免费·'永久'(自动续期)SSL 证书1. 安装 acme.sh 安装很简单, 一个命令: 普通用户和 root 用户都

1. 安装 acme.sh

安装很简单, 一个命令:

curl https://get.acme.sh | sh -s email=my@example.com

普通用户和 root 用户都可以安装使用. 安装过程进行了以下几步:

把 acme.sh 安装到你的 home 目录下:

~/.acme.sh/

并创建一个 shell 的 alias, 例如 .bashrc，方便你的使用: alias acme.sh=~/.acme.sh/acme.sh

自动为你创建 cronjob, 每天 0:00 点自动检测所有的证书, 如果快过期了, 需要更新, 则会自动更新证书.

更高级的安装选项请参考: github.com/Neilpang/ac…

安装过程不会污染已有的系统任何功能和文件, 所有的修改都限制在安装目录中: ~/.acme.sh/

2.邮箱绑定

./acme.sh --register-account -m 邮箱

3.生成证书

http 方式需要在你的网站根目录下放置一个文件, 来验证你的域名所有权,完成验证. 然后就可以生成证书了.

acme.sh --issue -d mydomain.com -d www.mydomain.com --webroot /home/wwwroot/mydomain.com/

注意：网站根目录的配置

访问域名需要能够进入根目录的页面
访问需要通过 80 端口，其他端口无法验证证书

server {
    listen       80;
    listen       [::]:80;
    server_name  domain.com; // 域名修改为自己的域名
    root         /var/www/https;
}

成功示例

[Tue Oct 29 02:11:43 EDT 2024] Using CA: https://acme.zerossl.com/v2/DV90
[Tue Oct 29 02:11:43 EDT 2024] Creating domain key
[Tue Oct 29 02:11:44 EDT 2024] The domain key is here: /root/.acme.sh/domain.com_ecc/domain.com.key
[Tue Oct 29 02:11:44 EDT 2024] Single domain='domain.com'
[Tue Oct 29 02:12:05 EDT 2024] Getting webroot for domain='domain.com'
[Tue Oct 29 02:12:06 EDT 2024] Verifying: domain.com
[Tue Oct 29 02:12:13 EDT 2024] Processing. The CA is processing your order, please wait. (1/30)
[Tue Oct 29 02:12:23 EDT 2024] Success
[Tue Oct 29 02:12:23 EDT 2024] Verification finished, beginning signing.
[Tue Oct 29 02:12:24 EDT 2024] Let's finalize the order.
[Tue Oct 29 02:12:24 EDT 2024] Le_OrderFinalize='https://acme.zerossl.com/v2/DV90/order/XNUaLPvemVtI7MB5cUPIbQ/finalize'
[Tue Oct 29 02:12:31 EDT 2024] Order status is 'processing', let's sleep and retry.
[Tue Oct 29 02:12:31 EDT 2024] Sleeping for 15 seconds then retrying
[Tue Oct 29 02:12:47 EDT 2024] Polling order status: https://acme.zerossl.com/v2/DV90/order/XNUaLPvemVtI7MB5cUPIbQ
[Tue Oct 29 02:12:54 EDT 2024] Downloading cert.
[Tue Oct 29 02:12:54 EDT 2024] Le_LinkCert='https://acme.zerossl.com/v2/DV90/cert/ukOdpn03M6NLWZyRsgaw7A'
[Tue Oct 29 02:13:02 EDT 2024] Cert success.
-----BEGIN CERTIFICATE-----
MIIEBzCCA42gAwIBAgIRAJg/QIak3aA3nPXH6s877+cwCgYIKoZIzj0EAwMwSzEL
MAkGA1UEBhMCQVQxEDAOBgNVBAoTB1plcm9TU0wxKjAoBgNVBAMTIVplcm9TU0wg
RUNDIERvbWFpbiBTZWN1cmUgU2l0ZSBDQTAeFw0yNDEwMjkwMDAwMDBaFw0yNTAx
MjcyMzU5NTlaMB0xGzAZBgNVBAMTEnRlc3QubWljcm9zb2Z0aS5jYzBZMBMGByqG
SM49AgEGCCqGSM49AwEHA0IABFFMV1eKG/oVR7aTSPQoWavfF/nCcWsWjDTg7ffi
NTBGkNDyzNcRiWW8pcZxHAU+1WaUMGd5VfmYwEj6h0I9ODCjggJ+MIICejAfBgNV
HSMEGDAWgBQPa+ZLzjlHrvZ+kB558DCRkshfozAdBgNVHQ4EFgQUW2bVSoo4XGge
hS+uz+I95kOttKcwDgYDVR0PAQH/BAQDAgeAMAwGA1UdEwEB/wQCMAAwHQYDVR0l
BBYwFAYIKwYBBQUHAwEGCCsGAQUFBwMCMEkGA1UdIARCMEAwNAYLKwYBBAGyMQEC
Ak4wJTAjBggrBgEFBQcCARYXaHR0cHM6Ly9zZWN0aWdvLmNvbS9DUFMwCAYGZ4EM
AQIBMIGIBggrBgEFBQcBAQR8MHowSwYIKwYBBQUHMAKGP2h0dHA6Ly96ZXJvc3Ns
LmNydC5zZWN0aWdvLmNvbS9aZXJvU1NMRUNDRG9tYWluU2VjdXJlU2l0ZUNBLmNy
dDArBggrBgEFBQcwAYYfaHR0cDovL3plcm9zc2wub2NzcC5zZWN0aWdvLmNvbTCC
AQQGCisGAQQB1nkCBAIEgfUEgfIA8AB2AM8RVu7VLnyv84db2Wkum+kacWdKsBfs
rAHSW3fOzDsIAAABktbnj5cAAAQDAEcwRQIhANYrrEiPbDoLqbvVeVtk8UZ7m7E3
Mye9u5Kg6vyxWiQhAiBFXtYHK4FX6au5FqadCu96wkJJuW5U5LePMybdovCoLQB2
AMz7D2qFcQll/pWbU87psnwi6YVcDZeNtql+VMD+TA2wAAABktbnj3cAAAQDAEcw
RQIhAIzhmzodj7MRX1DI2v4dlVJawncXDaLe1vOM8fzzgh9rAiA0ykXp6JVaBhB6
mSUXe1k3GeSy9kFA0HX+9hk+WaVQ7zAdBgNVHREEFjAUghJ0ZXN0Lm1pY3Jvc29m
dGkuY2MwCgYIKoZIzj0EAwMDaAAwZQIwRgKEzeJokPAEPbIhWT3Icqa4MhGxYzJW
BuoCHH2705AKkhAtB4dsZDwDVbIo3RueAjEA1fvmuZaCMGcgqGBMHM7p7A1kNr+l
IuWm0yN2F3LrO8KWOZo3VKDfs7zxoOZ3aXgU
-----END CERTIFICATE-----
[Tue Oct 29 02:13:02 EDT 2024] Your cert is in: /root/.acme.sh/domain.com_ecc/domain.com.cer
[Tue Oct 29 02:13:02 EDT 2024] Your cert key is in: /root/.acme.sh/domain.com_ecc/domain.com.key
[Tue Oct 29 02:13:02 EDT 2024] The intermediate CA cert is in: /root/.acme.sh/domain.com_ecc/ca.cer
[Tue Oct 29 02:13:02 EDT 2024] And the full-chain cert is in: /root/.acme.sh/domain.com_ecc/fullchain.cer

