Thunderbird 不更新证书，继续使用旧证书并说它已过期

Question

我有一个电子邮件服务器，其中有 Let's Encrypt SSL 证书，每 3 个月到期，并且 certbot 会自动更新它。如果我通过浏览器中的网站访问服务器，则会使用正确且最新的 SSL 证书，但 Thunderbird 抱怨 SSL 证书无效，因为它已过期。

投诉是通过一个对话框窗口显示的，如果我单击通过此窗口查看证书，它会显示一个确实已过期的旧证书。但是，如果我单击“获取证书”按钮，该按钮本身会变灰，但不会发生任何其他情况。我尝试右键单击 Thunderbird 中的电子邮件地址（帐户）名称，然后转到“设置”->“安全”并删除该域的所有证书，但不知何故它仍然存储了旧的存储证书。

我的设置是 dovecot + postfix。

有任何想法吗？

Answer 1

Thunderbird 不使用与浏览器相同的服务器访问邮件。浏览器使用 HTTP/HTTPS 访问 Web 服务器，而 Thunderbird 使用 IMAP/IMAP 或 POP3/POP3s 协议访问邮件服务器以接收邮件，并使用 SMTP 协议发送邮件。这些是具有单独配置的单独服务器，这意味着首先需要将它们配置为使用适当的证书，并且在更新证书时还必须重新启动它们。

虽然不可能说出您的具体设置包括什么（编辑：编辑问题后，很明显这是我所描述的设置），但常见的设置是使用dovecot接收邮件并使用postfix发送邮件。因此，您可能会尝试查看（未知）系统上的这些软件和配置，并确保每当证书更改时这些软件和配置都会得到更新并重新启动。

Answer 2

Dovecot 可能需要重新加载。我的 Postfix+Dovecot+certbot 正是遇到这种情况。Certbot 显示证书已更新，但服务器仍然使用过期的证书。我通过使用 openssl (Ubuntu) 测试看到了这一点：

openssl s_client -connect mydomain.com:993 -quiet
depth=2 O = Digital Signature Trust Co., CN = DST Root CA X3
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
verify return:1
depth=0 CN = mydomain.com
verify error:num=10:certificate has expired
notAfter=Dec  5 15:42:11 2020 GMT
verify return:1
depth=0 CN = mydomain.com
notAfter=Dec  5 15:42:11 2020 GMT
verify return:1
* OK [CAPABILITY IMAP4rev1 LITERAL+ SASL-IR LOGIN-REFERRALS ID ENABLE IDLE  AUTH=CRAM-MD5 AUTH=LOGIN AUTH=PLAIN] Dovecot (Ubuntu) ready.
^C

重新加载鸽舍：

sudo service dovecot reload

就我而言，这足以解决这个问题。不过，仍然值得检查服务器是否请求重新启动：

ls -l /var/run/reboot-required