推送证书是所有苹果管理指令的唤醒通道，有效期一年。它过期后服务端仍能把指令入队，设备却收不到唤醒，表现是后台一切正常、设备毫无反应。续期必须用原 Apple 账号、在原证书上续。
这类故障最难受的地方不在技术，而在它不报警：后台每一行都写着「已下发」，只有设备那边一片安静。
推送证书在指令通道里承担什么角色
苹果的指令不是从服务端直连到手机的。服务端要先向 APNs 发一条推送，设备被这条推送叫醒之后才回连服务端取任务，执行完再回执。所以这张证书不是加密开关，而是敲门权限——它决定苹果的推送网络认不认你这个服务端。
证书里最关键的信息是 topic，也就是那串 UID。设备在纳管时把这条管理关系的标识记在本地，之后只认同一个 topic 发来的唤醒。这就是「续期」和「新建」在技术上根本不是一回事的原因：续期沿用原 topic，设备照旧认；新建拿到新 topic，设备不认。
苹果官方帮助文档写得很直白：APNs 证书过期后，客户端在服务端装上新证书之前，收不到来自管理服务的更新。微软的 Intune 文档补了两个数字：有效期 365 天，到期后还有 30 天宽限期。
过期之后：哪些先坏，哪些还活着
过期不是「少一个功能」，而是「指令再也送不到」。要分清两类东西：已经装到设备上的限制由设备本地执行，不会因为证书过期而自己消失；但新指令、新策略、新纳管、结清后的退出动作，全部走不动。
表 1 · 证书过期后各能力的实际状态
| 能力 | 证书正常时 | 证书过期之后 |
|---|---|---|
| 已下发的限制与描述文件 | 由设备本地执行 | 继续生效，不会自动撤销 |
| 新指令、改策略、装应用 | 推送唤醒后即到达 | 入队，但送不到设备 |
| 新设备注册与纳管 | 正常 | 失败 |
| 状态与合规上报 | 按策略回传 | 停更，时间戳冻结 |
| 结清后的退出管理 | 可下发并取回执 | 送不到，回执永远等不到 |
更麻烦的是它在后台看起来往往还正常。多数服务端在推送被拒时只在日志里留一行，界面上指令依旧显示「已下发」，队列里的任务还在等。这类故障不会自己报警，只能靠到期日这一条线索提前发现。具体状态以各自服务端的日志与字段为准。
四个时间节点：到期不是某一天的瞬间动作
把到期当成一个日期，就会错过整个窗口。实际要盯的是四个节点。
表 2 · 四个时间节点与漏掉的代价
| 节点 | 该做什么 | 漏掉会怎样 |
|---|---|---|
| 到期前 45 天 | 清点账号持有人、证书 UID、到期日、各令牌到期日 | 续期时找不到登录账号 |
| 到期前 30 天 | 启动续期并上传新证书 | 只剩宽限期可用 |
| 到期前 7 天 | 下发一条查询类指令做冒烟验证 | 不知道通道到底通不通 |
| 到期后 30 天内 | 仍可在原证书上续期 | 拿到新证书，topic 改变 |
| 超过宽限期 | 只能新建证书并重新纳管 | 存量设备全部要重来 |
宽限期这一栏要单独解释：它不是「还能正常用一个月」，而是「还能用原证书续期一个月」。超出宽限期再续，平台会签发一张全新证书，topic 随之改变，存量设备必须重新纳管。把宽限期当缓冲，就是把这一个月当成可以浪费的时间。
提醒也别全指望邮件。平台会在到期前 30 天、10 天、1 天向申请证书的 Apple 账号邮箱各发一次提醒，但邮件会进垃圾箱，那个邮箱也可能早就没人看了。真正靠得住的是自己台账里那行到期日。
续期怎么续，才算「续」而不是「换」
表 3 · 三个动作的后果差异
| 动作 | topic 是否变 | 设备要不要重新纳管 | 什么时候用 |
|---|---|---|---|
| 在原证书上续期 | 不变 | 不需要 | 常规年度续期 |
| 新建一张证书 | 改变 | 需要，全量 | 原账号无法找回时 |
| 撤销原证书 | 关系立即中断 | 需要，全量 | 一般不要用 |
三行里最容易被顺手点错的是「撤销」。撤销是立即生效的，设备与推送网络之间的信任关系当场中断，而且找不回来，只能新建证书再把设备重新纳管一遍。
