SSL 证书管理完全指南

HTTPS 不再是大网站的专属配置——Let's Encrypt 让免费 SSL 证书触手可及。本指南从证书原理到 certbot、acme.sh 实战部署，再到通配符证书、Cloudflare 源站证书、自动续签告警和 Nginx 安全最佳实践，帮您彻底搞定 SSL 证书管理。

🔒 什么是 SSL/TLS 证书

📋 证书类型对比

🏛️ 主流 CA 对比选择

🤖 实战：certbot 完整部署

Certbot 是 EFF 维护的 ACME 客户端，支持 Nginx/Apache 插件和多种验证方式。优先遵循 Certbot 当前官方安装说明或发行版受支持软件源，并在变更前备份 Web 服务器配置。

Nginx 模式（自动修改配置，最简单）

# ── 安装 certbot ──────────────────────────────────────────────────────────────
apt update && apt install certbot python3-certbot-nginx -y

# ── Nginx 插件模式（最简单，自动修改 Nginx 配置）─────────────────────────────
certbot --nginx -d yourdomain.com -d www.yourdomain.com

# ── Standalone 模式（临时占用 80 端口）───────────────────────────────────────
certbot certonly --standalone -d yourdomain.com

# ── Webroot 模式（Nginx 继续运行）────────────────────────────────────────────
certbot certonly --webroot -w /var/www/html -d yourdomain.com

# ── 证书文件位置 ─────────────────────────────────────────────────────────────
# /etc/letsencrypt/live/yourdomain.com/fullchain.pem  ← SSL 证书（含完整链）
# /etc/letsencrypt/live/yourdomain.com/privkey.pem    ← 私钥
# /etc/letsencrypt/live/yourdomain.com/cert.pem       ← 仅当前证书（不含中间链）
# /etc/letsencrypt/live/yourdomain.com/chain.pem      ← 中间证书链

# ── 测试续签 ─────────────────────────────────────────────────────────────────
certbot renew --dry-run

Apache 模式

# Apache 插件模式
apt install certbot python3-certbot-apache -y
certbot --apache -d yourdomain.com

⚡ 实战：acme.sh 轻量申请

acme.sh 是 Shell 编写的 ACME 客户端，支持 SAN、通配符和多种 DNS API。生产使用应从官方仓库核对安装内容，并通过 --install-cert 把证书部署到稳定路径，不要让 Nginx 直接依赖其内部目录。

安装 acme.sh

# ── 从官方仓库安装 acme.sh；先检查当前发布记录和脚本 ───────────────────────
git clone https://github.com/acmesh-official/acme.sh.git
cd acme.sh
less acme.sh
./acme.sh --install -m your@email.com

# 重新登录 shell 后确认版本与自动续期任务
~/.acme.sh/acme.sh --version
crontab -l | grep acme.sh

申请证书并安装到 Nginx

# ── 申请证书（HTTP-01 验证，Nginx webroot 模式）──────────────────────────────
~/.acme.sh/acme.sh --issue -d yourdomain.com -d www.yourdomain.com --webroot /var/www/html

# ── 安装证书到 Nginx 使用的路径 ──────────────────────────────────────────────
~/.acme.sh/acme.sh --install-cert -d yourdomain.com \
  --cert-file      /etc/nginx/ssl/yourdomain.com.cer \
  --key-file       /etc/nginx/ssl/yourdomain.com.key \
  --fullchain-file /etc/nginx/ssl/fullchain.cer \
  --reloadcmd      "systemctl reload nginx"

# ── 切换到 Let's Encrypt ──────────────────────────────────────────────────────
~/.acme.sh/acme.sh --set-default-ca --server letsencrypt

# ── 查看所有证书 ─────────────────────────────────────────────────────────────
~/.acme.sh/acme.sh --list

# ── 用 cron 模式做一次检查；不要把 --force 当作日常续期方式 ──────────────────
~/.acme.sh/acme.sh --cron --home ~/.acme.sh

🌟 进阶：通配符证书（*.yourdomain.com）

通配符证书用一张证书覆盖所有二级子域名。必须使用 DNS-01 验证方式（而非 HTTP-01）。

方式一：certbot + Cloudflare DNS 插件（推荐）

# ── 通配符证书需要 DNS-01 验证（certbot + Cloudflare DNS 插件）──────────────

# 1. 安装 Cloudflare DNS 插件
apt install python3-certbot-dns-cloudflare -y

# 2. 创建 Cloudflare API Token 凭证文件
mkdir -p /root/.secrets
cat > /root/.secrets/cloudflare.ini << 'EOF'
dns_cloudflare_api_token = 你的CF_API_Token
EOF
chmod 600 /root/.secrets/cloudflare.ini

