使用acme.sh自动化部署Let‘s Encrypt免费SSL证书全攻略

使用acme.sh自动化部署Let‘s Encrypt免费SSL证书全攻略

发布时间：2026/8/14 5:44:48
使用acme.sh自动化部署Let‘s Encrypt免费SSL证书全攻略 1. 项目概述为什么我们需要免费的SSL证书在今天的互联网上那个小小的挂锁图标几乎成了网站可信赖的代名词。这个挂锁背后就是SSL/TLS证书在起作用。它就像网站的“数字身份证”用于在浏览器和服务器之间建立一条加密的通道确保用户输入的密码、银行卡号、聊天记录等敏感信息在传输过程中不被窃听或篡改。几年前获取这张“身份证”还是一件既昂贵又繁琐的事情动辄每年数百甚至上千元的费用以及复杂的验证流程让很多个人站长、小型项目望而却步。这正是Let‘s Encrypt诞生的背景。作为一个由非营利组织互联网安全研究小组ISRG运营的免费、自动化、开放的证书颁发机构CA它的使命就是让每一个网站都能轻松地用上HTTPS。它彻底改变了游戏规则将获取和部署SSL证书的门槛降到了几乎为零。现在你甚至不需要手动点击申请通过一个脚本就能自动完成证书的签发、部署和续期。对于任何拥有服务器管理权限的开发者、运维人员或站长来说掌握Let‘s Encrypt的使用已经是一项必备的基础技能。然而“免费”和“自动化”并不意味着“一劳永逸”。在实际操作中从选择客户端工具、配置验证方式到处理各种环境下的部署和棘手的续期失败问题每一步都有需要注意的细节。网上教程虽多但往往只讲通例遇到生产环境中的特殊配置或突发错误新手很容易踩坑。这篇攻略的目的就是结合我多年在Linux服务器上折腾SSL证书的经验为你提供一份从零开始直达“永久免费”自动化维系的完整指南重点不仅在于“怎么做”更在于“为什么这么做”以及“出了问题怎么办”。2. 核心工具选型为什么是acme.sh在Let‘s Encrypt的生态中实现自动化证书管理的工具被称为ACME客户端。ACME是一种标准化协议客户端通过它与CA服务器通信来完成证书的申请、验证和续期。常见的客户端有Certbot官方推荐、acme.sh等。经过大量实践我强烈推荐并将以acme.sh作为本攻略的核心工具原因如下2.1 无依赖与轻量级Certbot通常需要Python环境和一系列系统包在某些最小化安装的服务器上安装过程可能引入不必要的依赖。而acme.sh是一个纯Shell脚本它唯一的要求就是一个标准的Unix shell如bash和curl或wget。这使得它在几乎所有Linux发行版包括Alpine、CentOS、Debian、Ubuntu等以及BSD系统上都能开箱即用极其轻便。2.2 配置零残留acme.sh的所有配置、证书和密钥都默认存放在用户主目录下的~/.acme.sh/文件夹中。它不会修改系统的全局配置如/etc目录下的文件。这种设计带来了极大的灵活性你可以用普通用户身份运行它无需sudo权限DNS验证方式下卸载时直接删除整个目录即可完全不会影响系统其他部分。这对于有洁癖的运维人员来说非常友好。2.3 强大的自动化与泛域名支持acme.sh内置了与超过50家DNS服务商如Cloudflare、阿里云、腾讯云DNSPod的API集成。这意味着对于泛域名证书通配符证书*.example.com的申请和续期它可以完全自动化地通过API添加和删除TXT记录来完成DNS验证无需你手动操作。这是实现“永久免费”自动续期的关键。相比之下虽然Certbot也可以通过插件实现但acme.sh的集成度更高配置更统一。2.4 灵活的证书部署申请到证书后acme.sh提供了--install-cert命令可以轻松地将证书文件复制到任意指定位置如Nginx的/etc/nginx/ssl/目录并自动为你生成所需的文件格式PEM、PKCS12等。更重要的是它可以在续期证书后自动重新加载或重启Web服务器如Nginx、Apache真正实现无人值守。注意选择acme.sh并不意味着Certbot不好。Certbot由Let‘s Encrypt官方团队维护与系统集成度可能更高文档也最全。但对于追求极致简洁、可控尤其是需要频繁管理泛域名证书的用户acme.sh的优势非常明显。你可以将其视为一个更“Unix哲学”的工具做好一件事并通过清晰的接口与其他工具协作。3. 实战前准备环境与域名解析检查在开始签发证书之前确保你的环境满足基本要求可以避免很多后续的麻烦。这个准备阶段往往被新手忽略但却至关重要。3.1 服务器环境确认首先你需要一台拥有公网IP地址的服务器并且你对它拥有SSH登录和必要的操作权限。操作系统可以是任何主流的Linux发行版。