私有化 Office 的 HTTPS 证书快到期了，采购人员完成续费，证书服务商也已签发新证书，办公入口就一定能继续使用吗？还差一次部署和实际访问验证。新文件已经收到，与员工正在访问的服务已经提供新证书，是两件事。
TrustAsia 的证书到期说明把取得新证书和在服务器上安装替换分别描述。企业交付也应保留这一区分：续费、签发、部署、验收分别由谁负责，不能用订单完成截图替代换证结果。下面是一份面向采购、IT 和运维的交接设计，具体操作仍按实际部署组件的维护说明执行。
先列清服务入口，再分配续期责任
不要只登记一条“办公平台证书”。先由实施方列出实际使用的域名、端口、服务用途，以及负责提供 HTTPS 的组件。企业门户、文档编辑入口、文件资源或集成接口是否使用独立域名，要按本项目核对；这里列的是排查对象，并不表示所有办公软件都有这些独立服务。
同一域名可能涉及多个接入节点，一份证书也可能用于多个入口。清单应能追到本次变更涉及的实际节点和维护方，而不是停在合同里的系统名称。记录证书覆盖的名称、有效期、到期监测负责人、申请人、部署人和业务验收人。若企业使用内部证书体系，还应明确由谁维护受管终端的信任配置。
HTTPS 服务证书用于连接时的服务器身份验证。它与 SSO 签名证书、文档数字签名证书的用途不同，不能因为办公入口已经换证，就把这些对象一并标成已更新。资产记录和变更范围需要分别确认。
在采购条款中补上“谁来安装、谁来确认”
证书供应商、基础设施团队与办公应用实施方可能是三方。建议按下面的结果分工，同一人可以承担多项，但每项都要有明确的完成证据。
| 环节 | 责任与证据 |
|---|---|
| 到期发现与申请 | 指定负责人接收提醒、发起申请，核对需要覆盖的名称；确定人员休假时的接替安排。 |
| 签发与交付 | 核对新证书的名称、有效期及所需证书链；明确由谁接收并转交受权运维人员。 |
| 部署变更 | 列明实际修改的组件、节点、变更窗口与异常处理方案，记录执行结果。 |
| 访问与业务验收 | 核对实际入口提供的证书，完成约定终端的办公任务，记录结果和未通过项。 |
若方案声称自动续期，应继续确认自动化覆盖哪几步、部署失败如何发现、谁接手，以及最近一次完整验证的证据。自动扣费、自动签发和自动部署不是同一个能力。提前多久安排变更应结合申请流程和企业窗口确定，不宜用一个统一天数替代本地计划。
换证后，检查客户端实际收到什么
把新证书文件放进目录，只能证明文件存在。验收应从员工真实访问的域名和网络路径出发，核对当前服务提供的证书是否为预期版本、名称是否匹配、有效期是否正确，以及证书链是否完整。若存在多个接入节点，由运维人员按架构逐项确认覆盖范围，不能用一次成功访问替代全部节点检查。
NGINX 官方 HTTPS 配置文档说明，服务端证书与私钥需要正确配置，私钥文件应限制访问。该文档还指出，常用浏览器可能已经缓存中间证书，因此某台电脑没有报错，不能证明服务端已发送完整证书链。这解释了为什么验收不能只看运维人员自己的浏览器。
上述 NGINX 机制仅适用于采用相应组件的环境。其他网关或负载均衡设备，应采用其官方检查方法。交接记录保留证书标识、有效期和必要结果即可，私钥不进入普通工单附件或共享文档。客户端出现证书警告时应定位原因，不能通过忽略警告或关闭校验来取得“通过”。
信任检查通过，再走完一项办公任务
证书连接成功后，还需要确认业务路径。可在授权测试环境准备一份虚构文档，由指定账号从企业实际入口登录，打开文件，写入可辨认的测试文字，保存后重新打开核对。这是建议的回归脚本，不是已经完成的产品测试。
按项目约定覆盖桌面浏览器、移动浏览器，以及确实纳入交付范围的应用内网页或客户端。分别记录网络、终端与版本、入口、验证时间和结果；若流程经过统一登录，还要检查返回原文档的路径。某个终端未测试，就保留未验证，不从桌面结果推定其可用。
这轮测试聚焦换证影响：入口信任、涉及的资源请求以及完整办公动作。它不替代权限审计，也不证明系统升级或灾备恢复已经验收。是否需要暂停编辑、如何重载配置、异常时如何恢复，应由运维人员结合具体版本和在途任务确认，不预先承诺热更新或零停机。
留下下一次仍能接手的记录
本次关闭变更前，将清单中的证书标识与有效期更新为已验证值，确认监测读取的是实际服务端点，并安排下一次负责人和接替人。保留失败入口、影响范围与复验结果；存在未解释的信任错误或办公任务失败时，先处理异常，再确认本次变更完成。
评估石墨办公套件私有部署时，可以带着企业域名清单、证书管理方式和维护窗口预约方案沟通，请交付双方确认续期责任和回归范围。本文提供的是通用交接方法，具体证书由谁申请、在哪个组件安装、支持哪些终端，应写入本项目方案。也可以先看私有化部署方案，了解部署形态与交付范围。