3. copy/安装证书

前面证书生成以后, 接下来需要把证书 copy 到真正需要用它的地方.

注意, 默认生成的证书都放在安装目录下: ~/.acme.sh/, 请不要直接使用此目录下的文件, 例如: 不要直接让 nginx/apache 的配置文件使用这下面的文件. 这里面的文件都是内部使用, 而且目录结构可能会变化.

正确的使用方法是使用 --install-cert 命令,并指定目标位置, 然后证书文件会被copy到相应的位置, 例如:

Apache example:

acme.sh --install-cert -d example.com \
--cert-file      /path/to/certfile/in/apache/cert.pem  \
--key-file       /path/to/keyfile/in/apache/key.pem  \
--fullchain-file /path/to/fullchain/certfile/apache/fullchain.pem \
--reloadcmd     "service apache2 force-reload"

Nginx example:

acme.sh --install-cert -d example.com \
--key-file       /path/to/keyfile/in/nginx/key.pem  \
--fullchain-file /path/to/fullchain/nginx/cert.pem \
--reloadcmd     "service nginx force-reload"

(一个小提醒, 这里用的是 service nginx force-reload, 不是 service nginx reload, 据测试, reload 并不会重新加载证书, 所以用的 force-reload)

Nginx 的配置 ssl_certificate 使用 /etc/nginx/ssl/fullchain.cer ，而非 /etc/nginx/ssl/<domain>.cer ，否则 SSL Labs 的测试会报 Chain issues Incomplete 错误。

--install-cert命令可以携带很多参数, 来指定目标文件. 并且可以指定 reloadcmd, 当证书更新以后, reloadcmd会被自动调用,让服务器生效.

详细参数请参考: github.com/Neilpang/ac…

值得注意的是, 这里指定的所有参数都会被自动记录下来, 并在将来证书自动更新以后, 被再次自动调用.

