从一次证书过期看监控盲区

现象与影响

周一 09:12，多个移动端接口返回 502，网关日志刷满 TLS handshake failed。排查定位到边缘节点证书凌晨 03:00 已过期，而监控只探活首页 200、未校验证书有效期，告警一条没响。故障持续约 40 分钟，支付回调失败 1200 余笔，客服工单翻了 3 倍。

根因分析

排查发现，证书由 certbot 定时续期，续期脚本以 root 在 cron.d 执行，而 Nginx 以 www-data 运行，reload 因权限不足静默失败；监控仅对 443 做 TCP 探活，未采集 x509 到期时间，blackbox_exporter 的 probe_ssl_earliest_cert_expiry 指标也未配告警，导致到期前 30 天窗口内毫无提示。