SSL 证书管理完全指南

HTTPS 不再是大网站的专属配置——Let's Encrypt 让免费 SSL 证书触手可及。本指南从证书原理到 certbot、acme.sh 实战部署，再到通配符证书、Cloudflare 源站证书、自动续签告警和 Nginx 安全最佳实践，帮您彻底搞定 SSL 证书管理。

🔒 什么是 SSL/TLS 证书

📋 证书类型对比

🏛️ 主流 CA 对比选择

🤖 实战：certbot 完整部署

certbot 是 Let's Encrypt 官方推荐的 ACME 客户端，安装简单，支持 Nginx/Apache 插件自动配置 SSL，是最主流的免费证书申请方式。

Nginx 模式（自动修改配置，最简单）

# ── 安装 certbot ──────────────────────────────────────────────────────────────
apt update && apt install certbot python3-certbot-nginx -y

# ── Nginx 插件模式（最简单，自动修改 Nginx 配置）─────────────────────────────
certbot --nginx -d yourdomain.com -d www.yourdomain.com

# ── Standalone 模式（临时占用 80 端口）───────────────────────────────────────
certbot certonly --standalone -d yourdomain.com

# ── Webroot 模式（Nginx 继续运行）────────────────────────────────────────────
certbot certonly --webroot -w /var/www/html -d yourdomain.com

# ── 证书文件位置 ─────────────────────────────────────────────────────────────
# /etc/letsencrypt/live/yourdomain.com/fullchain.pem  ← SSL 证书（含完整链）
# /etc/letsencrypt/live/yourdomain.com/privkey.pem    ← 私钥
# /etc/letsencrypt/live/yourdomain.com/cert.pem       ← 仅当前证书（不含中间链）
# /etc/letsencrypt/live/yourdomain.com/chain.pem      ← 中间证书链

# ── 测试续签 ─────────────────────────────────────────────────────────────────
certbot renew --dry-run

Apache 模式

# Apache 插件模式
apt install certbot python3-certbot-apache -y
certbot --apache -d yourdomain.com

⚡ 实战：acme.sh 轻量申请

acme.sh 是纯 Shell 脚本编写的 ACME 客户端，无依赖、轻量、支持 150+ DNS 服务商的 API 自动化，是 certbot 的强力替代品。

安装 acme.sh

# ── 安装 acme.sh ─────────────────────────────────────────────────────────────
curl https://get.acme.sh | sh -s email=your@email.com

# 重新加载 shell 环境
source ~/.bashrc

申请证书并安装到 Nginx

# ── 申请证书（HTTP-01 验证，Nginx webroot 模式）──────────────────────────────
~/.acme.sh/acme.sh --issue -d yourdomain.com -d www.yourdomain.com --webroot /var/www/html

# ── 安装证书到 Nginx 使用的路径 ──────────────────────────────────────────────
~/.acme.sh/acme.sh --install-cert -d yourdomain.com \
  --cert-file      /etc/nginx/ssl/yourdomain.com.cer \
  --key-file       /etc/nginx/ssl/yourdomain.com.key \
  --fullchain-file /etc/nginx/ssl/fullchain.cer \
  --reloadcmd      "systemctl reload nginx"

# ── 切换到 Let's Encrypt ──────────────────────────────────────────────────────
~/.acme.sh/acme.sh --set-default-ca --server letsencrypt

# ── 查看所有证书 ─────────────────────────────────────────────────────────────
~/.acme.sh/acme.sh --list

# ── 手动强制续签 ─────────────────────────────────────────────────────────────
~/.acme.sh/acme.sh --renew -d yourdomain.com --force

🌟 进阶：通配符证书（*.yourdomain.com）

通配符证书用一张证书覆盖所有二级子域名。必须使用 DNS-01 验证方式（而非 HTTP-01）。

方式一：certbot + Cloudflare DNS 插件（推荐）

# ── 通配符证书需要 DNS-01 验证（certbot + Cloudflare DNS 插件）──────────────

# 1. 安装 Cloudflare DNS 插件
apt install python3-certbot-dns-cloudflare -y

# 2. 创建 Cloudflare API Token 凭证文件
mkdir -p /root/.secrets
cat > /root/.secrets/cloudflare.ini << 'EOF'
dns_cloudflare_api_token = 你的CF_API_Token
EOF
chmod 600 /root/.secrets/cloudflare.ini

