用acme.sh帮你免费且自动更新的HTTPS证书，省时又省力

一直想更新一下https，最近刚好有点空，就实现了一下。

之前看过一篇教你快速撸一个免费HTTPS证书的文章，通过Certbot来管理Let's Encrypt的证书，使用前需要安装一堆库，觉得不太友好。所谓条条大路通罗马，肯定还有其他方法可以做这个事情。

经过一番研究oneinstack的内部，也发现了oneinstack使用 acme.sh 这个库，这个是用Shell脚本编写的，不需要安装其他东西，比较纯净，觉得比较适合自己，记录一下过程。

HTTPS 加密通信挺重要的，之前也听说过 MITM（中间人攻击），不过这还是第一次听说证书被劫持的……

怎么说好呢，应该可以说网络上不能保证绝对安全吧，或者说绝对安全是不存在的。

想起来之前搭建的一个服务还没上 HTTPS，然而想不起来之前是怎么配置 SSL 证书的了，然后又得去找资料烦死了，于是这回顺便来记录一下好了啦。（摊手

通过 Let’s encrypt 可以获得 90 天免费且可续期的 SSL 证书，而利用 acme.sh 可以自动生成和更新，就来介绍一下配置的过程吧。

下面的内容涉及 acme.sh 的安装，证书的签发及认证，如何安装到 nginx，以及自动更新证书、更新 acme.sh 等。

bash

或者

bash

执行上面的命令，它会：

安装完成后要自行重启命令行，或者重新加载一下.bashrc文件（source ~/.bashrc）。

然后看一下有没有生效。

bash

签发 SSL 证书需要证明这个域名是属于你的，即域名所有权，一般有两种方式验证：http 和 dns 验证。

通过 acme.sh 可以签发单域名、多域名、泛域名证书，还可以签发 ECC 证书。为了简单起见，这里以单域名证书为例，后面再拓展一下好了。

下面任意一种方式只要安装成功了就行！

注意：这一步只是生成了证书，并没有进行配置，因此访问网站当然上不了 https。

这种方式 acme.sh 会自动在你的网站根目录下放置一个文件，来验证你的域名所有权，验证之后就签发证书，最后会自动删除验证文件。

前提是要绑定的域名已经绑定到了所在服务器上，且可以通过公网进行访问！

2.1.1 Webroot mode

假设服务器在运行着的，网站域名为 example.com，根目录为 /home/wwwroot/example.com。那么只需要执行下面这条语句就行。

bash

2.1.2 Apache / Nginx mode

如果用的是 Apache 或者 Nginx 服务器，可以自动寻找配置文件来进行签发。

bash

如果找不到配置文件的话可以自行配置。

bash

2.1.3 Standalone mode

这种方式下，acme.sh 会自己建立一个服务器来完成签发。主要适合的是没有建立服务器的情况，不过其实有服务器的话只要暂时关闭，不造成端口冲突就能使用。

http 模式，80端口：

bash

如果用了反代之类的不是 80 端口，则可以手动指定。

bash

当然它还支持 tls 模式，不是 443 端口的话也可以自行指定。

bash

这种方式下，不需要任何服务器，不需要任何公网 ip，只需要 dns 的解析记录即可完成验证。

比如说服务器不能直接公网访问，以及某些 VPS 直接绑定域名没备案的话是上不去的，就需要采用这种方案了。（我的就是了

当然，手里有域名只是想生成一个证书而已也可以这么用。

2.2.1 DNS API mode

这种方式贼强大，直接可以利用域名服务商提供的 API 就可以自动帮你添加 TXT 记录完成验证和证书签发。而且60天后还可以自动完成续期。（我就是用这种方式实现哒~

比如说 CloudFlare 的，在这里获取你的API Key。可以用全局 API Key，将参数导入到命令行。

bash

为了限制权限，可以新建一个区域的 API Key. 这里只需要 Zone.DNS 的编辑权限（restrict the API Token only for write access to Zone.DNS for a single domain）就行。

bash

Account_ID 和 Zone_ID 在域名的管理页面右下方可以得到。

而后再签发证书。

bash

之后这些配置信息会保存到 ~/.acme.sh/account.conf 这个文件里，在证书续期或者其他利用 CF 进行验证的时候会自动调用。

当然，国内一般用的是 DNSPod，也提供了 API，类似配置就好了。

bash

（这个其实就是多域名签发了）

更多例子参考官方 Wiki 好了→ How to use DNS API

2.2.2 DNS manual mode

适合域名服务商没有提供 API 的情况，需要自己在域名配置一个 TXT 记录，且不能自动续期，每次都需要重新配置。

bash

更多请参考官方教程 DNS manual mode。

2.2.3 DNS alias mode

如果域名服务商没有提供 API，或者是一个挺重要的域名，为了安全不希望或者不方便直接配置这个域名的解析记录，可以通过另一个没那么重要的域名（可能是专门用来签发证书的）间接进行配置。

实际上还是需要有一个域名来验证所有权啦！

更多参考官方教程 DNS alias mode 好了。

多个域名签发同一张证书。只需要在验证方式之后添加多个 -d 参数就行。

bash

也可以多个域名指定不同的验证方式，例如

bash

Wildcard certificates

同理，只需要加个*就好。不过好像只适用于 DNS 验证的方式。

bash

默认签发的都是基于 RSA 密钥加密的证书，而 ECC (Elliptic Curve Cryptography, 椭圆曲线密码) 密钥的保密性比 RSA 更好，密钥长度更短，更能对抗量子解密等，目前现代的操作系统和浏览器都支持 ECC 证书了（Windows XP 及其之前的就算了）。

