使用Let‘s Encrypt与Certbot为Nginx网站免费配置HTTPS及自动续期 1. 项目概述为什么你的网站必须上HTTPS最近在帮几个朋友部署个人博客和项目站点时我发现一个挺普遍的现象很多开发者尤其是刚入行的朋友对本地开发、后端逻辑、前端框架玩得很溜但一到要把项目部署上线面对“HTTPS”、“SSL证书”这些词就有点发怵总觉得是运维的活儿或者觉得申请证书很麻烦、很贵。结果就是一个功能完善的项目最后用一个“不安全”的HTTP协议裸奔在公网上。这就像你花大价钱装修了一套智能家居结果大门用的还是老旧的挂锁安全风险和心理上的不踏实感是实实在在的。其实给网站部署HTTPS在今天已经不是什么高深技术或奢侈配置了。它更像是一种“基础设施”是互联网应用的标配。从技术上讲HTTPS就是在HTTP协议的基础上加了一层SSL/TLS加密层。这个加密层主要干三件事加密传输防止数据在传输过程中被窃听、身份验证通过证书确认你访问的就是“真正的”那个网站而不是钓鱼网站、数据完整性保护确保数据在传输过程中没有被篡改。对于用户来说最直观的感受就是浏览器地址栏里那个小锁图标以及“https://”开头的网址。那为什么非得用Let‘s Encrypt呢简单说因为它把这三件事里的“身份验证”环节从一件昂贵、繁琐的行政流程变成了一项免费、自动化的公共服务。在它出现之前商业证书动辄每年几百上千元申请流程还需要提交各种企业资质文件对于个人开发者、小团队或者开源项目来说是个不小的门槛。Let‘s Encrypt的出现彻底改变了这个局面。它通过一套名为ACME的自动化协议让你用几条命令就能完成域名验证、证书申请、安装和续期的全过程。现在它已经为全球超过7亿个网站提供证书成为了互联网基础安全设施中不可或缺的一环。所以无论你是要部署一个展示个人作品的技术博客还是一个有用户登录、支付功能的小型应用配置HTTPS都是上线前必须完成的关键一步。接下来我就以一个典型的Nginx Ubuntu Server环境为例带你从头到尾走一遍用Let‘s Encrypt的Certbot工具为你的域名配置HTTPS并设置自动续期的完整流程。我会把每个步骤背后的原理、可能遇到的坑以及我的实操心得都讲清楚让你不仅能“照着做”更能“懂得为什么这么做”。2. 核心原理与工具选型ACME协议与Certbot在动手敲命令之前我们有必要花几分钟了解一下背后的核心机制。这能帮助你在出问题时知道该从哪里排查而不是盲目地重试。2.1 ACME协议自动化证书管理的基石Let‘s Encrypt实现免费和自动化的核心是一个叫做ACME的协议。ACME全称是Automated Certificate Management Environment你可以把它理解为一套标准化的“机器人流程”。它定义了证书颁发机构CA也就是Let‘s Encrypt和你的服务器ACME客户端之间如何进行自动化的通信以完成域名所有权验证、证书申请、签发和续期。整个过程的核心挑战在于如何向CA证明“你确实拥有这个域名”ACME协议主要提供了两种验证方式HTTP-01挑战这是最常用、最直接的方式。CA服务器会给你一个随机的令牌token和一个对应的密钥指纹。你的ACME客户端需要在你的Web服务器上创建一个特定的URL例如http://你的域名/.well-known/acme-challenge/token并将密钥指纹作为这个URL的访问内容。随后Let‘s Encrypt的服务器会尝试通过HTTP访问这个URL。如果能成功获取到正确的密钥指纹就证明你对该域名的Web服务有控制权从而通过验证。DNS-01挑战这种方式不依赖Web服务器。CA会给你一个特定的值你需要在你域名的DNS解析商那里为域名添加一条特定的TXT记录。Let‘s Encrypt的服务器会查询这条DNS记录如果匹配则通过验证。这种方式特别适合那些没有运行Web服务器比如邮件服务器或者Web服务器不方便临时配置的情况。我们本次实操将主要使用HTTP-01挑战因为它对大多数Web场景最友好Certbot也能自动帮我们完成在Nginx上的临时配置。2.2 为什么选择CertbotACME协议是标准而Certbot则是这个协议最流行、最成熟的客户端实现之一由EFF电子前哨基金会维护。它就像一个全自动的证书管理机器人优点非常明显高度自动化对于Nginx/Apache等主流Web服务器Certbot可以自动检测配置、修改配置、安装证书、重载服务几乎一键完成。生态友好与Let‘s Encrypt服务端兼容性最好文档也最全。续期无忧内置的定时任务可以自动检查证书有效期Let‘s Encrypt证书只有90天并在到期前自动续期彻底解放双手。