证书事件关联
有效期变化与主机变化不能混为一件事
分别维护证书时间线和域名时间线。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
证书有效期变化、证书内容变化和主机变化常在相近时间出现，但它们不是同一件事。有效期从一个区间换到另一区间，可能伴随新指纹；主机标签变化则属于地址对象的变更。若把这些现象压成一句域名更新，后来者既无法判断哪项证据发生变化，也容易把证书轮换误写成页面身份延续。台账因此采用两条独立轴线，再用实验号标记共现。
分离并不意味着忽略联系。编辑仍可记录某次主机观察同时看到了哪个证书，也可注明两个事件发生时间接近；但只有字段证据能决定各自状态。缺少旧证书截图时，有效期前值为UNKNOWN；缺少完整地址时，主机变化不能成立。本文通过组合矩阵、反例和展示规则说明如何避免混写。实际审阅还要追问每个变化词的主语：延长的是证书期限，改变的是地址标签，更新的是编辑记录，三种句子不能省略主语后放进同一摘要。若页面只给一个更新时间，却没有说明对应字段，台账把该日期当页面自述，不分配给任何事件轴。关联备注也不得代替两边原始事件。
先画出证书轴与主机轴
主机轴记录原始字符串、规范化值、首次观察、后续复现和变更关系。证书轴记录指纹引用、SAN摘要、签发文字、起止日期、浏览器提示和采集时刻。每条轴线都有自己的事件号与撤回链。共同实验只通过关系表连接，不允许把证书起止日期写入域名生命周期字段，也不允许把主机首次观察当作证书生效日。
两轴的最小时间粒度也可能不同。域名在一次地址读取中即可形成观察，证书资料则需要打开连接面板并确认页面未跳转。若第二步失败，主机轴仍可保留已取得的只读记录，证书轴填未测试；反过来，历史证书材料缺少完整主机时可以独立归档，却不能生成域名事件。
- 两条轴线拥有独立事件号
- 时间字段不跨轴复制
- 共同实验只建立关系
- 单轴材料可以独立待核
四种组合分别解释
组合一是主机不变、证书指纹或日期改变，此时追加证书事件，域名只增加一次复现观察。组合二是主机改变、证书摘要看似相同，创建新域名事件并分别关联证书材料，不能因为证书相似就合并主机。组合三是两者同时变化，两边各建记录并用实验号连接。组合四是都未变化，只追加观察行，不制造变更。
组合判断要求前后样本可配对：同一规范化方法、可比环境和清楚时间。旧样本没有指纹引用时，不能断言证书改变；新样本主机被裁切时，也不能断言地址保持不变。无法形成配对的字段写UNKNOWN，仍可描述这轮看见的原值，但不进入变化统计。
- 四种组合分开建模
- 相似证书不合并不同主机
- 变化需要可配对前后样本
- 不可比字段不进入统计
有效期延长不是主机生命周期
证书起止日期描述证书自身的时间范围。看到新的失效日，只能说本轮证书材料与旧记录不同，不能把域名末次活跃时间延伸到该日期，更不能推定页面会持续可达。域名的末次复核必须来自实际地址观察。即使证书未来仍在有效区间，浏览器连接、路由和页面内容也可能独立变化。
设备时钟异常会干扰有效期判断，因此记录中同时保存观察时间和校时状态。日期文本存在但无法确认时区时，原值照录，标准化日期为UNKNOWN。编辑不通过当前日期倒推证书何时更换，也不把签发时间近似为主机变更时间；需要确切顺序时，只接受带来源的事件记录。
- 证书日期不延伸域名状态
- 末次活跃来自实际观察
- 设备时钟状态被记录
- 签发时间不替代变更时刻
共现记录不写成因果
当主机变化与证书变化出现在同一实验，可以写两项在R六观察中共现。不能写因主机迁移所以更换证书，除非另有明确且可引用的公开材料；即使存在说明，也要限制在资料原意。页面视觉同时改变属于第三条观察线，继续分开。多条变化并排呈现比一个概括句更长，却能避免错误因果。
若时间只精确到同一天，共现范围就只能写同日，不能排序到分钟。来源间出现冲突时保留各自值和采集时刻，不采用多数票。编辑可以提出待复核问题，例如哪一项先出现，但问题本身不能作为摘要结论，也不能触发自动合并。
- 共现语言不包含因果
- 时间精度决定表述精度
- 冲突值并列保留
- 待核问题不进入结论
组合演练展示正确拆分
合成样例甲：事件E二在两次观察中主机完全一致，证书从C一变为C二。台账在证书轴写更换候选，在域名轴只追加第二次复现。样例乙：E三主机多出一个标签，证书指纹引用与C二相同；系统新建E三，不把它塞入E二。编号只检验关系，不代表当前域名或真实证书。
样例丙缺少旧截图，只知道新证书日期。证书变化状态应是UNKNOWN，因为没有可比较前值；主机若有两轮完整证据，仍可单独判断是否变化。样例丁遇到证书告警并停止，证书结果记录提示类型，主机地址只保存已见文本。退出动作不会自动把两条轴标成撤回。
- 样例只用于模型测试
- 无旧值不声称更换
- 一条轴可独立得出观察
- 停止事件不自动撤回历史
展示层避免把关系压成单一徽章
事件页面分别显示主机状态栏和证书观察栏，中间关系以时间与实验号连接。不要使用全部正常或整体异常的总徽章，因为一个字段通过不能替其他字段背书。用户展开后可查看每条轴的旧值、新值、证据状态与未知项；默认摘要只说明本次记录覆盖了哪些检查。
时间图使用不同形状区分地址观察与证书观察，颜色之外还配文字。若证书事件到期，图上标记资料过期，但域名观察不随之变色。站内搜索按主机变化或证书变化分别筛选，组合筛选只是查找共现实验，不生成所谓可信入口集合。
- 主机与证书分栏展示
- 不使用整体正常徽章
- 到期状态不跨轴传播
- 组合筛选不生成身份名单
审核语言、字段和关系完整性
审核先检查每个变化词是否对应本轴的前后值，再核对时间精度、实验关系和UNKNOWN字段。出现更换、迁移、续期等词时，必须明确主语是证书、主机还是编辑记录。任何把证书有效写成主体可信、把主机复现写成永久可用的句子都超出材料，应改成带时间的观察。
采集只限公开可见和浏览器提供的连接信息，不保存私钥、会话令牌或账号数据。地址与证书不一致时立即停止，不点击绕过选项。最终页面提供方法和事件证据，不提供外部目标；历史修订采用追加记录，使读者能够看到两条时间线如何分别变化，也能看见它们何时无法确定。
- 变化词拥有明确主语
- 前后值与时间可复核
- 不保存敏感连接材料
- 不一致直接触发停止
