Apple Pay域名SSL续期后重复手动验证问题方案咨询

核心认知纠正：apple-developer-merchantid-domain-association.txt验证文件与站点部署的Let's Encrypt SSL证书无绑定关系，无需每次续期证书就重新下载替换。当前每次必须手动操作的根本原因有两点：

• 你的Let's Encrypt自动续期触发时间晚于Apple的固定自动校验窗口，导致Apple在校验时拉取到的还是旧证书，判定自动校验失败，后续不会在该周期内主动重试，必须人工触发重验
• 人工触发重验时你习惯性重新下载文件替换，实际上只要原验证文件路径可访问、内容未被篡改，哪怕是首次域名验证时部署的旧文件，也能通过校验，无需重复下载

你收到的Apple官方通知内容如下：

Apple Developer
尊敬的管理员：
您接入Apple Pay的网站域名所绑定的SSL证书将于指定到期日到期。我方尝试自动重新核验您的域名后，发现该SSL证书尚未完成更新。我方会分别在证书到期前30天、15天、7天自动执行域名校验。
若您已更新SSL证书，但在到期前7天域名仍未自动核验通过，请您于证书到期日前前往Certificates, Identifiers & Profiles板块手动完成重新验证，保障您网站的Apple Pay服务不受中断。

以下是三种可落地的免重复操作方案，按需选择即可：

方案1：调整证书续期时间对齐Apple校验规则（零开发成本） #

将你的Let's Encrypt自动续期触发阈值调整为证书到期前35天以上，保证Apple在到期前30天第一次发起自动校验时，你站点已经完成新证书的部署和服务重载，Apple校验通过后就不会发送告警邮件，全程不需要人工登录控制台操作，也不需要动验证文件。
不同续期工具的调整方式：

• 用certbot的场景：修改对应证书配置文件中的renew_before_expiry = 35 days参数，重启certbot定时任务即可生效
• 用acme.sh的场景：执行续期命令时添加--renew-days 40参数，配置后会在证书到期前40天自动完成续期和服务重载

方案2：配置验证文件动态回源（一劳永逸，零后续维护） #

你不需要把验证文件存在本地服务器静态存储，可以直接在Web服务器/CDN规则中，给验证文件的固定访问路径/.well-known/apple-developer-merchantid-domain-association配置反向代理规则，直接回源拉取Apple侧的最新验证内容返回给校验请求，后续哪怕Apple侧更新了验证文件内容，也不需要你手动下载替换。
以Nginx配置为例：

location = /.well-known/apple-developer-merchantid-domain-association {
    proxy_pass https://appstoreconnect.apple.com/对应商户ID的验证文件路径;
    proxy_set_header Host appstoreconnect.apple.com;
    proxy_ssl_server_name on;
    expires 1d;
}

配置完成后重载Nginx服务即可生效。

方案3：证书续期后自动触发Apple重校验（全流程自动化） #

如果你不想调整现有续期时间，可以对接Apple Developer官方开放API，在Let's Encrypt续期流程末尾添加钩子脚本：等新证书部署完成、Web服务重载成功后，自动调用API触发对应商户域名的重新校验，全程不需要人工登录控制台操作。

该方案需要提前申请Apple Developer API的调用权限，配置对应的签名密钥，适合有自动化运维能力的团队使用。

内容的提问来源于stack exchange，提问作者Vojtěch