通过acme.sh脚本配合Let’s Encrypt证书，配合定时任务可实现HTTPS证书的自动续期，彻底解决证书过期导致的安全警告，实现站点永久免费使用HTTPS。
在Web安全日益重要的今天，HTTPS已不再是可选配置，而是搜索引擎排名和用户体验的硬性指标，许多站长在面对证书有效期短、续费流程繁琐以及高昂的商业证书费用时，往往望而却步，Let’s Encrypt作为全球知名的非营利证书颁发机构，提供了完全免费的SSL/TLS证书，但其默认的90天有效期给手动管理带来了巨大挑战，acme.sh是一个纯Shell语言编写的ACME协议客户端，以其轻量、高效和自动化能力著称,成为解决这一痛点的最佳方案。
为什么选择acme.sh实现自动化证书管理
传统的证书管理方式依赖人工操作，不仅效率低下，还容易因疏忽导致证书过期，进而引发浏览器安全警告，严重影响用户信任度和SEO排名，acme.sh的出现，将这一过程完全自动化,确保了证书的生命周期管理无忧。
对比商业证书与免费证书的差异
许多用户存在误区，认为免费证书在安全性或兼容性上不如商业证书，Let’s Encrypt颁发的证书由全球主流浏览器信任，其加密强度与DigiCert、Sectigo等商业证书无异，主要区别在于服务支持和有效期，商业证书通常有效期为1-2年，且价格从几百到几千元不等；而Let’s Encrypt证书有效期仅为90天，但通过自动化脚本可实现无缝续期,成本为零。
acme.sh的核心优势解析
acme.sh之所以成为业内专家推荐的工具,主要得益于其以下几个特性：
- 零依赖环境：无需安装任何复杂的Perl、Python或Node.js依赖,仅需一个支持Shell的Linux环境即可运行。
- 自动续期机制：内置cron job支持，可自动检测证书有效期并在过期前30天内自动更新,无需人工干预。
- 多验证方式支持：支持HTTP-01、DNS-01等多种ACME验证方式,适应不同服务器环境。
- 轻量级设计：脚本体积小，资源占用极低,适合配置较低的VPS或云服务器。
实操指南：如何部署acme.sh实现永久免费HTTPS
部署过程分为安装、申请证书、安装证书和配置自动续期四个步骤，以下以常见的Nginx服务器环境为例,详细拆解操作流程。
第一步：安装acme.sh脚本
安装过程极其简单，只需一条命令即可完成，建议在非root用户下执行,以避免权限问题。
使用curl或wget下载脚本：
curl https://get.acme.sh | sh
安装完成后，脚本会自动创建别名，并建议将acme.sh添加到环境变量中，你可以直接关闭当前终端，重新打开一个新的终端会话,或者执行source命令加载配置。
第二步：申请SSL证书
申请证书前，需确保你的域名已解析到服务器IP，且服务器80端口（HTTP）或53端口（DNS）可访问，根据验证方式不同,分为两种常见场景。
HTTP-01验证（适合拥有公网IP的服务器）
如果你的服务器可以直接访问80端口，使用此方式最为简便，acme.sh会在服务器指定目录放置验证文件，Let’s Encrypt服务器通过访问该文件来验证域名所有权。
acme.sh --issue -d example.com -d www.example.com --webroot /var/www/html
-d参数用于指定域名，支持通配符域名如.example.com
，--webroot指定网站根目录。
DNS-01验证（适合无公网IP或云服务器）
对于阿里云、腾讯云等云服务器，由于安全组或防火墙限制，80端口可能无法直接访问，此时需使用DNS-01验证,即通过在域名DNS记录中添加TXT记录来证明域名所有权。
# 以阿里云DNS为例 export Ali_Key="your_aliyun_access_key_id" export Ali_Secret="your_aliyun_access_key_secret" acme.sh --issue --dns dns_ali -d example.com -d www.example.com
这种方式无需服务器开放任何端口，安全性更高，且支持通配符证书,适合管理多个子域名的用户。
第三步：安装证书到Web服务器
证书申请成功后,需将其复制到Nginx或Apache的配置目录中。
acme.sh --install-cert -d example.com --key-file /etc/nginx/ssl/example.com.key --fullchain-file /etc/nginx/ssl/fullchain.pem --reloadcmd "systemctl restart nginx"
--reloadcmd参数至关重要，它指定了证书更新后需要执行的命令，确保Nginx加载新证书,无需手动重启服务。
第四步：配置自动续期
acme.sh在安装时会自动添加cron job,你可以使用以下命令查看现有的定时任务：
crontab -l
acme.sh会设置每天凌晨检查证书有效期，若剩余天数少于30天，则自动执行更新流程，这一机制确保了证书永远不会过期，实现了真正的“永久免费”。
常见问题与最佳实践
在实际操作中，用户可能会遇到一些常见问题,以下是基于行业共识的解答与建议。
Q&A：关于证书续期的关键疑问
Q1: 如果自动续期失败，我该如何排查？
证书续期失败通常由DNS解析延迟、服务器端口被封或API密钥过期引起，建议检查acme.sh的日志文件，路径通常为~/.acme.sh/logs/acme.sh.log，日志中会详细记录错误信息，如“DNS check failed”或“HTTP request failed”，对于DNS验证，确保域名DNS服务商的API密钥权限正确；对于HTTP验证,确保服务器防火墙允许80端口入站流量。
Q2: 通配符证书是否支持所有域名？
通配符证书（如.example.com）仅覆盖一级子域名，不覆盖二级子域名（如sub1.sub2.example.com），通配符证书仅支持DNS-01验证方式，不支持HTTP-01，若需管理多层级子域名，需为每个二级域名单独申请证书,或使用通配符证书覆盖所有一级子域名。
Q3: acme.sh证书在浏览器中是否显示绿色锁标？
是的，Let’s Encrypt证书由全球主流CA机构签发，被所有现代浏览器（Chrome、Firefox、Safari、Edge等）信任，只要证书链完整且配置正确，浏览器地址栏会显示绿色锁标，表示连接安全，近年来，随着HTTPS普及率的提升，多数网站已默认启用HTTPS,用户对此类安全标识已习以为常。
拥抱自动化，提升网站安全水位
通过acme.sh脚本实现Let’s Encrypt证书的自动化管理，不仅节省了购买商业证书的费用，更通过自动化机制消除了人为疏忽导致的安全风险，对于中小站长和个人开发者而言，这是一项投入产出比极高的技术实践，随着Web安全标准的不断提升，免费且高效的证书管理方案将成为标配，掌握这一技能，不仅能提升网站的SEO排名，更能增强用户信任,为网站的长期稳定运行奠定坚实基础。
首发原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/408587.html
