SSL 证书部署入门：Let's Encrypt 免费证书申请与自动续期

浏览器地址栏没有小锁，客户就不敢下单；搜索引擎对 HTTP 站点也会区别对待。这篇用操作笔记式讲清楚 HTTPS 部署的完整链路：申请免费证书、配置到 Nginx、让续期全自动。

AI 操作示意图·以官网实际界面为准

1. 为什么 HTTPS 不再可有可无

• 安全：HTTP 明文传输，密码、支付信息可能被中间人截获；
• 信任：Chrome、Safari 等浏览器对纯 HTTP 页面直接标"不安全"；
• 接口要求：支付回调、开放平台回调等越来越多要求 HTTPS；
• 成本归零：Let's Encrypt 提供免费 TLS 证书，部署成本只剩配置时间。

2. Let's Encrypt 是什么

Let's Encrypt 是由非营利机构 Internet Security Research Group（ISRG）运营的免费证书颁发机构，已服务全球数百万站点。它的核心特点：

• 免费：颁发 TLS 证书不收费用；
• 自动化：证书有效期约 90 天，配合客户端可自动续期；
• 开放：任何持有域名控制权的人都能申请。

90 天短有效期不是坑，而是设计——强制你建立自动续期机制，避免证书过期事故。

3. 申请证书：Certbot + Nginx 集成

Certbot 是 EFF 推出的官方客户端，支持 Apache、Nginx 等多种软件。以 Nginx 为例的通用流程：

1. 确认域名已解析到服务器，且 80 端口可被外网访问；
2. 安装 Certbot（不同发行版安装命令不同，按 certbot.eff.org 指令生成器选你的系统和软件）；
3. 执行带 Nginx 集成的申请命令，Certbot 会自动改配置并重载：

   sudo certbot --nginx

4. 完成后证书会写入默认目录，同时生成续期配置。

如果你的站点是纯静态或不想让 Certbot 改配置，用 --certonly 只拿证书、自己写 Nginx 配置也行。

4. 两种验证方式怎么选

申请证书时 Certbot 要证明"你控制这个域名"：

• HTTP-01（默认）：Let's Encrypt 访问你域名 80 端口上的一个临时文件来验证。要求 80 端口公网可达，大部分场景够用；
• DNS-01：通过添加一条 TXT 记录验证域名控制权。不要求 80 端口可达，还能签通配符证书（*.example.com），但需要 DNS 服务商支持 API 自动改记录。

多数普通站点用 HTTP-01 即可；多子域名、或被防火墙挡掉 80 端口的场景，用 DNS-01。

AI 操作示意图·以官网实际界面为准

5. 自动续期：别让证书悄悄过期

证书有效期 90 天，手动续期会忘，所以必须自动化：

• Certbot 安装时一般会注册系统定时任务，自动检测并续期；
• 手动验证续期是否正常：

  sudo certbot renew --dry-run

• 续期成功后 nginx 会自动重载（取决于安装方式与配置），也可在续期钩子里加 systemctl reload nginx；
• 定期检查一下续期日志，确保没有静默失败。

记住：证书过期那一刻，HTTPS 站点会直接报错，比任何故障都显眼，所以"renew 跑通"比"申请成功"更重要。

6. 常见坑清单

• 80 端口被墙或未放行：HTTP-01 验证失败，改用 DNS-01；
• 多个域名混在一张证书：San 数量有限制，先小后大，域名多了拆开申请；
• 忘记续期配置：只手动申请过、没验证过 renew，一年后必然过期；
• 私钥权限过宽：证书目录权限应尽量收紧，只让 nginx 主进程可读；
• 不配置重定向：HTTPS 配好了但用户仍能走 HTTP，把 80 端口做 301 跳转到 443。

小结

给网站上 HTTPS 的完整闭环：域名解析到位 → 装 Certbot → 按验证方式申请证书 → 写进 Nginx → 跑通 renew --dry-run → 定期看一眼续期日志。命令细节以 certbot.eff.org 指令生成器为准，证书与密钥文件记得做好备份与权限控制。

官方资料

资料核对日期：2026-10-24

• Certbot 官网（EFF 官方客户端、指令生成器与验证方式说明）：https://certbot.eff.org/
• Let's Encrypt 官网（免费 TLS 证书、ISRG 非营利机构介绍）：https://letsencrypt.org/
• nginx 官方文档 Configuring HTTPS servers（443 监听、证书链与 SNI）：https://nginx.org/en/docs/http/configuring_https_servers.html