记录生产服务证书复核与网页管理员登录阻塞

docs/证书托管续期策略验收.md

@@ -53,3 +53,14 @@
 2026-09-18 已停止并移除外部 `smail-certificate-renew` 服务与定时器、独立 Python 续期程序和 lego 工具。原数据与清理证据位于受保护目录 `/var/backups/smail-cleanup-20260918-bwQalZ`。这部分是此前清理结果，不代表本次真实 CA 续期验收。
 
 仓库旧续期文档中的脚本与 timer 描述属于历史过程，不再是当前部署要求。当前手动证书保持不自动续期；尚未以真实 CA 完成项目自托管的生产续期，不将策略测试等同于真实换证成功。
+
+## 2026-09-18 15:56 起生产状态复核
+
+- [✓] 使用当前授权的 SSH 连接检查 47 主机，Smail、Nginx 均为 active。Smail 自 15:24:03 启动，PID 605706，自动重启次数为 0，控制组 OOM 与 OOM kill 均为 0。
+- [✓] 线上主程序 SHA-256 仍为 `56d426732dbf3596ad943ac6ed65b5b504101b05f82855d0e89368ce01bfeee8`。本轮打包流程变更未部署到服务器，不能把本地包视为线上版本。
+- [✓] 从服务器经正式域名和本机地址检查 HTTPS 首页，返回 200；443、465、993、995 均通过主机名及系统信任链验证，TLS 1.3。外部续期 timer 文件不存在，systemd 定时器列表未发现 Smail 或 Certbot 续期任务。
+- [✓] MCP 浏览器打开正式站点，显示中文登录表单；当前没有已登录的管理员会话。该页面证据不代表登录后业务验收。
+- [!] `/public-password-recovery`、`/rest/` 仍返回 404。直接访问内部 HTTPS 8002 的恢复入口返回 302，目标为 `https://mail.solit.cn:8002/rest/`。只读取必要配置字段确认代次 2，HTTP 8001、HTTPS 8002、`tlsMode=direct`，未设置 `publicHttpsPort`。
+- [!] 继续通过正式配置界面设置公网 HTTPS 端口 443，需要有效的 Smail 网页管理员登录；本轮未重置管理员、编辑配置或数据库，未发送恢复邮件。SSH 用户名与密码不能推定为网页邮箱凭据。
+
+本机 curl 的 Schannel 握手失败，但服务器端可信 TLS 验证与浏览器页面访问成功，因此没有将本机 curl 的失败归因于线上证书故障。生产业务测试仍未完成，真实 CA 自动续期、登录后的证书模式切换、恢复与撤销闭环继续待验收。本轮仅只读复核，没有清库、上传测试工具或添加运行脚本。