记录辅助程序升级及管理证书双层不一致阻塞

doc/Linux生产流程测试记录.md

@@ -1,5 +1,15 @@
 # Linux 生产流程测试记录
 
+## 2026年10月2日14:52 独立辅助程序与管理续期安全预检
+
+- [x] 第二台独立辅助程序于 14:26:38 完成原子替换，核心服务和 socket 恢复 active。当前程序 SHA256 为 651caa143f7ffcb6411ad9231e7e3418c43a65088ee11fa5a10173961c33e88e，与正式候选一致；unit 模板一致，未改 unit。旧程序仅下载到本机，远端未新增备份。
+- [x] 升级前后策略 SHA256 为 5b701811a3d6c0759f5f4e6cd440a7c3b1ab127640ed6f5606767a9786755876，历史事务为 36ea481ae6e9cc1bfd0da5450a2d604c9ea46a759a05ae62f7b58a873ccdd76f，引用为 8b58e905141176791ad155e366495213c5a08da0ba440801313486174f334cfc。升级没有重建状态或证书目录。
+- [!] 14:45 至 14:47 使用带主机名验证的 OpenSSL 分别核查回环代理与上游：代理叶指纹为 1D5A7F2C2E6D229DF56F87CFE18DD37C1E4C9638C8B56F99AB50022872D526A0，到期 2026-12-24 15:56:36 UTC；上游为 1C033D1628968235132D9D6E5B0AAEC1C9411C5C884554950A83AA7B3759B8CC，到期 2026-12-28 19:43:37 UTC。二者不一致，不认定协调就绪。
+- [x] 14:48 经正式 Web 系统设置保存续期阈值八十八天、临近阈值九十天，策略更新自动触发调度。管理任务 f11c8768-b280-4f7e-ace2-26a132af038a 终态 failed、阶段 preflight；审计保留 running 与 failed。辅助程序实际由 socket 启动，主进程 38462；核心日志记录本地激活操作未完成。未重复发起签发或使用自制协议脚本。
+- [x] 已通过同一 Web 表单恢复阈值六天、十天，14:50 只读核查持久化配置一致。原证书签发任务计数不变，管理任务只有上述一条；策略、旧辅助事务及引用摘要不变，未产生应用协调记录。此为签发前拒绝的负向证据，不是正常轮换成功。
+- [x] 普通域名首页和 readyz 继续返回 200 且 TLS 校验为零，Nginx 配置检查通过；双机 Scert 均仅监听回环 8443，未新增公网端口。
+- [~] 本轮为保留数据的升级及负向复核，没有清业务库，不代替三数据库首次流程。接线一致性、正常双层提交、故障恢复与整体生产门禁仍待完成。
+
 ## 2026年10月2日14:20 候选正式构建与双机核心升级
 
 ### 构建与候选检查

doc/Scert整改任务执行清单.md

@@ -1,5 +1,16 @@
 # Scert 整改任务执行清单
 
+## 2026年10月2日14:52 管理证书协调实机检查
+
+需求确认：公网只走 Nginx 80/443；双层证书不一致时必须在签发前拒绝，不清库、删锁或改写历史事务制造通过。本轮为保留数据的升级复核，不替代首次初始化验收。
+
+- [x] 第二台独立 Nginx 辅助程序已于 14:26 升级到 7ba4046 对应正式候选；程序摘要已复核，策略、历史事务及引用摘要保持不变。此项更新下方 14:20 的旧版本待办。
+- [x] 通过正式系统设置将续期阈值临时调整为八十八天、临近阈值九十天，策略更新自动唤醒调度；未重复点击立即续期。真实管理任务在 preflight 阶段失败，辅助服务被 socket 实际启动，未进入签发阶段。
+- [x] 通过相同页面恢复原阈值六天、十天，现场持久化配置已确认；业务域名仍关闭自动续期，旧辅助事务与引用摘要未变化。
+- [!] 第二台代理实际证书到期时间为 2026-12-24，上游实际证书到期时间为 2026-12-28，叶证书指纹不同。首页及 readyz 的严格 HTTPS 成功不能替代双层身份一致性。
+- [~] 下一步：按 root 维护边界核查历史终态与证书来源，安全修复现有接线基线，再走产品续期协调；不得关闭证书校验或篡改旧记录。
+- [~] P0-10、三数据库首次 Web 流程、系统通知、备份恢复及整体生产验收继续未通过。
+
 ## 2026年10月2日14:20 候选构建与双机升级
 
 - [x] T2-F 构建：7ba4046 干净检出正式构建 Linux amd64 包，source_dirty=false，发布路径与包内摘要检查通过，全量 Go 模块校验通过。

doc/Scert整改合并优化清单.md

@@ -1,5 +1,12 @@
 # Scert 整改、合并与优化清单
 
+## 2026年10月2日14:52 最新进度入口
+
+- [x] 第二台独立 root Nginx 辅助程序已升级为 7ba4046 对应候选；旧策略、事务与引用保留，14:20 的旧版本待办不再代表当前状态。
+- [x] 正式 Web 设置触发一次真实管理续期，任务在 preflight 阶段拒绝，未进入签发；临时续期阈值已通过页面恢复，辅助事务和引用摘要未变。
+- [!] 新确认阻塞：代理与上游各自为有效证书，但实际叶证书不同，管理证书双层协调不能放行。严格 HTTPS 200 仅证明访问链路可用。
+- [~] 继续核验并修复 root 管理的接线基线，随后复测产品协调。不得伪造协调记录、删除旧事务或关闭 TLS 校验；整体生产验收未通过。
+
 ## 2026年10月2日14:20 候选部署进度
 
 - [x] 7ba4046 干净源码正式构建完成，发布清单 source_dirty=false，路径检查、归档及包内摘要通过；全量 Go 模块校验通过。