通过SSH连接到你的服务器打开终端。我们将使用一个非root的普通用户例如ubuntu或debian来安装和运行acme.sh这更安全。后续如果需要向系统目录复制证书再临时使用sudo提权。检查系统是否已安装curl或wget这是下载安装脚本所必需的。通常它们都已预装。which curl || which wget如果两者都有或有一个就可以继续。如果没有请用包管理器安装例如在Ubuntu/Debian上sudo apt update sudo apt install curl -y。3.2 域名所有权验证原理与准备Let‘s Encrypt不会随便给任何人签发证书它必须确认你对申请证书的域名拥有控制权。它主要通过两种方式验证HTTP-01验证要求你在网站的根目录下放置一个特定的验证文件然后Let‘s Encrypt的服务器会通过HTTP访问这个文件。这要求你的80端口必须可被公网访问并且Web服务器如Nginx正在运行且能正确响应。DNS-01验证要求你在域名的DNS解析记录中添加一条特定的TXT记录。这种方式不依赖Web服务器和特定端口因此可以用于签发泛域名证书*.example.com也可以用于那些80/443端口不开放的服务器如邮件服务器、数据库等。对于大多数网站初期可以使用HTTP-01验证因为它配置简单。但如果你需要通配符证书或者服务器环境特殊就必须使用DNS-01验证。本攻略将重点介绍DNS-01验证方法因为它更通用、更强大是实现完全自动化的基石。3.3 DNS服务商API密钥获取要使用DNS-01验证实现自动化你需要从你的域名DNS服务商那里获取API密钥。以国内常用的阿里云为例登录阿里云控制台进入【AccessKey管理】页面。创建一对AccessKeyAccessKey ID和AccessKey Secret。请务必妥善保管Secret它相当于你的密码。为了安全建议遵循最小权限原则为这对Key创建一个自定义权限策略只授予其对指定域名的DNS解析记录进行读写的权限。将获取到的ALICLOUD_ACCESS_KEY和ALICLOUD_SECRET_KEY记录下来我们将在下一步将其设置为环境变量。其他服务商如Cloudflare、腾讯云的流程类似都需要获取相应的API Token或密钥。4. 安装与配置acme.sh环境准备好后我们就可以安装acme.sh了。整个过程非常快速。4.1 一键安装在终端中执行以下命令。它会从GitHub下载安装脚本并自动执行。安装过程会将acme.sh安装到~/.acme.sh/目录并自动创建一个每日运行的定时任务cronjob用于检查证书续期。curl https://get.acme.sh | sh -s emailmyexample.com或者使用wgetwget -O - https://get.acme.sh | sh -s emailmyexample.com请将myexample.com替换为你自己的邮箱地址。这个邮箱用于接收证书到期提醒和重要通知虽然Let‘s Encrypt现在不强制要求但保留是个好习惯。安装完成后脚本会自动将acme.sh命令添加到当前用户的PATH中。但通常需要重新加载一下shell配置或新开一个终端窗口才能直接使用acme.sh命令。一个简单的方法是执行source ~/.bashrc # 如果你用的是bash # 或 source ~/.zshrc # 如果你用的是zsh现在输入acme.sh --version如果显示版本信息说明安装成功。4.2 配置DNS API自动验证这是实现自动化最关键的一步。我们需要将之前获取的DNS服务商API密钥设置为环境变量让acme.sh在验证时自动调用。以阿里云为例在你的终端中执行注意不要在命令后留下空格以免Secret被记录到历史命令中export Ali_Key你的AccessKey ID export Ali_Secret你的AccessKey Secret为了让这个配置永久生效即使服务器重启最好将它们添加到你的用户profile文件中比如~/.bashrc或~/.bash_profile的末尾echo export Ali_Key你的AccessKey ID ~/.bashrc echo export Ali_Secret你的AccessKey Secret ~/.bashrc source ~/.bashrc实操心得出于安全考虑我强烈建议不要将密钥硬编码在脚本或命令行中。使用export设置环境变量是更安全的方式。在生产环境中可以考虑使用专门的密钥管理服务或至少将包含密钥的配置文件权限设置为仅当前用户可读chmod 600。