后量子密码平台的主动式健康检查：从一次实时体检到可观测性闭环

一、为什么 PQC 平台不能只靠用户报告

后量子密码（PQC）平台的可用性，直接影响依赖它的业务能否完成密钥交换。平台一旦不可达，用户侧最先感知，运维侧最后知道。这个信息不对称，在 PQC 迁移窗口里代价更高。

NIST 的 PQC 迁移基线为 2035 年。OMB M-23-02 把美国联邦民事机构关键系统的迁移截止提前到 2030 年。Google、Cloudflare 把内部就绪截止提前到 2029 年。TLS 证书最长有效期从 398 天收紧到 200 天，2026 年起逐步生效。

行业在加速，平台的「发布→上线」链条不能断。断一次，迁移进度就回退一段。健康检查的价值，是把「用户报告故障」变成「系统主动告警」。

二、四个面：一次实时体检的全记录

下面所有数值来自 2026-10-04 的实时探测（curl 响应头、openssl 证书、gh api），无二手描述。

官网前端（nginx :443）：fibemate.net 返回 HTTP 200，响应约 0.3 秒。安全头齐全：Strict-Transport-Security、Content-Security-Policy、X-Frame-Options: DENY 均在响应中。X-App-Version 回显 v3.3.0 (a2552cd7)。

SSL 证书：Let's Encrypt 签发。notBefore 2026-07-18，notAfter 2026-10-16。以 2026-10-04 计，距到期剩 12 天。Let's Encrypt 默认 90 天周期。若 certbot renew 定时任务失效，HTTPS 会在 10-16 后静默中断，且最早靠用户反馈才发现。

生产站版本：线上回显 v3.3.0 / a2552cd7。该提交时间为 2026-08-11。main 当前 HEAD 为 6d8fa1b（2026-10-04，#213）。最新发布 v3.3.1（tag，2026-09-25）。线上构建 a2552cd7 落后最新 tag v3.3.1 约 45 天，落后 main HEAD 约 54 天。

GitHub 主仓库 CI：18 个 workflow 全部 active。2026-10-04 多次实测：早间 CI 与 Native Addon Build 曾红灯，后续运行已转绿；截至 06:21 UTC 末次探测，main 无红灯。OSV-Scan 此前因 checkout bug 失败，Dependabot 将 actions/checkout 升至 7.0.1 后恢复。

三、版本滞后不是疏忽，是结构性缺口

线上构建 a2552cd7 提交于 2026-08-11，仍停留在 v3.3.0。最新发布 v3.3.1 于 2026-09-25 发布。其间发布的修复，线上一份都没拿到。

这不是一次性疏忽。主仓 18 个 workflow，无一将构建产物部署到 fibemate.net。release.yml 只产出 GitHub Release 产物，不含服务器推送。每发一版，都靠人工记得去重部署。

结构性缺口的特征：它不靠 CI 报错来暴露。即使 CI 通过，生产仍可能停在旧版。部署是独立于 CI 的人工步骤，必须主动比对线上版本与 main HEAD 才能发现。

四、可观测性黑洞：:8443 后端

nginx 正确将 /api、/docs 301 到 fibemate.net:8443。这说明后端 API 服务预期存在，且由 nginx 反代。

但外部无法探活 8443：非标端口在多数网络环境被拦截，本环境直连超时。因此 8443 后端是否存活，外部无法验证。

更大的问题在于：没有任何外部可探活的健康端点或告警。服务挂了，只能靠用户报告。不可观测，就无法主动发现。

五、CI 红灯的真相：该修的与已修的

2026-10-04 实测，红灯与可疑项分布如下：

主仓：截至当日 06:21 UTC 无红灯。早间的 CI、Native Addon Build 红灯后续运行已清除。

fibemate-tools：xdiff-ci 的 run 结论虽标 failure，但 jobs 为空，属路径过滤导致的预期跳过（No jobs were run），非代码或环境故障。

fibemate-react-native：Mobile CI、version-family-consistency 失败（2026-09-30），未排查根因。

修一个红灯，先确认它是真实故障还是预期跳过或工具链问题，否则会误判风险。

六、把体检变成闭环：自动化设计

单次体检的价值有限，闭环才产生持续收益。四个可落地的自动化：

1. SSL 续期监控：定时执行 certbot renew --dry-run，并在到期前 14 天发告警。证书过期是确定性事件，应当零手动。
2. 自动化部署：新增 deploy workflow（构建 → scp/rsync → pm2 reload），让线上自动追上 main。 注：生产 www/ 有 chattr +i 文件级锁，pipeline 需先解锁、部署后重锁。
3. 后端探活告警：给 :8443 加外部健康探测与告警，把不可观测变为可观测。
4. CI 门禁看护：OSV-Scan 等安全扫描失败即阻断合并，避免再次静默失效。门禁需配白名单豁免规则，否则噪声会淹没真实告警。

七、边界声明

许可：本文（文档）按 GPL-3.0 发布；所涉 Lennonhaha/fibemate 主仓为 GPL-3.0，fibemate-tools 为 Apache-2.0。三者不同，勿混。

本文硬数字来自 2026-10-04 实时探测与 gh api，非源仓库静态文件；探测值未落盘为可索引 artifact，verifact 对此类数值判 unbound 属预期，不表示文章有误。

本文为快照，数据截至 2026-10-04。其中 SSL 证书 notAfter 为 2026-10-16，是全文时效性最短的一项；下次复核建议不晚于该日期。

:8443 后端存活状态受网络限制未能验证，上文已如实标注局限性；其余数据均为实时实测。

fibemate 主仓 README 自述为工程演示平台，非认证产品。OpenSSF 徽章只认证仓库卫生，不认证密码学正确性。

第三方安全审计尚未开展。正确性目前仅靠项目内部自测（TLA+ / KAT / TVLA）与 CI 门禁支撑。

八、可复用的检查清单

官网与前端路由：HTTP 状态码、响应耗时、安全头三项必查。

SSL：签发者、notBefore、notAfter、剩余天数四项必查。

生产版本：线上构建哈希与 main HEAD、最新 tag 比对，滞后即告警。

CI：区分真实失败与工具链失败，分别处理。

后端：确认存在外部可探活的健康端点，否则补告警。

证书与部署：两件事必须自动化，不能依赖人工记忆。

九、下一次核验

本文是 2026-10-04 的快照，不是持续状态。按以下节奏复核：

• SSL 到期前（2026-10-16）：复查证书续期是否自动完成。这是本文时效性最短的一项。
• 下一轮完整体检：2026-11-04（一个月后）。届时 main HEAD、生产构建哈希与 CI 状态均会变化，需重新实测而非引用本文数字。

主动观测的价值在于闭环：有到期日的项（SSL）应在到期前复查；无到期日的项（main HEAD、生产构建哈希、CI 状态、后端探活）按固定节奏（11-04）重测，而不是等用户报告故障。