# 3. 申请通配符证书
certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials /root/.secrets/cloudflare.ini \
  -d yourdomain.com \
  -d "*.yourdomain.com"

# 4. 查看证书
certbot certificates

方式二：acme.sh + Cloudflare API（更轻量）

# ── 通配符证书（acme.sh + Cloudflare DNS API）────────────────────────────────

# 1. 设置 Cloudflare 环境变量
export CF_Token="你的Cloudflare_API_Token"
export CF_Account_ID="你的账号ID"

# 2. 申请通配符证书
~/.acme.sh/acme.sh --issue \
  --dns dns_cf \
  -d yourdomain.com \
  -d "*.yourdomain.com"

# 申请完成后从当前 shell 清除令牌；确认账户配置文件仅本人可读
unset CF_Token CF_Account_ID
chmod 600 ~/.acme.sh/account.conf

# 3. 安装证书
~/.acme.sh/acme.sh --install-cert -d yourdomain.com \
  --fullchain-file /etc/nginx/ssl/fullchain.cer \
  --key-file       /etc/nginx/ssl/yourdomain.com.key \
  --reloadcmd      "systemctl reload nginx"

# ── 非 Cloudflare 域名：手动 DNS 模式 ────────────────────────────────────────
~/.acme.sh/acme.sh --issue \
  --dns \
  -d yourdomain.com \
  -d "*.yourdomain.com" \
  --yes-I-know-dns-manual-mode-enough-go-ahead-please

☁️ 进阶：Cloudflare 源站证书

如果主机名始终由 Cloudflare 代理，可使用 Cloudflare Origin CA 加密 Cloudflare 到源站的连接，并配置 Full (strict)。它不受普通浏览器信任，暂停代理或灰云直连会产生证书错误；Cloudflare 目前也不发送 Origin CA 到期提醒，因此仍需纳入证书清单、到期监控和轮换演练。

# ── Cloudflare 源站证书（仅用于 Cloudflare 到源站）───────────────────────────

# 1. 在 CF 面板生成：SSL/TLS → Origin Server → Create Certificate
#    选择适合自身轮换制度的有效期，覆盖实际使用的主机名

# 2. 保存证书文件到服务器
mkdir -p /etc/nginx/ssl/cloudflare
# 粘贴 Origin Certificate 内容到 origin.pem
# 粘贴 Private Key 内容到 origin.key（只显示一次，务必保存！）
chmod 600 /etc/nginx/ssl/cloudflare/origin.key

# 3. Nginx 配置使用 CF 源站证书
# ssl_certificate     /etc/nginx/ssl/cloudflare/origin.pem;
# ssl_certificate_key /etc/nginx/ssl/cloudflare/origin.key;

# 4. 在 CF 面板将 SSL/TLS 模式设置为 Full (Strict)

🔄 必配：自动续签与监控告警

短期证书依赖自动化续签。不要假设安装完成就会自动工作：确认 timer/cron、执行模拟续期、验证 Web 服务重载，并从外部读取线上证书到期时间；DNS-01 还要定期检查最小权限令牌是否有效。

# ── certbot 自动续签确认 ─────────────────────────────────────────────────────
systemctl status certbot.timer
systemctl list-timers | grep certbot

# 若安装包没有提供 timer，先确认 Certbot 实际路径，再建立受监控的定时任务
# 不要同时启用 timer 和重复 cron

# ── acme.sh 自动续签（安装时已配置）─────────────────────────────────────────
crontab -l | grep acme
~/.acme.sh/acme.sh --cron

# ── 证书到期时间检查 ──────────────────────────────────────────────────────────
openssl x509 -in /etc/letsencrypt/live/yourdomain.com/fullchain.pem -noout -dates

echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null \
  | openssl x509 -noout -dates

# ── 证书到期 Telegram 告警脚本 ────────────────────────────────────────────────
cat > /root/check-ssl-expiry.sh << 'SCRIPT'
#!/bin/bash
TG_TOKEN="你的Bot_Token"
TG_CHAT_ID="你的Chat_ID"
DOMAIN="yourdomain.com"
THRESHOLD=14