acme.sh支持众多DNS服务商对应的环境变量名各不相同。例如对于Cloudflare你需要设置CF_Key和CF_Email对于腾讯云DNSPod需要设置DP_Id和DP_Key。具体名称可以查阅acme.sh的官方Wiki。5. 申请你的第一张SSL证书配置好API后申请证书就变成了一行命令的事情。我们分几种常见场景来说明。5.1 申请单域名证书假设你的域名是www.example.com并且你希望使用DNS验证这是最推荐的方式不依赖Web服务器。acme.sh --issue --dns dns_ali -d www.example.com命令解释--issue表示签发证书。--dns dns_ali指定使用DNS验证方式并且服务商是阿里云dns_ali是acme.sh内置的阿里云插件名称。-d www.example.com指定要申请证书的域名Subject Alternative Name, SAN。执行后acme.sh会自动完成以下步骤向Let‘s Encrypt服务器发起证书申请。根据你提供的域名获取到一个需要添加的TXT记录值。调用阿里云的API在你的域名解析中自动添加这条TXT记录。等待DNS记录全球生效脚本会自动检测。验证通过后从Let‘s Encrypt获取签发的证书。调用阿里云API删除刚才添加的TXT记录清理现场。整个过程无需人工干预证书和私钥会保存在~/.acme.sh/www.example.com/目录下。5.2 申请泛域名证书通配符证书泛域名证书可以保护一个域名及其所有子域名例如*.example.com可以用于a.example.comb.example.com等。申请命令几乎一样只是域名参数前加上了通配符*acme.sh --issue --dns dns_ali -d *.example.com -d example.com这里我加了两个-d参数*.example.com和example.com。这是因为通配符证书只保护子域名不保护根域名。为了让根域名example.com也能被保护最好将其也一并申请。这样你会得到一张同时包含这两个名称的证书。5.3 申请多域名证书SAN证书如果你有多个不同的域名或子域名需要保护可以申请一张包含所有名称的多域名证书这比管理多张单域名证书更方便。acme.sh --issue --dns dns_ali -d www.example.com -d api.example.com -d blog.example.org这条命令会为www.example.comapi.example.com和blog.example.org三个域名签发一张证书。注意这些域名可以属于不同的主域如.com和.org只要你能通过DNS验证对所有域名的控制权即可。执行完上述任何一条命令后如果看到类似“Cert success.”的提示恭喜你证书已经申请成功了接下来就是部署到Web服务器。6. 证书部署与Web服务器配置证书申请成功只是第一步我们需要将它安装到Web服务器如Nginx或Apache指定的位置并配置服务器使用它。6.1 证书文件说明在~/.acme.sh/your-domain.com/目录下你会看到几个关键文件your-domain.com.cer或your-domain.com.crt证书文件公钥。your-domain.com.key私钥文件。这是最重要的文件必须严格保密ca.cerLet‘s Encrypt的中间证书。fullchain.cer完整证书链文件你的证书中间证书。在大多数服务器配置中我们使用的是这个文件。acme.sh生成的证书是PEM格式的这是Nginx、Apache等主流服务器支持的格式。6.2 使用acme.sh自动安装证书手动复制文件容易出错acme.sh提供了--install-cert命令来帮你完成。以Nginx为例假设你希望将证书安装到/etc/nginx/ssl/目录acme.sh --install-cert -d example.com \ --key-file /etc/nginx/ssl/example.com.key \ --fullchain-file /etc/nginx/ssl/fullchain.cer \ --reloadcmd sudo systemctl reload nginx命令解释-d example.com指定要安装哪个域名的证书。--key-file指定私钥文件的存放路径。--fullchain-file指定完整证书链文件的存放路径。--reloadcmd指定在证书安装或续期后要执行的命令。