标准续期六步：
- 在管理服务后台生成新的证书请求文件（CSR），不要删旧证书。
- 用创建原证书的那个 Apple 账号登录推送证书门户；换账号登录会看不到原证书。
- 在列表里找到对应那张证书，核对到期日与 UID，选「续期」而不是「新建」。
- 上传 CSR，下载返回的证书文件。
- 把新证书上传回管理服务，确认到期日变成一年后、状态正常。
- 下发一条查询类指令做冒烟，收到回执才算通。
第 6 步经常被跳过。只看后台显示「已上传」不算验证，因为唤醒通道有没有通，只有设备回执能证明。多张证书并存时，用设备侧「设置 > 通用 > VPN与设备管理 > 管理描述文件 > 更多细节」里的 Topic GUID 去比对，比凭记忆选更可靠。
还有一条常被忽略：证书与创建它的账号绑定。所以那个账号本身要当资产管理——用公司邮箱或受管账号，别挂在某个人名下，否则人一走，续期就变成了「新建加重装」。
三个误解：证书、令牌、描述文件不是一回事
其一，把推送证书和设备上的管理描述文件混为一谈。描述文件是否可移除、是否带到期日，是描述文件自己的属性；证书过期不会让已装的描述文件失效，描述文件写得再严也延长不了证书。
其二，把 Apple 商务里的服务令牌和推送证书当成同一件事。官方文档写明，外部服务令牌有效期一年、到期需要更换，过期后改纳管设置会失败。ADE 令牌、应用采购令牌、推送证书、服务器 TLS 证书，是四条各自独立到期的信任线，要分别记日期。只盯其中一条，另外三条照样会在某天同时咬人。
其三，以为过期等于数据丢了。已执行的指令、已上报的状态都在库里，恢复推送后指令可以补投。但补投只能说明「现在怎样」，说明不了「这一个月里发生过什么」——这段空白只能靠重新采集或人工核实来填。
续期窗口内，哪三件事不能做
窗口期的本质是「能发不能达」：系统接受指令，设备收不到。所以这三件事会直接制造坏账：批量改策略（改了看不到生效）、批量擦除（回执回不来，你不知道设备到底擦没擦）、窗口内做结清退出（退出指令送不到，订单永远卡在已下发）。
表 4 · 窗口期内的动作红黑榜
| 不要做 | 改成这样做 |
|---|---|
| 批量改策略、批量装应用 | 冻结待下发队列，恢复后按时间戳顺序补发 |
| 批量擦除设备 | 改人工核实，确认设备是否真被擦除 |
| 窗口内做结清退出 | 人工登记回执，订单进待处理而不是已完成 |
| 把宽限期当缓冲期 | 当成最后期限，排进值班表 |
配套五条自查：证书到期日是否进了台账与值班表；创建证书的账号是否多人可接管；ADE 与应用采购令牌的到期日是否同表登记；待下发队列是否带时间戳；窗口内到期的订单是否有「人工登记回执」这条兜底路径。
绘盒（厦门绘盒网络科技）做租赁商家的设备管理与经营系统，品牌是绘盒金盾 MDM。9 条产品线覆盖金盾 MDM、荣耀 MDM、小米 MDM（小米官方授权）、风控、支付宝代扣、抖音融合交易、账单分析、CRM 与海外租赁，全部支持独立部署（也就是常说的私有化部署），证书到期日、推送日志与回执都留在客户自己的库里，到期这件事才有人盯得住。已服务 500+ 家租赁企业（数据口径：取自后台实际运行统计，按季度更新）。指令侧的四态判别见 指令不生效怎么排查，批量失联的分诊见 设备显示离线怎么排查，纳管原理见 苹果 MDM 监管锁原理。
推送证书的有效期、宽限期口径与门户界面均由平台方定义且可能随版本调整，正式操作请以 Apple 支持文档、Apple 商务当前界面以及你所使用管理服务的官方说明为准。
常见问题
不会。已经装到设备上的描述文件与限制由设备本地执行，证书过期影响的是「服务端还能不能叫醒设备」，不是「设备本地还认不认这些限制」。所以典型表现是：限制照旧生效，但你想改、想撤、想查，全都发不下去。真正的麻烦在结清环节——退出指令送不到设备，回执永远等不到，订单就会一直卡在「已下发」。这类订单在流程上应进「待处理」，不能凭后台状态判已完成。