当然除了Certbot也有其他优秀的ACME客户端比如acme.sh一个纯Shell脚本编写的客户端非常轻量依赖极少适合嵌入式设备或追求最小化安装的环境。Caddy一个现代化的Web服务器其最大特色就是内置了ACME客户端配置HTTPS只需一行代码。对于绝大多数使用Nginx或Apache的Linux服务器环境Certbot仍然是首选它的自动化程度最高社区支持也最广。2.3 环境准备清单在开始之前请确保你已经准备好以下条件这能避免很多后续的麻烦一台拥有公网IP的服务器云服务器如阿里云ECS、腾讯云CVM或自有服务器均可。系统以Ubuntu 20.04/22.04 LTS或CentOS 7/8为例本文命令以Ubuntu为准CentOS会有少量差异主要是包管理器yum和systemctl服务名。一个已解析的域名你需要拥有一个域名例如example.com并且已经将该域名的A记录解析到你服务器的公网IP地址。重要解析生效需要时间TTL通常几分钟到几小时不等请务必提前操作并确认ping yourdomain.com能返回你的服务器IP。服务器权限你需要以root用户或具有sudo权限的用户登录服务器。开放的80和443端口Let‘s Encrypt的HTTP-01挑战需要通过80端口访问你的服务器。确保服务器的防火墙如ufw或iptables和安全组云服务器控制台设置已经放行了**80HTTP和443HTTPS**端口。# 以Ubuntu的ufw为例检查并开放端口 sudo ufw status sudo ufw allow 80/tcp sudo ufw allow 443/tcp sudo ufw reload正在运行的Web服务器我们以Nginx为例。你需要先安装并启动Nginx确保通过HTTP能正常访问到你的网站哪怕只是一个默认的欢迎页面。这是因为Certbot在验证时需要能访问到你服务器上的特定临时文件。实操心得很多新手卡在第一步就是因为域名解析没生效或者防火墙端口没开。一个简单的测试方法是在本地电脑用浏览器直接访问http://你的服务器公网IP看看能否看到Nginx的默认页面再访问http://你的域名看是否显示同样的内容。如果IP通但域名不通就是DNS问题如果都不通就是服务器Web服务或防火墙问题。3. 逐步实操从安装到配置自动化续期假设你的域名是myawesome.site服务器是全新的Ubuntu 22.04已经完成了基础的系统更新。3.1 步骤一安装Nginx与Certbot首先我们安装Web服务器和证书管理工具。# 更新软件包列表 sudo apt update # 安装Nginx sudo apt install nginx -y # 启动Nginx并设置开机自启 sudo systemctl start nginx sudo systemctl enable nginx # 安装Certbot及其Nginx插件 # snap是Ubuntu推荐的软件包管理方式Certbot官方也推荐通过snap安装以获得最新版本和自动更新 sudo snap install --classic certbot # 创建软链接方便直接使用certbot命令 sudo ln -s /snap/bin/certbot /usr/bin/certbot安装完成后可以先访问你的服务器IP或域名应该能看到Nginx的欢迎页面确认Web服务运行正常。3.2 步骤二使用Certbot获取并自动配置证书这是最核心的一步。Certbot提供了--nginx参数它能自动读取你Nginx中现有的虚拟主机server block配置并交互式地帮你完成所有工作。sudo certbot --nginx运行这个命令后你会进入一个交互式命令行界面输入邮箱首先会提示你输入一个邮箱地址。这个邮箱用于接收证书到期前的续期提醒以及Let‘s Encrypt的重要通知如服务条款更新。务必使用一个你能长期访问的有效邮箱。同意服务条款输入A或直接回车同意。订阅邮件可选询问是否愿意接收EFF的新闻邮件根据个人意愿选择Y或N。选择域名Certbot会自动扫描Nginx配置中发现的域名。它会列出所有找到的域名比如myawesome.site和www.myawesome.site让你用空格键选择要为哪些域名申请证书。通常建议同时选中裸域名和www子域名。自动配置选择完毕后Certbot会开始执行联系Let‘s Encrypt的服务器发起证书申请。自动为你的域名配置HTTP-01挑战临时修改Nginx配置在.well-known/acme-challenge/路径下提供验证文件。