这里我们设置成重载Nginx配置reload是平滑重载不会中断现有连接。使用sudo是因为/etc/nginx/通常需要root权限。执行这个命令后acme.sh会将证书和私钥复制到指定路径并设置好正确的文件权限。更重要的是它会记住这个“安装配置”。以后该证书自动续期后acme.sh会自动将新证书复制到相同位置并执行这里的reloadcmd命令让服务器加载新证书整个过程完全自动化。6.3 配置Nginx使用SSL证书证书文件就位后需要修改Nginx的站点配置文件。以下是一个最基本的HTTPS服务器配置示例server { listen 443 ssl http2; # 监听443端口启用SSL和HTTP/2 server_name www.example.com example.com; # 指定证书和私钥的路径与 --install-cert 设置的路径一致 ssl_certificate /etc/nginx/ssl/fullchain.cer; ssl_certificate_key /etc/nginx/ssl/example.com.key; # 强化的SSL配置推荐 ssl_protocols TLSv1.2 TLSv1.3; # 禁用不安全的TLS 1.0/1.1 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; ssl_prefer_server_ciphers on; ssl_session_cache shared:SSL:10m; ssl_session_timeout 10m; # 你的网站根目录和其他配置 root /var/www/html; index index.html index.htm; location / { try_files $uri $uri/ 404; } } # 将HTTP请求重定向到HTTPS server { listen 80; server_name www.example.com example.com; return 301 https://$server_name$request_uri; }保存配置文件后检查配置语法是否正确sudo nginx -t如果显示syntax is ok就可以重载Nginx使配置生效sudo systemctl reload nginx现在用浏览器访问https://你的域名应该就能看到安全的挂锁标志了。注意事项ssl_certificate指令指向的是fullchain.cer证书链而不是单独的your-domain.com.cer。使用证书链可以避免某些老旧客户端因无法自动获取中间证书而报错“证书链不完整”的问题。这是配置中的一个关键细节。7. 实现永久免费自动化续期全解析Let‘s Encrypt签发的证书有效期只有90天。这么短的设计是为了安全鼓励自动化和快速淘汰被盗的密钥。因此“永久免费”的核心不在于证书本身永久而在于续期过程的完全自动化。acme.sh已经为我们做好了这一切。7.1 续期原理与流程acme.sh在安装时会自动在当前用户的crontab中添加一条每日定时任务。你可以通过crontab -l命令查看0 0 * * * /home/username/.acme.sh/acme.sh --cron --home /home/username/.acme.sh /dev/null这条任务会在每天凌晨0点运行acme.sh --cron命令。该命令会检查~/.acme.sh/目录下所有已签发证书的剩余有效期。如果证书快过期了默认是距离到期还有30天时它会自动启动续期流程。续期流程与申请新证书几乎一样再次进行域名所有权验证使用你最初设置的DNS API。向Let‘s Encrypt申请一张新的证书。新证书签发后如果你之前用--install-cert配置了安装路径和重载命令acme.sh会自动将新证书复制到指定位置并执行重载命令如sudo systemctl reload nginx。至此证书更新完成Web服务器已经加载了新证书整个过程对用户和网站访问者无感。7.2 手动测试续期你不必等待30天来测试续期是否工作。acme.sh提供了强制续期的命令即使证书没过期也可以执行用于测试整个流程acme.sh --renew -d example.com --force--force参数表示强制续期。执行后观察输出日志看它是否成功完成了“验证-申请-安装-重载”的全过程。这是部署完成后非常推荐做的一次测试。7.3 续期失败常见原因与排查尽管自动化很强大但续期仍可能失败。