记录外部证书签发续期检查与公网验证结果

docs/清库部署测试记录.md

@@ -148,3 +148,23 @@
 - [✓] 浏览器刷新后普通用户会话与已有邮件保留；14:21 经页面回复站内邮件，新邮件编号 16 到达收件箱，正文可读。
 
 本段完成连接预算代码修复和站内回归，但没有关闭外域投递问题。自动续期、真实邮件客户端、通知凭据协议隔离以及此前列明的剩余验收项继续保留，不据此签收上线。
+
+### 14:32 至 15:24：外部证书签发、续期检查与公网 SMTP 复核
+
+本段继续当天验收，没有再次清库或恢复历史数据。交互式 SSH 用于 Smail 专用证书工具和服务部署；后台证书路径通过浏览器页面修改。没有调用 Smail 业务接口代替页面操作，也没有新增 Python 或辅助测试脚本。
+
+- [✓] 使用本轮输入的 DNS 凭据，14:50 完成邮件根域和泛域名证书真实签发，验证记录已清理。首次额外申请已被泛域覆盖的后台子域被签发机构拒绝；已修正模板，不再重复申请该子域。
+- [✓] 新证书覆盖 `cdis.cn` 与 `*.cdis.cn`，序列号为 `05A89FD6E573B777E6A7565A646D7C10746A`，有效期至 2026 年 12 月 31 日 05:51:31 UTC。Nginx 使用经过校验并原子发布的合并证书；Smail 使用独立证书、私钥文件。
+- [✓] 15:06 首次启动专用续期任务时，实际发现固定输出文件名与域名读取规则不一致，任务失败且未启用计时器。修复后移除固定文件名参数，发布工具、文档及回归用例统一使用邮件主域名命名。没有修改第三方模块缓存或项目依赖版本。
+- [✓] 修复提交 `9465b4f` 已推送，Linux amd64 工具编译成功。部署工具本地及云端 SHA-256 一致：`651238a8ead4474f839a79b919094cb5b9d2a62e758d9e2ba595ff18634e7b69`。
+- [✓] 15:16 手动执行续期任务成功：检测证书剩余 89 天而跳过签发，随后完成证书校验及发布、Nginx 配置检查和平滑加载。15:17 启用计时器后再次成功；下一次计划为 10 月 3 日 04:28:43。旧 `smail-tls-sync.path` 已禁用，避免两套任务混用。
+- [✓] 浏览器后台已将证书和私钥路径保存为 `/var/lib/smail-acme-tls/certificates/cdis.cn.crt`、`/var/lib/smail-acme-tls/certificates/cdis.cn.key`；服务端只读核对确认持久化。Nginx 使用 `/etc/nginx/smail/tls.pem`。文件均为 root 所有、0600 权限；旧证书文件没有擅自删除。
+- [✓] 15:22 经浏览器 CheckTLS 页面复核公网 `smtp.cdis.cn:25`，STARTTLS、TLS 1.3、证书链及主机名验证通过。页面截图中的序列号和有效期与新签发证书一致，证明 SMTP 已加载新证书，不是仅确认磁盘文件存在。
+- [!] 同一次公网检测明确显示服务器 IP 的 PTR 查询返回 NXDOMAIN，FCrDNS 失败。此项需要服务器 IP 管理方配置反向解析；不能通过添加普通域名 A 记录代替。
+- [!] 检测只执行到 MAIL FROM 后退出，未执行 RCPT TO、DATA，不能据此认定外域邮件入站投递完成，也不能证明出站可用。
+- [!] 当前证书未到续期阈值，因此本段通过的是检查与发布流程，不是到期自动续期。HTTPS、其他邮件协议的新证书及真实续期仍需独立验收。
+- [x] 已更新 Go 回归用例，但本段未运行自动测试，不能标为测试通过。
+
+15:21 至 15:23 检查 Smail、Nginx 仍正常运行，Smail 主进程保持 1930122、自动重启次数为零。浏览器重新登录超级管理员后，原有收件列表正常显示。没有重启 Smail 主程序或其他项目；Nginx 仅执行配置检查和平滑加载。
+
+外部检测页曾出现截图超时，关闭该检测页并重新打开后完成上述检测，未因此重启业务服务。附件上传仍只有此前工具路径权限拒绝的证据，不能归因于 Smail 上传功能失败。外域出站、真实客户端、通知凭据隔离和其余安全验收继续保持未关闭状态。