Let‘s Encrypt服务器访问该验证文件确认域名控制权。验证通过后下载生成的SSL证书和私钥通常存放在/etc/letsencrypt/live/你的域名/目录下。自动修改你的Nginx配置文件添加SSL相关的配置并将HTTP80端口的请求重定向到HTTPS443端口。整个过程如果顺利最后你会看到类似这样的成功信息Congratulations! Your certificate and chain have been saved at: /etc/letsencrypt/live/myawesome.site/fullchain.pem /etc/letsencrypt/live/myawesome.site/privkey.pem Your certificate will expire on 2025-08-01. To obtain a new or tweaked version of this certificate in the future, simply run certbot again with the certonly option. To non-interactively renew *all* of your certificates, run certbot renew关键文件说明fullchain.pem这是你的证书链包含你的站点证书和中间CA证书Nginx配置中ssl_certificate指令指向它。privkey.pem这是你的私钥必须严格保密Nginx配置中ssl_certificate_key指令指向它。cert.pem和chain.pem分别是你的站点证书和中间CA证书通常直接使用fullchain.pem更省事。此时你的Nginx配置文件通常是/etc/nginx/sites-available/default已经被Certbot修改。它主要做了两件事在原有的80端口server块中添加了return 301 https://$host$request_uri;这行实现HTTP到HTTPS的强制跳转。新增了一个监听443端口的server块里面配置了ssl_certificate和ssl_certificate_key指向刚才生成的证书文件并开启了SSL协议。现在你可以立即打开浏览器访问https://myawesome.site应该能看到小锁标志和“连接是安全的”提示。3.3 步骤三验证证书与自动续期配置证书装好了但事情还没完。Let‘s Encrypt的证书有效期只有90天这是为了安全最佳实践缩短密钥泄露后的影响时间。手动续期是不可接受的我们必须配置自动化。幸运的是Certbot在安装时已经为我们创建了一个系统定时任务cron job或systemd timer。你可以通过以下命令查看续期任务的状态# 查看Certbot的定时服务状态systemd系统 sudo systemctl status certbot.timer # 或者列出系统的定时任务查看是否有certbot renew sudo crontab -l | grep certbot通常这个定时任务会每天随机运行两次但只有在证书到期前30天内执行certbot renew命令时才会真正进行续期操作。你可以手动模拟续期测试确保流程畅通# 使用 --dry-run 参数进行测试续期不会真的申请新证书 sudo certbot renew --dry-run如果看到 “The dry run was successful.” 的提示说明你的自动续期配置完全正确未来可以高枕无忧。注意事项自动续期成功的一个关键前提是你的Web服务器在续期时80或443端口必须能被Let‘s Encrypt的服务器访问到以完成挑战验证。如果你的服务器防火墙策略后续有变更一定要确保这一点。另外续期操作会重新验证域名所有权如果域名解析失效续期也会失败。3.4 步骤四优化SSL/TLS配置进阶Certbot提供的默认配置是安全的但我们可以进一步优化提升安全性和性能。编辑你的Nginx的SSL server块通常在/etc/nginx/sites-available/default或独立的SSL配置文件中。找到类似下面的配置部分我们可以进行增强server { listen 443 ssl http2; # 启用HTTP/2提升性能 server_name myawesome.site www.myawesome.site; ssl_certificate /etc/letsencrypt/live/myawesome.site/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/myawesome.site/privkey.pem; # 以下是可选的优化配置 # 1. 