以下是几种常见原因及排查思路DNS API密钥失效或权限不足这是最常见的原因。可能密钥被重置、删除或权限策略被修改。排查方法尝试手动执行一条DNS相关的命令例如用acme.sh的--dns参数模拟添加记录看是否报错。确保环境变量中的API密钥正确且有效。服务器时间不同步Let‘s Encrypt服务器要求客户端时间必须准确。如果服务器时间偏差过大SSL握手会失败。使用date命令检查时间并通过ntpdate或chronyd服务同步时间。证书安装路径权限问题续期后acme.sh需要将新证书写入你指定的路径如/etc/nginx/ssl/。如果该目录权限发生变化导致运行acme.sh的用户无法写入就会失败。确保该目录对运行acme.sh的用户或sudo后的root可写。重载命令执行失败在--install-cert中设置的--reloadcmd命令执行出错。例如nginx -t检查失败导致systemctl reload nginx不执行。查看acme.sh的日志通常输出到终端或系统日志寻找错误信息。可以尝试手动执行该重载命令看是否报错。网络问题或Let‘s Encrypt服务暂时不可用偶尔可能因为网络波动或CA服务器维护导致失败。acme.sh有重试机制通常下次cron执行时会再次尝试。7.4 监控与告警虽然acme.sh的cronjob很可靠但为保险起见建议设置监控。一个简单的方法是定期检查~/.acme.sh/目录下的证书文件修改时间或者直接写一个脚本检查证书的到期日期。许多服务器监控工具如Prometheus, Nagios都有SSL证书过期检查的插件。你也可以利用acme.sh安装时填写的邮箱它会发送续期失败的通知邮件确保邮件服务正常。8. 高级应用与疑难问题处理掌握了基础操作后我们来看一些更复杂的场景和可能遇到的“坑”。8.1 为多个Web服务器或服务部署同一张证书有时你可能需要将同一张证书用于多个服务比如一个Nginx前端和一个Apache后端或者一个Web服务器和一个邮件服务器。acme.sh的--install-cert命令可以执行多次指向不同的路径和重载命令。但更优雅的做法是将证书和私钥放在一个公共的、安全的目录如/etc/ssl/private/。在第一次--install-cert时指向这个公共目录。为每个服务单独配置重载命令或者使用一个统一的脚本在证书更新后依次重载所有相关服务。acme.sh --install-cert -d example.com \ --key-file /etc/ssl/private/example.com.key \ --fullchain-file /etc/ssl/private/fullchain.cer \ --reloadcmd /usr/local/bin/reload-all-services.sh8.2 处理证书信任问题与中间证书绝大多数现代浏览器和操作系统都内置信任了Let‘s Encrypt的根证书。但一些特殊环境可能不信任例如旧的移动设备或操作系统。Java应用程序Java维护自己独立的证书库cacerts默认可能不包含Let‘s Encrypt的根证书。某些命令行工具如curl、wget或编程语言的HTTP库。解决方案是使用正确的证书链。这就是为什么我们一直使用fullchain.cer包含中间证书的原因。对于Java等环境可能需要将根证书也导入到其信任库中。Let‘s Encrypt的根证书是“ISRG Root X1”你可以从其官网下载并导入。8.3 调试与日志分析当遇到问题时查看详细日志至关重要。acme.sh提供了详细的调试输出在执行任何命令时加上--debug或--debug 2参数可以输出更详细的运行信息。acme.sh的运行日志也保存在~/.acme.sh/acme.sh.log文件中。对于DNS验证问题可以尝试在命令前加上export DEBUG1查看详细的API调用和DNS记录信息。例如调试一个续期失败的问题export DEBUG1 acme.sh --renew -d example.com --force --debug8.4 吊销证书如果你的私钥不慎泄露或者某个域名不再使用应该吊销其证书。使用以下命令acme.sh --revoke -d example.com --key-file /path/to/key吊销需要私钥或证书文件。吊销后该证书将立即被加入证书吊销列表CRL浏览器会认为其无效。8.5 关于ECC证书除了默认的RSA密钥Let‘s Encrypt也支持更高效、更安全的ECC椭圆曲线密钥。