Certbot+Nginx HTTPS证书自动续期完整配置指南

你的网站还在显示“不安全”的红色警告？一次正确的配置，即可让HTTPS证书自动申请、永久续期，彻底告别手动续签的焦虑，让你的网站始终安全运行。使用Certbot配合Nginx，是目前最简单、最可靠的自动化方案。

为什么必须启用HTTPS？

Chrome、Firefox等主流浏览器早已将未启用HTTPS的网站标记为“不安全”，这直接影响用户体验、搜索排名和数据安全。更关键的是，Let’s Encrypt提供的免费证书配合Certbot的自动续期机制，构成了一个零成本、全自动的解决方案。

正确的Certbot配置能让你彻底忘记证书过期这回事，真正做到“一次配置，终身省心”。

如何安装Certbot并配置Nginx？

核心操作很简单：通过系统包管理器安装Certbot，然后运行一条命令完成初步配置。以下是具体步骤：

1. 使用系统包管理器安装Certbot及其Nginx插件：sudo apt install certbot python3-certbot-nginx。
2. 运行命令 certbot --nginx，Certbot会自动检测你的Nginx配置，并交互式引导你完成证书申请与部署。
3. 按照提示输入你的域名，并选择是否将HTTP流量自动重定向到HTTPS（强烈推荐开启）。

配置的关键是确保证书正确识别了你的域名和对应的Nginx服务器块。注意：证书有效期为90天，所以配置自动续期是必须的环节。

如何设置证书自动续期？

自动化是Certbot的核心优势。通过简单的测试和计划任务，即可实现永久无忧。

1. 预演测试：运行 certbot renew --dry-run。此命令模拟续期过程，验证配置是否正确，不会实际修改证书。
2. 配置定时任务：在服务器的crontab中添加一条每日执行的命令：
   0 3 * * * /usr/bin/certbot renew --quiet --deploy-hook "systemctl reload nginx"。这会在每天凌晨3点检查证书状态。
3. 自动执行：当证书在到期前30天内，Certbot会自动申请新证书，并通过 --deploy-hook 指定的命令（如重载Nginx）使新证书立即生效。

整个过程完全自动，无需人工干预。这就是Certbot Nginx HTTPS证书自动续期的标准最佳实践。

如何使用通配符证书与DNS验证？

如果你管理着大量子域名（如 www.example.com、blog.example.com），为每个域名单独签发证书效率低下。使用通配符证书（*.example.com）则可以一劳永逸地覆盖所有子域。

申请通配符证书必须使用DNS验证方式。Certbot通过云服务商（如阿里云、Cloudflare）的API，自动在你的域名DNS记录中添加TXT验证记录，实现全自动操作。

配置好DNS提供商的API凭证后，Certbot同样支持通过定时任务对通配符证书进行自动续期。这种方案将HTTPS证书自动化续期的能力扩展到所有子域名，实现真正的“一次部署，终身省心”。

常见问题