Ubuntu Apache环境下多Certbot证书的安全清理与管理问询

一、哪些证书可以安全删除 #

删除前务必先核对Apache配置文件中每个站点引用的证书路径，确认冗余证书未被使用后，可删除以下条目：

• AAAAA.com-0001：该证书包含的所有域名均已拥有独立的、有效期更长的证书（剩余83天），且此证书仅余30天有效期，属于完全冗余的旧证书，可安全删除。
• BBBBB.org：与BBBBB.org-0001为同一证书（序列号、文件路径完全一致），是Certbot生成的重复条目，删除该条目不会影响实际证书服务。
• 其中一个DDDDD.org证书：列表中存在两个序列号不同但域名、文件路径相同的DDDDD.org证书，属于重复生成的冗余项，任选其一删除即可（建议保留Apache配置中实际引用的版本）。

二、单域名证书与多域名证书的管理问题 #

1. 常规做法 #

没有绝对的标准，两种方案都广泛使用：

• 单域名对应单证书是更主流的选择，尤其适合独立管理、可能需要单独迁移的站点。
• 多域名证书适合关联紧密的域名（如同一品牌的主域名+子域名、同主体的多个域名），能减少证书维护的数量。

2. 多域名证书的迁移问题 #

多域名证书完全可以迁移，操作和单域名证书一致：只需复制证书的私钥（privkey.pem）、全链证书（fullchain.pem）到目标服务器，在新服务器的Web服务配置中替换为这些文件即可，无需重新申请证书。

3. 管理权衡建议 #

• 优先选多域名证书的场景：
  • 域名属于同一主体、业务关联度极高
  • 服务器域名数量过多，希望减少Certbot续期任务的数量
• 优先选单域名证书的场景：
  • 站点需要独立迁移到其他服务器
  • 不同域名分属不同业务主体，权限分离需求明确
  • 避免单个域名验证失败导致整个多域名证书无法续期的风险

内容的提问来源于stack exchange，提问作者Ray Kiddy