看是否还在宽限期内。按微软 Intune 文档的口径，证书到期后有 30 天宽限期，宽限期内仍可用原证书续期，设备不需要重新纳管。一旦超出宽限期再续，平台会签发一张全新证书，topic 变了，存量设备就必须全部注销后重新纳管。所以「过期了」和「过期很久了」是两种完全不同的处置，前者是行政动作，后者是项目动作。
不行。证书与创建它的那个 Apple 账号绑定，换账号登录门户根本看不到原证书，只能新建。而新建会改变 topic，等于把所有存量设备推回重新纳管。这也是为什么账号本身要按资产管理：用公司邮箱或受管账号，保证不止一个人能登录。如果原账号确实找不回来，就走「新建证书 + 计划性重新纳管」，没有省掉这一步的捷径。
两个办法对照着看。门户侧看到期日与 UID，续期后到期日应该顺延一年、UID 不变；设备侧进「设置 > 通用 > VPN与设备管理 > 管理描述文件 > 更多细节」，第二行 Topic 里的 GUID 就是那张证书的标识，拿去和门户里的证书对。多张证书并存时这条最有用——凭「厂商名字」选很容易选错，选错的代价是全量重新纳管。
不是，而且是两条独立的信任线。推送证书管「能不能叫醒设备」，而 Apple 商务里下载的设备管理服务令牌有效期同样是一年，过期后改纳管设置会失败；应用采购令牌又是另一条，过期后分配与撤回应用会失败。再加上管理服务自己的服务器 TLS 证书，一共四条日期要记。建议做一张表统一登记：名称、持有人、到期日、续期入口。
不需要停机，但别把续期日安排成业务动作日。续期本身是上传证书的动作，期间入队的指令在通道恢复后可以补投，不会凭空消失。真正会丢的是「时序」——你不知道补投时设备处于什么状态。所以稳妥做法是：续期窗口内冻结批量改策略、批量擦除与结清退出，恢复后按时间戳顺序补发。
机制不同，但同样有证书到期这回事。安卓侧走的是厂商通道与授权证书体系，比如荣耀的管理能力要靠开发证书、临时商用证书与商用证书逐级申请，到期影响的是接口调用权限，不是推送唤醒。所以安卓侧的风险点更像「权限到期后某些能力失效」，而不是「整批设备静默」。两侧要分开建台账，别用一张表套两套机制。
本文引证清单（3 组 · 可展开核对）
本页只引平台官方文档与本方运行口径，未引法条、国标与司法判例，故不适用对应标注规则；证书有效期、宽限期与门户界面可能随版本调整，以官方当前说明为准。
苹果侧（Apple 官方文档）
- 《Maintain tokens and certificates》—— 令牌与证书通常按年续期；APNs 证书与 TLS 证书过期后客户端收不到更新；ADE 令牌过期无法更改纳管设置（核对日 2026-10-23）
- 《在 Apple 商务中关联至外部设备管理服务》—— 外部服务令牌有效期 1 年、届时需要更换；改密码或人员离职也需替换令牌（核对日 2026-10-23）
管理服务侧（Microsoft 官方文档与支持说明）
- 《Get an Apple MDM Push certificate for Intune》—— 365 天有效期、30 天宽限期、必须用原 Apple 账号续期、用设备侧 Topic GUID 与门户证书对应（核对日 2026-10-23）
- 《Intune and the APNs certificate: FAQ and common issues》—— 过期后新设备注册失败、超宽限期续期会拿到全新证书并要求全部重新纳管、到期前 30/10/1 天邮件提醒（核对日 2026-10-23）
机制层与本方运行口径（非外部依据，供核对用）
- 指令链路与 topic 机制 —— 取自 Apple 管理协议的公开描述与行业通行实践（核对日 2026-10-23）
- 窗口期三条禁令与五条自查 —— 本方运营建议，非平台规范，可按自身合同与风控尺度调整（核对日 2026-10-23）
本页不给「一定不会出事」的承诺，也不代替你的续期操作；具体窗口与界面以你所使用管理服务的官方说明为准。