# 3. 申请通配符证书
certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials /root/.secrets/cloudflare.ini \
  -d yourdomain.com \
  -d "*.yourdomain.com"

# 4. 查看证书
certbot certificates

方式二：acme.sh + Cloudflare API（更轻量）

# ── 通配符证书（acme.sh + Cloudflare DNS API）────────────────────────────────

# 1. 设置 Cloudflare 环境变量
export CF_Token="你的Cloudflare_API_Token"
export CF_Account_ID="你的账号ID"

# 2. 申请通配符证书
~/.acme.sh/acme.sh --issue \
  --dns dns_cf \
  -d yourdomain.com \
  -d "*.yourdomain.com"

# 3. 安装证书
~/.acme.sh/acme.sh --install-cert -d yourdomain.com \
  --fullchain-file /etc/nginx/ssl/fullchain.cer \
  --key-file       /etc/nginx/ssl/yourdomain.com.key \
  --reloadcmd      "systemctl reload nginx"

# ── 非 Cloudflare 域名：手动 DNS 模式 ────────────────────────────────────────
~/.acme.sh/acme.sh --issue \
  --dns \
  -d yourdomain.com \
  -d "*.yourdomain.com" \
  --yes-I-know-dns-manual-mode-enough-go-ahead-please

☁️ 进阶：Cloudflare 源站证书（15年免过期）

如果你的域名已经接入 Cloudflare CDN，推荐使用 Cloudflare Origin Certificate。最大优势是有效期长达 15 年，彻底告别证书过期问题。注意：该证书只在 Cloudflare 代理模式下生效。

# ── Cloudflare 源站证书（在 CF 面板生成，15 年有效期）─────────────────────────

# 1. 在 CF 面板生成：SSL/TLS → Origin Server → Create Certificate
#    选择 15 Years 有效期，覆盖 yourdomain.com 和 *.yourdomain.com

# 2. 保存证书文件到服务器
mkdir -p /etc/nginx/ssl/cloudflare
# 粘贴 Origin Certificate 内容到 origin.pem
# 粘贴 Private Key 内容到 origin.key（只显示一次，务必保存！）
chmod 600 /etc/nginx/ssl/cloudflare/origin.key

# 3. Nginx 配置使用 CF 源站证书
# ssl_certificate     /etc/nginx/ssl/cloudflare/origin.pem;
# ssl_certificate_key /etc/nginx/ssl/cloudflare/origin.key;

# 4. 在 CF 面板将 SSL/TLS 模式设置为 Full (Strict)

🔄 必配：自动续签与监控告警

Let's Encrypt 证书有效期只有 90 天，必须配置自动续签。certbot 和 acme.sh 安装时通常已自动配置，建议手动验证并设置到期告警：

# ── certbot 自动续签确认 ─────────────────────────────────────────────────────
systemctl status certbot.timer
systemctl list-timers | grep certbot

# 如果没有 timer，手动添加 crontab
# 0 3 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

# ── acme.sh 自动续签（安装时已配置）─────────────────────────────────────────
crontab -l | grep acme
~/.acme.sh/acme.sh --cron

# ── 证书到期时间检查 ──────────────────────────────────────────────────────────
openssl x509 -in /etc/letsencrypt/live/yourdomain.com/fullchain.pem -noout -dates

echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null \
  | openssl x509 -noout -dates

# ── 证书到期 Telegram 告警脚本 ────────────────────────────────────────────────
cat > /root/check-ssl-expiry.sh << 'SCRIPT'
#!/bin/bash
TG_TOKEN="你的Bot_Token"
TG_CHAT_ID="你的Chat_ID"
DOMAIN="yourdomain.com"
THRESHOLD=14

