title: 生成免费且支持泛域名的的SSL证书
date: 2020-06-23 15:33:08.0
updated: 2020-06-24 18:25:31.0
url: https://www.ufec.cn/archives/acme-free-ssl.html
thumbnail: https://ghproxy.com/https://raw.githubusercontent.com/ufec/picGoImg/main/blog/6276462b84dbf1a17105d26bac1e7e53.webp
categories:
- 日常
tags:
- SSL
使用 acme 为域名生成免费的通配符 SSL
安装acme.sh
curl https://get.acme.sh | sh
# 创建命令快捷方式
alias acme.sh=~/.acme.sh/acme.sh生成证书
HTTP 方式
使用的 apache 或 nginx
acme.sh --issue -d mydomain.com --apache/nginx会自动读取配置来验证域名
没有使用这些服务器软件
acme.sh --issue -d mydomain.com -d www.mydomain.com --webroot /home/wwwroot/mydomain.com/需要指定域名, 并指定域名所在的网站根目录. acme.sh 会全自动的生成验证文件, 并放到网站的根目录, 然后自动完成验证. 最后会聪明的删除验证文件
DNS 方式
这种方式的好处是, 你不需要任何服务器, 不需要任何公网 ip, 只需要 dns 的解析记录即可完成验证. 坏处是，如果不同时配置 Automatic DNS API，使用这种方式 acme.sh 将无法自动更新证书，每次都需要手动再次重新解析验证域名所有权。
acme.sh --issue --dns -d mydomain.com然后, acme.sh 会生成相应的解析记录显示出来, 你只需要在你的域名管理面板中添加这条 txt 记录即可.等待解析完成之后, 重新生成证书:
acme.sh --renew -d mydomain.com也可以使用域名解析商提供的 api 来实现，并且能自动更新
这里以DNSPOD为例，打开密钥管理，密钥只会显示一次，不记得只能重新创建，创建完成记得保存
export DP_Id="your api id"
export DP_Key="your api token"
acme.sh --issue --dns dns_dp -d aa.com -d www.aa.com
#以上信息自行替换
#生成通配符SSL
acme.sh --issue --dns dns_dp -d aa.com -d *.aa.com这一步的过程就类似于在站长平台提交网站时，要验证域名所有者，推荐使用 API 的方式来部署，简单快捷
这里以本站域名作为示范
这样的话基本就可以
安装证书
默认生成的证书都放在安装目录下: ~/.acme.sh/, 请不要直接使用此目录下的文件, 例如: 不要直接让 nginx/apache 的配置文件使用这下面的文件. 这里面的文件都是内部使用, 而且目录结构可能会变化.
正确的使用方法是使用 --install-cert 命令,并指定目标位置, 然后证书文件会被 copy 到相应的位置, 例如:
Apache example:
acme.sh --install-cert -d example.com \
--cert-file /path/to/certfile/in/apache/cert.pem \
--key-file /path/to/keyfile/in/apache/key.pem \
--fullchain-file /path/to/fullchain/certfile/apache/fullchain.pem \
--reloadcmd "service apache2 force-reload"Nginx example:
acme.sh --install-cert -d example.com \
--key-file /path/to/keyfile/in/nginx/key.pem \
--fullchain-file /path/to/fullchain/nginx/cert.pem \
--reloadcmd "service nginx force-reload"宝塔的话直接就可以复制证书内容，生成证书，并被存在证书夹里，根域名的任何子域名(二级域名，不支持大于二级以上的域名)都可以一键部署，很方便的。
宝塔操作示例
#创建文件夹
mkdir /www/server/panel/vhost/cert/www.yourdomain.com
#制作证书
acme.sh --install-cert -d yourdomain.com -d www.yourdomain.com \
--key-file "/www/server/panel/vhost/cert/www.yourdomain.com/privkey.pem" \
--fullchain-file "/www/server/panel/vhost/cert/www.yourdomain.com/fullchain.pem" \
--reloadcmd "service nginx force-reload"
#将www.yourdomain.com换成你的域名(多个域名就要写多次，这里用宝塔的话还是推荐手动复制到ssl配置里，可以生成通配符证书夹，其他子域名直接点部署即可，更加方便)宝塔效果
更新证书
目前证书在 60 天以后会自动更新, 你无需任何操作. 今后有可能会缩短这个时间, 不过都是自动的, 你不用关心.
更新 acme.sh
目前由于 acme 协议和 letsencrypt CA 都在频繁的更新, 因此 acme.sh 也经常更新以保持同步.
升级 acme.sh 到最新版 :
acme.sh --upgrade如果你不想手动升级, 可以开启自动升级:
acme.sh --upgrade --auto-upgrade之后, acme.sh 就会自动保持更新了.
你也可以随时关闭自动更新:
acme.sh --upgrade --auto-upgrade 0出错怎么办
如果出错, 请添加 debug log：
acme.sh --issue ..... --debug或者：
acme.sh --issue ..... --debug 2请参考： https://github.com/Neilpang/acme.sh/wiki/How-to-debug-acme.sh
最后, 本文并非完全的使用说明, 还有很多高级的功能, 更高级的用法请参看其他 wiki 页面.
https://github.com/Neilpang/acme.sh/wiki
证书检测
查看本站在又拍云的检测结果，跟免费单域名的 SSL 证书一样，在其他平台的需要手动续签，宝塔的需要实名认证，而这个支持泛域名，还能自动续签，一个字：香！
其他
还有一个网站也能免费生成通配符 SSL，但那个在又拍云检测结果是 B，不如这个，就不推荐了。
可以配合又拍云的 CDN 还是很不错的，又拍云联盟的活动也很可
