Renovação

• Inicie com 30 dias de antecedência.
• Você pode reutilizar o CSR, mas recomenda-se gerar nova chave periodicamente (rotação).

Reemissão

• Necessária quando altera SAN, perde a chave, ou precisa mudar o tipo de criptografia.
• Normalmente não altera a data de expiração original.

Rotação de chaves

• Gere uma nova KEY + CSR e faça a reemissão.
• Instale o novo CRT fora do horário de pico e valide.

Estratégia sem downtime

1. Instale o novo certificado em ambiente paralelo (ou outro nó do balanceador).
2. Valide via snipe por host de teste (DNS temporário) ou IP com -servername no OpenSSL.
3. Após OK, faça o cutover e monitore.

Operacional via SAC

Abra ticket no SAC informando o domínio, se é renovação ou reemissão, e anexando o CSR (quando aplicável).