Operations and Troubleshooting

运维、证书与排障

日常检查使用 foc status，诊断使用 foc diagnose / foc logs。 多个已登记部署需 --directory 明确选择；foc version 是工具版本，不是业务版本。

观察	含义
business_read=unverified、退出码 3	只读状态没读取真实媒体；不代表播放失败
certificate=blocked、退出码 2	证书检查有阻断项，查看具体分类和时间
容器 Running	只证明进程运行，不证明 HTTPS、证书一致或业务读取正常
升级准备后失败	保留任务、恢复材料和维护边界；不要手动删锁或开放

certificate-agent 的职责

它运行 Web 镜像里的 Go 自动证书控制器，只负责签发、续期、持久账户和发布完整证书对。 不是项目更新器，不管理 Docker，不需要 systemctl。上限 0.05 CPU / 128 MiB。 业务由 Nginx 提供 HTTPS；存储由 Go 提供 HTTPS。Relay 空闲时不占 80/443， 但证书校验会临时占用 80，临时预发布必须让出端口。

Admin 的“已生效、握手已验证、线上证书一致、控制器运行中、最近错误无”表示该次观察正常。 foc 与 GUI 的观察时间可能不同。DNS、连接、超时、TLS 验证失败和成功握手后的指纹不一致 是不同错误；探测未完成不能当作证书已经不一致。旧证书有效也不等于新证书部署成功。

Admin 可查看并审计下载证书/密钥，不提供上传、路径选择、手动续期或关闭自动续期。 Storage 的密钥导出加密到浏览器，Master 只转发密文。下载物按私钥保护。

详见证书契约和 foc 诊断细节。