启用更安全的SSL协议禁用不安全的旧协议 ssl_protocols TLSv1.2 TLSv1.3; # 2. 配置优先使用的加密套件提供前向安全性 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; # 3. 启用SSL会话缓存减少TLS握手开销 ssl_session_cache shared:SSL:10m; ssl_session_timeout 10m; # 4. 启用OCSP Stapling提高TLS握手速度并增强隐私 ssl_stapling on; ssl_stapling_verify on; # 需要配置一个可用的DNS解析器通常在nginx.conf的http块中已有 # resolver 8.8.8.8 8.8.4.4 valid300s; # ... 你的其他配置如root, index, location等 }修改配置后务必测试Nginx配置语法并重载服务sudo nginx -t # 测试配置看到 syntax is ok 和 test is successful sudo systemctl reload nginx # 平滑重载配置不影响在线服务4. 常见问题与排查技巧实录即使流程再自动化在实际操作中还是会遇到各种“坑”。下面是我总结的几个最常见的问题及解决方法。4.1 问题一Certbot执行时报错 “Failed to connect to host for DVSNI challenge”错误分析这通常意味着Let‘s Encrypt的服务器无法通过HTTP80端口访问到你的服务器来完成域名验证。排查步骤检查域名解析在服务器上或使用dig、nslookup命令确认你的域名是否正确解析到了服务器公网IP。ping yourdomain.com看IP是否正确。检查防火墙确保服务器本机的防火墙如ufw和云服务商的安全组规则都允许来自任意IP0.0.0.0/0的80端口入站流量。sudo ufw status verbose检查Nginx是否运行并监听80端口sudo systemctl status nginx sudo netstat -tulpn | grep :80如果Nginx没运行启动它。如果80端口被其他程序占用需要解决冲突。检查服务器是否在NAT或代理之后如果你的服务器在一个内网通过路由器端口映射或云负载均衡器对外提供服务你需要确保80端口的映射是正确的并且流量能到达运行Certbot的这台机器。4.2 问题二访问HTTPS网站显示“不安全”或证书错误错误分析浏览器提示不安全可能的原因有几种。排查步骤证书域名不匹配确保证书是为当前访问的域名申请的。比如你为www.example.com申请了证书但直接访问example.com就会报错。解决方法是在申请证书时同时选中两个域名或者在Nginx配置中将裸域名重定向到www子域名或反之。证书链不完整极少数情况下某些旧设备或中间代理可能无法自动获取中间证书。确保Nginx配置中ssl_certificate指向的是fullchain.pem包含链而不是cert.pem。系统时间不同步HTTPS证书具有严格的有效期。如果服务器或客户端的时间偏差太大比如超过几天会被视为证书无效。使用date命令检查服务器时间并用sudo timedatectl set-ntp true启用NTP时间同步。4.3 问题三自动续期renew失败错误分析这是最需要关注的问题因为会导致证书过期网站无法访问。排查步骤手动测试续期运行sudo certbot renew --dry-run查看具体报错信息。错误信息通常会明确指出原因如验证失败、权限不足等。检查验证路径可访问性续期同样需要完成HTTP-01或DNS-01挑战。确保在续期时.well-known/acme-challenge/这个临时目录能被外界通过HTTP访问到。有时因为网站配置了重写规则如WordPress的固定链接可能会意外拦截对这个路径的访问。你可以在续期测试期间手动构造一个URL测试一下。检查Certbot的定时任务确认certbot renew命令被正确添加到cron或systemd timer中并且有执行权限。可以查看日志sudo journalctl -u certbot.service # 查看certbot服务日志 sudo grep certbot /var/log/syslog # 在syslog中搜索相关记录证书文件权限问题/etc/letsencrypt/目录和其中的文件权限非常关键。