如何配置「Let's Encrypt」免费证书并实现「自动续签」

想个好名字@ · 发表于 4 小时前

学到了

13351890899 · 发表于 4 小时前

学习了

xumingjie · 发表于 4 小时前

自动续签流程没问题。

a308627301 · 发表于 4 小时前

完全看不懂，准备学习，这些用AI能解决不

小FAN子 · 发表于 4 小时前

学习新知识，谢谢分享

神荼Q · 发表于 4 小时前

有没有python的

mobezone · 发表于 4 小时前

学习

iHobe · 发表于 4 小时前

这次轮到小甲鱼发干货了

王星云 · 发表于 4 小时前

这我肯定是一点儿也读不懂。不明觉厉吧

whfigo · 发表于 3 小时前

好好学习一下

疯狗马德森 · 发表于 3 小时前

我来打卡学习喽

寒时enjoy · 发表于 3 小时前

虽然不太懂，但感觉很厉害

tkiss · 发表于 3 小时前

好好学习，天天健忘！

a10123 · 发表于 3 小时前

那很方便啊[奸笑]

姜大公 · 发表于 3 小时前

知识入我脑！

李安昭 · 发表于 3 小时前

学习新的东西

东风压倒一切 · 发表于 3 小时前

学习学习学习

我不是熊大 · 发表于 3 小时前

又学废一个

MC.Steve · 发表于 3 小时前

看不懂

pszo · 发表于 3 小时前

根据您提供的教程，我补充几点实战中可能遇到的细节和优化建议，供各位参考：

关于 Nginx 配置路径：教程中 nginx -t 和 nginx -s reload 直接使用命令，但 Debian 默认安装的 Nginx 可能不在环境变量中，建议先用 which nginx 确认，或者统一使用 /usr/sbin/nginx，避免报错。

webroot 目录权限：务必确保 Nginx 运行用户（通常是 www-data）对 /home/wwwroot/acme 有读取权限，否则验证文件无法被访问，申请会失败。可以用 chown -R www-data:www-data /home/wwwroot/acme 调整。

deploy hook 脚本中的路径：教程里写的 /usr/local/nginx/sbin/nginx 是源码编译的默认路径，但 Debian apt 安装的 Nginx 二进制通常在 /usr/sbin/nginx。建议先确认实际位置，或者用 which nginx 动态获取，否则 hook 可能因找不到命令而失效。

多域名/泛域名：如果需要通配符证书（*.example.com），则必须使用 DNS-01 验证，webroot 模式不支持。若有此需求，可改用 certbot --manual --preferred-challenges dns 或配合 DNS API 插件，但教程未涉及，提醒大家注意适用范围。

防火墙/安全组：除了 80 端口外，如果 443 端口未放行，即使证书申请成功，HTTPS 访问也会失败，别忘了检查云服务商的安全组规则。

测试续签：certbot renew --dry-run 不仅测试续签逻辑，也会触发 deploy hook，因此可以提前验证重载脚本是否正常执行。如果 hook 报错，续签会标记为失败，需查看 /var/log/letsencrypt/letsencrypt.log 排查。

证书权限：/etc/letsencrypt/live/ 下的证书默认只有 root 可读，但 Nginx 通常以 www-data 运行，可能出现无法读取私钥的问题。可以执行 ls -l /etc/letsencrypt/live/example.com/privkey.pem 确认，如有必要，可调整 ACL 或使用 setfacl，但更推荐将 Nginx 用户加入 ssl-cert 组（Debian 有该组）。

总体来说，教程步骤清晰，覆盖了核心流程，上述几点是我在实际部署中踩过的坑，希望能帮助大家平滑落地。如果遇到问题，欢迎一起交流。

账号		自动登录	找回密码
密码			立即注册

[技术交流] 如何配置「Let's Encrypt」免费证书并实现「自动续签」