行systemctl reload nginx平滑重启使新证书生效，同时建议建立旧证书定期备份机制。
IIS服务器：下载IIS格式的PFX证书文件及密码文件，打开IIS管理器，在“服务器证书”中导入新PFX证书，然后在目标网站的“绑定”中，将HTTPS绑定的SSL证书切换为新导入的证书。
以上是关于CA证书过期了怎么更新的详细介绍，建议在证书剩余有效期30天左右时即启动续费更新，选择安信证书这类提供到期提醒、自动续签和免费安装部署的一站式服务商，从容应对频繁的证书更新周期。
相关推荐：《CA证书怎么安装？主流服务器的安装方法》