不要随意修改其所有权或权限。如果因为误操作导致续期时无法读取私钥或写入新证书也会失败。标准的权限应由root:root拥有。4.4 问题四Nginx配置SSL后重启报错错误分析修改Nginx配置后执行nginx -t测试失败或systemctl reload nginx失败。排查步骤仔细阅读错误信息Nginx的错误提示通常很明确会指出哪一行、哪个指令有问题。常见错误包括语法错误少分号、括号、文件路径错误证书或私钥文件不存在、端口冲突等。检查文件路径确认ssl_certificate和ssl_certificate_key指令指向的.pem文件路径完全正确且Nginx进程用户通常是www-data或nginx有读取权限。sudo ls -la /etc/letsencrypt/live/yourdomain/ sudo nginx -T | grep ssl_certificate # 查看实际加载的配置检查监听端口确认没有其他程序占用了443端口。sudo netstat -tulpn | grep :4434.5 多域名与通配符证书申请如果你的一个站点有多个域名例如主站、博客、API子域名或者你想使用通配符证书*.example.comCertbot也能处理。多域名证书在运行sudo certbot --nginx时在选择域名的步骤用空格键选中所有需要的域名即可。Certbot会生成一张包含所有选中域名的SAN主题备用名称证书。通配符证书通配符证书*.example.com可以保护该域名下的所有子域名。重要通配符证书必须使用DNS-01挑战方式因为HTTP-01挑战无法证明你对所有子域名的控制权。申请命令类似sudo certbot certonly --manual --preferred-challenges dns -d *.example.com -d example.com执行后Certbot会提示你在DNS管理面板为_acme-challenge.example.com添加一条特定的TXT记录。添加并等待DNS生效可能需要几分钟到几小时后回车继续。这种方式无法全自动因为Certbot无法自动操作你的DNS提供商。但有些DNS提供商如Cloudflare, AWS Route53有API可以通过Certbot的插件实现自动化这需要额外配置。5. 配置备份与监控告警一切配置妥当后还有两件重要的事备份和监控。配置备份将/etc/letsencrypt/目录和你的Nginx站点配置文件定期备份是良好的运维习惯。如果服务器需要迁移这些文件是关键。证书过期监控虽然Certbot会自动续期但总有意外比如服务器宕机、网络故障、配置错误。建议设置一个简单的监控在证书到期前比如14天提醒你。有很多开源工具如certbot本身有--renew-hook可以触发告警脚本或者使用第三方监控服务如UptimeRobot, Prometheus with blackbox_exporter来定期检查你网站的证书有效期。一个简单的Shell脚本检查示例可以放入cron每周运行#!/bin/bash DOMAINmyawesome.site EXPIRY_DATE$(echo | openssl s_client -servername $DOMAIN -connect $DOMAIN:443 2/dev/null | openssl x509 -noout -enddate | cut -d -f2) EXPIRY_SECONDS$(date -d $EXPIRY_DATE %s) CURRENT_SECONDS$(date %s) DAYS_LEFT$(( (EXPIRY_SECONDS - CURRENT_SECONDS) / 86400 )) if [ $DAYS_LEFT -lt 14 ]; then echo 警告: $DOMAIN 的SSL证书将在 $DAYS_LEFT 天后过期 | mail -s 证书过期警告 your-emailexample.com fi最后我想说的是给网站部署HTTPS在今天已经是一项基本技能。通过Let‘s Encrypt和Certbot这个过程变得极其简单且免费。花上半小时按照上面的步骤操作一遍你就能为你的网站筑起一道基础的安全防线同时也能给用户更专业的印象。更重要的是你理解了背后的ACME协议、证书验证原理和自动化续期机制以后再遇到相关问题你就能从容应对而不是只能搜索“证书过期了怎么办”。