你可以使用--keylength ec-256或ec-384参数来签发ECC证书acme.sh --issue --dns dns_ali -d example.com --keylength ec-256ECC证书在相同安全强度下密钥更短加解密速度更快对移动设备更友好。Nginx 1.11.0及以上版本都支持ECC证书。如果你的客户端环境兼容推荐使用ECC证书。9. 常见问题与排查技巧实录在实际运维中你可能会遇到一些报错信息。这里整理了一份速查表帮助你快速定位和解决问题。问题现象可能原因排查步骤与解决方案Verify error:Invalid response fromHTTP验证时Let‘s Encrypt无法访问到你服务器上的验证文件。1. 检查服务器80端口是否开放且能被公网访问telnet your-domain.com 80。2. 检查Web服务器Nginx/Apache是否正在运行且配置正确能否正常响应HTTP请求。3. 检查防火墙如ufw, iptables, 云服务商安全组是否放行了80端口入站流量。DNS problem: NXDOMAIN looking up TXTDNS验证时找不到为验证添加的TXT记录。1. 检查DNS API密钥是否正确是否有对应域名的管理权限。2. 执行dig TXT _acme-challenge.your-domain.com查看TXT记录是否已生效。DNS全球生效可能需要几分钟到几小时。3. 检查是否在域名服务商处错误地添加了记录如主机记录格式错误。openssl : error: certificate verify failed证书验证失败常见于curl、wget或某些客户端。1. 确认你使用的是fullchain.cer证书链而不是单独的域名证书。2. 尝试更新系统的根证书包如Ubuntu的ca-certificates包。3. 对于特定应用如Python的requests库可能需要指定证书路径或设置verifyFalse仅限测试。Create new order error. Le_OrderFinalize not foundACME协议版本或客户端兼容性问题。1. 更新acme.sh到最新版本acme.sh --upgrade。2. Let‘s Encrypt偶尔更新其API端点旧版本客户端可能不兼容。升级通常能解决。证书续期成功但Nginx未加载新证书--reloadcmd命令执行失败或未触发。1. 检查acme.sh的cron日志或执行日志看--reloadcmd是否被执行。2. 手动执行重载命令如sudo systemctl reload nginx看是否报错如Nginx配置语法错误。3. 确认--install-cert命令已正确配置并且路径与Nginx配置中的ssl_certificate指令一致。申请泛域名证书失败通配符证书必须使用DNS-01验证方式。检查命令中是否包含了--dns参数并且指定了正确的DNS服务商插件如dns_ali。HTTP-01验证无法用于通配符域名。Too many certificates already issued触发了Let‘s Encrypt的速率限制。Let‘s Encrypt对同一域名及它的所有子域名有每周50张证书的申请限制重复域名如www和根域名算两次。遇到此错误需等待一周后再试。请规划好证书的SAN列表避免频繁申请。独家避坑技巧环境变量持久化将DNS API密钥添加到~/.bashrc后对于cronjob环境可能不生效因为cron执行时不会加载用户profile。一个更可靠的方法是在~/.acme.sh/account.conf文件中直接写入export语句acme.sh在执行时会自动source这个文件。使用--force参数在调试或迁移服务器时如果遇到证书相关的小问题可以尝试使用--force参数强制更新证书这有时能解决一些状态不一致的问题。备份~/.acme.sh/目录这个目录里存放了你的账户密钥和所有证书的私钥。定期备份这个目录在服务器迁移时可以快速恢复所有证书的自动化管理状态。关注acme.sh的更新虽然acme.sh很稳定但偶尔会有重要的功能更新或Bug修复。可以定期运行acme.sh --upgrade进行更新。也可以开启自动更新acme.sh --upgrade --auto-upgrade。最后关于“永久免费”这个说法我想再补充一点个人体会。Let‘s Encrypt的免费是实实在在的但其可持续性依赖于社区的捐赠和赞助。如果你或你的公司从中受益可以考虑向ISRG进行捐赠以支持这项伟大的公共服务能一直运行下去。技术上的“永久自动化”加上社区的支持才能构成真正可持续的“永久免费”。