EXPIRY=$(echo | openssl s_client -connect ${DOMAIN}:443 -servername ${DOMAIN} 2>/dev/null \
  | openssl x509 -noout -enddate 2>/dev/null | cut -d= -f2)
EXPIRY_EPOCH=$(date -d "${EXPIRY}" +%s 2>/dev/null || date -j -f "%b %d %T %Y %Z" "${EXPIRY}" +%s)
NOW_EPOCH=$(date +%s)
DAYS_LEFT=$(( (EXPIRY_EPOCH - NOW_EPOCH) / 86400 ))

if [ "${DAYS_LEFT}" -lt "${THRESHOLD}" ]; then
  curl -s -X POST "https://api.telegram.org/bot${TG_TOKEN}/sendMessage" \
    -d "chat_id=${TG_CHAT_ID}" \
    -d "text=⚠️ SSL证书即将过期！${DOMAIN} 还剩 ${DAYS_LEFT} 天，请立即续签！"
fi
SCRIPT
chmod +x /root/check-ssl-expiry.sh
# 每天检查：0 8 * * * /root/check-ssl-expiry.sh

⚙️ Nginx SSL 安全配置最佳实践

申请到证书只是第一步，Nginx 配置还要兼顾客户端范围、证书类型和当前版本。以下是审阅起点，不承诺固定评级；应用前先用 nginx -t，再以目标客户端和 SSL Labs 复核。

# ── Nginx SSL 安全配置（/etc/nginx/conf.d/yourdomain.conf）─────────────────

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    http2 on;
    server_name yourdomain.com www.yourdomain.com;

    ssl_certificate     /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;

    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;
    ssl_session_tickets off;

    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/letsencrypt/live/yourdomain.com/chain.pem;
    resolver 1.1.1.1 8.8.8.8 valid=300s;

    # 先用短 max-age 验证所有 HTTPS 主机，再逐步提高；满足清单前不要加 preload
    add_header Strict-Transport-Security "max-age=86400" always;
    add_header X-Content-Type-Options nosniff;
    add_header X-Frame-Options DENY;
    add_header Referrer-Policy "strict-origin-when-cross-origin";

    root /var/www/html;
    index index.html index.php;

    location / {
        try_files $uri $uri/ =404;
    }
}

🗂️ 进阶：多域名 SAN 证书管理

当你需要用一张证书同时保护多个不同的域名，SAN 证书是最佳选择：

多域名证书申请与管理

# ── 多域名 SAN 证书 ──────────────────────────────────────────────────────────
certbot certonly --nginx \
  -d yourdomain.com \
  -d www.yourdomain.com \
  -d api.yourdomain.com \
  -d blog.yourdomain.com \
  -d anotherdomain.com \
  -d www.anotherdomain.com

~/.acme.sh/acme.sh --issue \
  --nginx \
  -d yourdomain.com \
  -d www.yourdomain.com \
  -d api.yourdomain.com \
  -d anotherdomain.com

# ── 扩展现有证书（添加新域名）────────────────────────────────────────────────
certbot certonly --nginx \
  -d yourdomain.com \
  -d www.yourdomain.com \
  -d newsubdomain.yourdomain.com

# ── 查看证书包含的所有 SAN 域名 ──────────────────────────────────────────────
openssl x509 -in /etc/letsencrypt/live/yourdomain.com/fullchain.pem \
  -noout -text | grep -A 1 "Subject Alternative Name"

certbot certificates

Docker 容器 SSL 配置（Traefik 自动证书）

# ── Docker + Traefik 自动证书 ────────────────────────────────────────────────
services:
  traefik:
    image: traefik:v3.0
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
      - ./traefik/acme.json:/acme.json
      - ./traefik/traefik.yml:/traefik.yml:ro
    command:
      - "--entrypoints.web.address=:80"
      - "--entrypoints.websecure.address=:443"
      - "--certificatesresolvers.le.acme.email=your@email.com"
      - "--certificatesresolvers.le.acme.storage=/acme.json"
      - "--certificatesresolvers.le.acme.httpchallenge.entrypoint=web"

  myapp:
    image: nginx:alpine
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.myapp.rule=Host(`app.yourdomain.com`)"
      - "traefik.http.routers.myapp.entrypoints=websecure"
      - "traefik.http.routers.myapp.tls.certresolver=le"

❓ 常见问题解答