使用 SNI，检视公共证书，并在续期变成事故之前告警。
阅读边缘实际呈现的链，而不是只看叶，再信任这次发布。
一个根、一个 file_server、一份小的响应头策略，让静态部署易于检视。
选择一个小的恢复单元，验证它，并在某个可丢弃的地方练习恢复。
预置完整制品可以避免逐文件覆盖，但两次改名之间活动路径会短暂缺失，旧页面仍需兼容的资源。
