网站 HTTPS 与 SSL 证书配置指南：Let's Encrypt 免费证书与自动续期

先说结论

给网站加 HTTPS 现在基本是标配：浏览器地址栏的锁、访问加密、搜索收录信任度都与证书有关。最省心的路线有两条——用 Certbot 给现有 Nginx/Apache 站点自动签发并配好续期，或者直接换 Caddy 这类默认自动 HTTPS 的服务器。对绝大多数个人站和中小站点，Let's Encrypt 免费证书完全够用，不需要花钱买证书。

为什么需要 HTTPS

HTTPS 挂锁与证书示意 AI 操作示意图·以实际浏览器界面为准

传输加密：HTTPS 用 TLS 证书对浏览器与服务器之间的通信加密，避免内容在网络上被明文读取或篡改，登录表单、支付页面尤其关键；
身份信任：证书由证书颁发机构（CA）签发，浏览器据此确认你确实控制该域名；
收录与体验：主流搜索引擎与浏览器对 HTTPS 站点更友好，部分浏览器对纯 HTTP 页面直接提示"不安全"。

准备工作

1. 域名解析到位 把域名的 A 记录指向服务器 IP，并确认通过 http://你的域名已能访问站点（Certbot 的 HTTP 验证要求站点在 80 端口可访问，这是官网明确的前提条件）。

2. 开放端口 HTTPS 走 443 端口，HTTP 走 80 端口。确认服务器防火墙（以及云厂商安全组）放行这两个端口，否则证书申请或站点访问都会失败。

3. 准备 SSH 访问 证书签发与配置大多在服务器命令行完成，需要能通过 SSH 登录服务器并具有 sudo 权限。

方案一：Certbot 自动签发（推荐）

安装-申请-自动续期三步 AI 操作示意图·以官方文档为准

Certbot 是 EFF 出品的命令行工具，官网提供了按服务器软件与系统生成指令的工具：选好 Nginx 或 Apache、选好系统，即可拿到对应安装与签发命令。

签发证书：安装 Certbot 后，在站点已能通过 80 端口访问的前提下，运行 certbot --nginx（Nginx 站点）或 certbot --apache（Apache 站点），Certbot 会自动完成验证、签发并把 HTTPS 配置写进站点配置文件。没有现成站点时可用 --standalone 模式，但需要确认 80 端口未被占用、防火墙放行。

配置自动续期：Let's Encrypt 证书有效期约 90 天，必须定期续期。Certbot 安装后通常会自带续期定时器；手动验证续期可运行 certbot renew --dry-run 测试，正式续期命令为 certbot renew。建议把续期命令做成定时任务（如 systemd timer 或 cron）每天执行一次，证书将到期时自动续上，无需人工干预。

通配符证书：需要 *.example.com 这类通配符证书时，Certbot 官方要求使用 DNS 验证——需要 DNS 服务商的 API 凭证，由 Certbot 自动添加 DNS TXT 记录完成验证。通配符证书不覆盖裸域 example.com 本身，需单独包含。

方案二：Caddy 自动 HTTPS（最省心）

Caddy 是自带自动 HTTPS 的 Web 服务器：默认就会为配置中的域名自动获取并续期 TLS 证书，用户无需手动跑 Certbot 或写续期脚本。它还支持 On-Demand TLS（在握手时为自定义域名动态签发证书）、自动 OCSP stapling（证书状态快速缓存）。如果你在搭建新站或愿意迁移，Caddy 一条配置即可获得"证书永远自动续期"的体验。