4. 查看已安装证书信息

acme.sh --info -d example.com
# 会输出如下内容：
DOMAIN_CONF=/root/.acme.sh/example.com/example.com.conf
Le_Domain=example.com
Le_Alt=no
Le_Webroot=dns_ali
Le_PreHook=
Le_PostHook=
Le_RenewHook=
Le_API=https://acme-v02.api.letsencrypt.org/directory
Le_Keylength=
Le_OrderFinalize=https://acme-v02.api.letsencrypt.org/acme/finalize/23xxxx150/781xxxx4310
Le_LinkOrder=https://acme-v02.api.letsencrypt.org/acme/order/233xxx150/781xxxx4310
Le_LinkCert=https://acme-v02.api.letsencrypt.org/acme/cert/04cbd28xxxxxx349ecaea8d07
Le_CertCreateTime=1649358725
Le_CertCreateTimeStr=Thu Apr  7 19:12:05 UTC 2022
Le_NextRenewTimeStr=Mon Jun  6 19:12:05 UTC 2022
Le_NextRenewTime=1654456325
Le_RealCertPath=
Le_RealCACertPath=
Le_RealKeyPath=/etc/acme/example.com/privkey.pem
Le_ReloadCmd=service nginx force-reload
Le_RealFullChainPath=/etc/acme/example.com/chain.pem

5. 更新证书

目前证书在 60 天以后会自动更新, 你无需任何操作. 今后有可能会缩短这个时间, 不过都是自动的, 你不用关心.

请确保 cronjob 正确安装, 看起来是类似这样的:

crontab  -l

56 * * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null

6. 更新 acme.sh

目前由于 acme 协议和 letsencrypt CA 都在频繁的更新, 因此 acme.sh 也经常更新以保持同步.

升级 acme.sh 到最新版 :

acme.sh --upgrade

如果你不想手动升级, 可以开启自动升级:

acme.sh --upgrade --auto-upgrade

之后, acme.sh 就会自动保持更新了.

你也可以随时关闭自动更新:

acme.sh --upgrade --auto-upgrade  0

7. 出错怎么办

如果出错, 请添加 debug log：

acme.sh --issue  .....  --debug

或者：

acme.sh --issue  .....  --debug  2

请参考： github.com/Neilpang/ac…

8.踩坑记录

[root@ggcjp-50003-103435-syjhhkgz .acme.sh]# ./acme.sh --issue -d domain.com --webroot /var/www/https/
[Tue Oct 29 01:40:46 EDT 2024] Using CA: https://acme.zerossl.com/v2/DV90
[Tue Oct 29 01:40:46 EDT 2024] Single domain='domain.com'
[Tue Oct 29 01:41:08 EDT 2024] Getting webroot for domain='domain.com'
[Tue Oct 29 01:41:08 EDT 2024] Verifying: domain.com
[Tue Oct 29 01:41:16 EDT 2024] Processing. The CA is processing your order, please wait. (1/30)
[Tue Oct 29 01:41:26 EDT 2024] The retryafter=86400 value is too large (> 600), will not retry anymore.
[Tue Oct 29 01:41:26 EDT 2024] Please check log file for more details: /root/.acme.sh/acme.sh.log

出现上面这个错误马上去看 步骤3 的注意事项

[root@ggcjp-50003-103435-syjhhkgz .acme.sh]# ./acme.sh --issue -d domain.com --webroot /var/www/https/ 
[Tue Oct 29 01:53:10 EDT 2024] Using CA: https://acme-v02.api.letsencrypt.org/directory 
[Tue Oct 29 01:53:11 EDT 2024] Single domain='domain.com' 
[Tue Oct 29 01:53:31 EDT 2024] Getting webroot for domain='domain.com' 
[Tue Oct 29 01:53:31 EDT 2024] Verifying: domain.com 
[Tue Oct 29 01:53:37 EDT 2024] Pending. The CA is processing your order, please wait. (1/30)   
[Tue Oct 29 01:53:47 EDT 2024] domain.com: Invalid status. Verification error details: 202.144.194.35: Fetching http://domain.com/.well-known/acme-challenge/1qVEXINd1uTbWt6dgwua6xxuYpcbj2Ld5KenYkKiWC0: Connection refused 
[Tue Oct 29 01:53:47 EDT 2024] Please check log file for more details: /root/.acme.sh/acme.sh.log

这个是申请证书 CA 的问题，使用下面的命令切换默认 CA

 ./acme.sh --set-default-ca --server zerossl

CA

zerossl # 推荐使用，无限制
letsencrypt # 有申请限制

结~

免费·'永久'(自动续期)SSL 证书