你的网站还在显示“不安全”的红色警告？一次正确的配置，即可让HTTPS 证书自动申请、永久续期，彻底告别手动续签的焦虑，让你的网站始终安全运行。使用Certbot配合Nginx，是目前最简单、最可靠的自动化方案。

为什么必须启用 HTTPS？

Chrome、Firefox 等主流浏览器早已将未启用 HTTPS 的网站标记为“不安全”，这直接影响用户体验、搜索排名和数据安全。更关键的是，Let’s Encrypt提供的免费证书配合Certbot的自动续期机制，构成了一个零成本、全自动的解决方案。

正确的 Certbot 配置能让你彻底忘记证书过期这回事，真正做到“一次配置，终身省心”。

如何安装 Certbot 并配置 Nginx？

核心操作很简单：通过系统包管理器安装 Certbot，然后运行一条命令完成初步配置。以下是具体步骤：

1. 使用系统包管理器安装Certbot及其Nginx插件：sudo apt install certbot python3-certbot-nginx。
2. 运行命令 certbot --nginx，Certbot 会自动检测你的 Nginx 配置，并交互式引导你完成证书申请与部署。
3. 按照提示输入你的域名，并选择是否将 HTTP 流量自动重定向到 HTTPS（强烈推荐开启）。

配置的关键是确保证书正确识别了你的域名和对应的 Nginx 服务器块。注意：证书有效期为 90 天，所以配置自动续期是必须的环节。

如何设置证书自动续期？

自动化是 Certbot 的核心优势。通过简单的测试和计划任务，即可实现永久无忧。

1. 预演测试：运行 certbot renew --dry-run。此命令模拟续期过程，验证配置是否正确，不会实际修改证书。
2. 配置定时任务：在服务器的 crontab 中添加一条每日执行的命令：
   0 3 * * * /usr/bin/certbot renew --quiet --deploy-hook "systemctl reload nginx"。这会在每天凌晨 3 点检查证书状态。
3. 自动执行：当证书在到期前 30 天内，Certbot 会自动申请新证书，并通过 --deploy-hook 指定的命令（如重载 Nginx）使新证书立即生效。

整个过程完全自动，无需人工干预。这就是Certbot Nginx HTTPS 证书自动续期的标准最佳实践。

如何使用通配符证书与 DNS 验证？

如果你管理着大量子域名（如 www.example.com、blog.example.com），为每个域名单独签发证书效率低下。使用通配符证书（*.example.com）则可以一劳永逸地覆盖所有子域。

申请通配符证书必须使用 DNS 验证方式。Certbot 通过云服务商（如阿里云、Cloudflare）的 API，自动在你的域名 DNS 记录中添加 TXT 验证记录，实现全自动操作。

配置好 DNS 提供商的 API 凭证后，Certbot 同样支持通过定时任务对通配符证书进行自动续期。这种方案将HTTPS 证书自动化续期的能力扩展到所有子域名，实现真正的“一次部署，终身省心”。

常见问题