Let's Encrypt 提供了 ECDSA 证书的签发，且 acme.sh 也支持。

我看网上的教程基本没讲 ECC 证书的签发，这里就来整一下呗！

其实只需要加上一个以 ec- 为前缀的 --keylength 参数（或 -k）就可以了。理论上上面的各种验证方式都适用。

比如

bash

支持以下长度的证书，一般就用 ec-256 就行了。

签发证书成功后，需要把证书安装或者复制到真正需要的地方，如 nginx / apache 的目录下。

官方说必须用下面的命令来安装证书，不能直接用 ~/.acme.sh/目录下的证书文件，因为那只能内部使用，且未来目录结构可能会更改。

我们只需要使用 --installcert 命令，指定目标位置，然后证书文件就会被 copy 到相应的位置了。

其中域名是必须的，其他参数是可选的。

有必要的话，可能需要对证书文件的所属权限进行一些设置。（我这边没有问题呢，就略了吧）

bash

比如你可以在 nginx 的目录下新建一个 ssl 目录，然后把证书安装 / copy 过去。

bash

bash

在命令中的 reloadcmd 参数很重要！ 这个用来指定证书更新（Renew）后执行的命令，从而使续期后的证书生效。

默认 60 天就会续期一次，上面这些参数会记录下来并自动执行。非常方便

bash

这一步是为了增强 SSL 的安全性。这里生成一个更强壮的 DHE 参数。

更多参考这里 Guide to Deploying Diffie-Hellman for TLS 吧。

没用过 Apache，这里只说 Nginx 好了。（其实也不怎么会用（小声bb

修改网站的 conf 配置文件，加入 SSL 的相关配置。

nginx

ssl_dhparam /etc/nginx/ssl/dhparam.pem; 是在 0x04 步骤中生成的，可选。

ssl_ciphers用于指定加密套件，这里采用的是 CloudFlare 家的，具体也不是很清楚 emmm。可以参考一下 Mozilla 的 Wiki：Security/Server Side TLS

更多参数可以参考 nginx 的文档：Module ngx_http_ssl_module

现在很多网站都上 TLSv1.3 了，证书检测的网站对于 TLSv1、TLSv1.1 都认为不安全了，Firefox 自 74.0 版本开始也完全放弃对加密协议 TLS 1.0 和 TLS 1.1 的支持了。

对于 TLSv1.3 的配置，需要安装最新版的 openssl（OpenSSL 1.1.1 built with TLSv1.3或更高），而后重新编译 nginx，是有点麻烦这里懒得弄了，后面需要再折腾吧。

当然，为了更加安全，可以选择开启 HSTS（HTTP Strict Transport Security，HTTP严格传输安全协议），强制浏览器通过 https 进行访问。需要在 location 下的设置中加入一个 header。

nginx

接下来的一年（即31536000秒）中，浏览器看到 header 中包含 Strict-Transport-Security 的话就会自动切换到 https。

但是在首次访问网站时如果被劫持了，浏览器还是可能会通过 HTTP 明文传递信息。为此，Chrome 维护了一个 HSTS preload list，内置在浏览器中，对于 Chrome, Firefox, Opera, Safari, IE 11 and Edge 等主流浏览器也适用。可以在这里提交你的域名到这个列表里。（不过提交之前要考虑好，全站上 https 噢

如果 TLS 证书无效或不可信，用户不能忽略浏览器警告继续访问网站。这就是前几天访问 GitHub (Pages) 等网站被拦下来的原因了。

上面的配置完成后检查一下配置是否正确，而后重启 nginx。

bash

之后就可以试一下能不能通过 https 来访问自己的网站啦！

到这里 SSL 配置就告一段落了，下面是一些 acme.sh 的维护相关的了。

证书的有效期为 90 天，acme.sh 会 60 天更新（Renew）一次。

在安装 acme.sh 的时候就自动配置了一条 cron 任务了，会每天检查证书的情况。当然可以到 crontab 里看一下。

bash

也可以试着用上面这条命令执行看一下相关的配置是否正确。

强制更新可以这样。

bash

查看证书列表

bash

停止 Renew

bash

之后手动把目录下的证书移除就行。

bash

除了上面这些配置之外，acme.sh 还提供了通知提醒，可以调用其他 API 来推送提醒，具体参考官方Wiki：notify。

总之感觉这个工具还是很实用的，大大降低了 SSL 配置的门槛呢。

草（一种植物），感觉我把官方的教程翻译了，然后又找了一些其他的资料整合起来了的亚子emmm。不过大部分还是自己手码的字啦！

实际上我这次配置的是 ECC 密钥的泛域名证书，用的是 DNS API 的模式。其实几个月前就折腾过 SSL 证书的配置了，然而过了就忘了，当时先是用 HTTP 模式进行验证，发现行不通才换的 DNS 模式。这次干脆一起理一遍好了，过程中发现原来 HTTP 模式验证比我想的还要强大，只是需求（主要是需要泛域名证书）对不上罢了。

怎么说好呢，绝对安全不大可能，都是想方设法尽可能相对安全一些呢。

希望这一篇不会浪费您的宝贵时间呢，有用的话欢迎给我买点好吃的/buy me a coffee（饿了喵

溜了溜了（

下面有的是官方文档，有的是博客之类的，由于时效性有些内容可能不适用了。注意一下就吼。