EXPIRY=$(echo | openssl s_client -connect ${DOMAIN}:443 -servername ${DOMAIN} 2>/dev/null \
  | openssl x509 -noout -enddate 2>/dev/null | cut -d= -f2)
EXPIRY_EPOCH=$(date -d "${EXPIRY}" +%s 2>/dev/null || date -j -f "%b %d %T %Y %Z" "${EXPIRY}" +%s)
NOW_EPOCH=$(date +%s)
DAYS_LEFT=$(( (EXPIRY_EPOCH - NOW_EPOCH) / 86400 ))

if [ "${DAYS_LEFT}" -lt "${THRESHOLD}" ]; then
  curl -s -X POST "https://api.telegram.org/bot${TG_TOKEN}/sendMessage" \
    -d "chat_id=${TG_CHAT_ID}" \
    -d "text=⚠️ SSL证书即将过期！${DOMAIN} 还剩 ${DAYS_LEFT} 天，请立即续签！"
fi
SCRIPT
chmod +x /root/check-ssl-expiry.sh
# 每天检查：0 8 * * * /root/check-ssl-expiry.sh

⚙️ Nginx SSL 安全配置最佳实践

申请到证书只是第一步，Nginx 的 SSL 配置直接影响安全等级和性能。以下配置可以在 SSL Labs 测试中获得 A+ 评级：

# ── Nginx SSL 安全配置（/etc/nginx/conf.d/yourdomain.conf）─────────────────

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    http2 on;
    server_name yourdomain.com www.yourdomain.com;

    ssl_certificate     /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;

    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;
    ssl_session_tickets off;

    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/letsencrypt/live/yourdomain.com/chain.pem;
    resolver 1.1.1.1 8.8.8.8 valid=300s;

    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
    add_header X-Content-Type-Options nosniff;
    add_header X-Frame-Options DENY;
    add_header X-XSS-Protection "1; mode=block";
    add_header Referrer-Policy "strict-origin-when-cross-origin";

    root /var/www/html;
    index index.html index.php;

    location / {
        try_files $uri $uri/ =404;
    }
}

🗂️ 进阶：多域名 SAN 证书管理

当你需要用一张证书同时保护多个不同的域名，SAN 证书是最佳选择：

多域名证书申请与管理

# ── 多域名 SAN 证书 ──────────────────────────────────────────────────────────
certbot certonly --nginx \
  -d yourdomain.com \
  -d www.yourdomain.com \
  -d api.yourdomain.com \
  -d blog.yourdomain.com \
  -d anotherdomain.com \
  -d www.anotherdomain.com

~/.acme.sh/acme.sh --issue \
  --nginx \
  -d yourdomain.com \
  -d www.yourdomain.com \
  -d api.yourdomain.com \
  -d anotherdomain.com

# ── 扩展现有证书（添加新域名）────────────────────────────────────────────────
certbot certonly --nginx \
  -d yourdomain.com \
  -d www.yourdomain.com \
  -d newsubdomain.yourdomain.com

# ── 查看证书包含的所有 SAN 域名 ──────────────────────────────────────────────
openssl x509 -in /etc/letsencrypt/live/yourdomain.com/fullchain.pem \
  -noout -text | grep -A 1 "Subject Alternative Name"

certbot certificates

Docker 容器 SSL 配置（Traefik 自动证书）

# ── Docker + Traefik 自动证书 ────────────────────────────────────────────────
services:
  traefik:
    image: traefik:v3.0
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
      - ./traefik/acme.json:/acme.json
      - ./traefik/traefik.yml:/traefik.yml:ro
    command:
      - "--entrypoints.web.address=:80"
      - "--entrypoints.websecure.address=:443"
      - "--certificatesresolvers.le.acme.email=your@email.com"
      - "--certificatesresolvers.le.acme.storage=/acme.json"
      - "--certificatesresolvers.le.acme.httpchallenge.entrypoint=web"

  myapp:
    image: nginx:alpine
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.myapp.rule=Host(`app.yourdomain.com`)"
      - "traefik.http.routers.myapp.entrypoints=websecure"
      - "traefik.http.routers.myapp.tls.certresolver=le"

❓ 常见问题解答