说实话，这事儿我憋在心里挺久了。最近一年将至，阿里云天天给我发邮件提醒续费SSL证书，看着那账单，心里真不是滋味。更惨的是我的朋友Arisu——一个技术狂人， 纯正。 主要原因是这事儿没少“拷打”我。每次见面他都要翻白眼：“你居然还在花钱买SSL？你是钱多烧得慌吗？”

被嘲讽了无数次后我终于痛定思痛，决定把阿里云的付费证书给换掉。今天下午， 我花了一点时间，在自己的Ubuntu服务器上折腾了一番，把Let's Encrypt给安排上了。这篇文章其实内容不多，难度不大，只是自己记录一下顺便分享给那些还在为SSL证书续费心疼的朋友们。毕竟免费的午餐有时候真的很香，而且这顿午餐还是米其林级别的，我懵了。。

为什么选择Let's Encrypt？

在开始动手之前，我们得先明白为什么要折腾这个。以前，为了那个小绿锁，我们不得不每年掏出几百甚至上千块钱给证书颁发机构。那时候HTTPS是身份的象征，是有钱网站的标配。但现在互联网平安标准变了HTTPS成了标配，不再是奢侈品，盘它...。

最终的最终。 Let's Encrypt是由Mozilla、 Cisco、Akamai等大厂发起的一个非营利性证书颁发机构。他们的目标很简单：让互联网上的每一个网站都能通过HTTPS加密。这意味着什么？意味着你可以永久免费使用自动化工具申请、更新SSL证书，再也不用看那些收费CA的脸色了。

很棒。 当然免费不代表廉价。Let's Encrypt颁发的证书在平安性上与付费证书没有任何区别，现代浏览器都对其完美支持。唯一的区别可能就是 Let's Encrypt不提供那种“绿条”EV证书，但对于我们绝大多数个人博客、中小企业官网DV证书完全够用了。

准备工作：别急着敲命令， 先检查环境

也是没谁了... 在Ubuntu上操作，虽然大部分时间都是复制粘贴，但为了防止半路翻车，我们还是得先确认一下几件事。这就好比做饭前得先备菜，不然火开了发现没买酱油就尴尬了。

先说说你得有一台运行Ubuntu的服务器。接下来你需要拥有Root权限或者sudo权限。最重要的是你必须已经拥有一个域名，并且这个域名已经正确解析到了你的服务器IP地址，一针见血。。

这里有个小坑要注意：如果你刚解析完域名，马上去申请证书可能会失败。主要原因是DNS全球同步需要时间，有时候快则几分钟，慢则要等24小时。所以 建议先用ping命令确认一下：，我傻了。

ping your-domain.com

小丑竟是我自己。 如果返回的IP是你服务器的IP，那我们就可以开始了。再说一个， 确保你的服务器的80端口和443端口没有被防火墙挡住Let's Encrypt的验证机制需要通过80端口来进行。

安装Certbot：你的自动化小助手

Let's Encrypt之所以好用，很大程度上归功于Certbot这个客户端。它是一个能自动获取和部署证书的软件，简直是为我们这种懒人量身定做的。在Ubuntu上安装它，简单到令人发指，对吧？。

打开你的终端， 或者SSH连上你的服务器，先更新一下软件包列表：

sudo apt update

接下来根据你使用的Web服务器类型，安装对应的Certbot包。 奥利给！ 目前主流的无非就是Nginx和Apache两大阵营。

如果你是Nginx用户

像我一样， 大部分现代Web应用都跑在Nginx上， 弯道超车。 那么你需要安装nginx插件：

sudo apt install certbot python3-certbot-nginx

如果你是Apache用户

如果你还在坚守Apache，也没问题，安装apache插件即可：

sudo apt install certbot python3-certbot-apache

安装过程可能会问你一些配置确认，一路按“Y”回车就行。安装完成后Certbot就已经准备好大干一场了，层次低了。。

获取并配置证书：见证奇迹的时刻

这一步是整个流程的核心。Certbot的强大之处在于， 它能自动识别你的Web服务器配置， 境界没到。 并帮你修改配置文件，省去了手动编辑Nginx conf文件的痛苦。

为Nginx申请证书

假设你的域名是 example.com 一边你也希望 www.example.com 也能访问，那么运行以下命令：，我爱我家。

sudo certbot --nginx -d example.com -d www.example.com

施行这条命令后你会看到一系列的交互提示。

1. 输入邮箱系统会要求你输入一个紧急联系邮箱。注意：联系人email地址要填写真实有效的，Let's Encrypt会在证书过期以前发送预告的通知邮件。这非常重要，毕竟证书只有90天有效期，万一自动续期挂了邮件提醒就是再说说一道防线。
2. 同意服务条款按A同意，然后按Y确认。
3. 选择HTTPS重定向这是Certbot最贴心的功能之一。它会问你：“是否希望将HTTP流量强制重定向到HTTPS？”这里强烈建议选 2 。这样，用户输入 http:// 也会自动跳转到平安的 https://。

等待几十秒，屏幕上会显示类似 Successfully received certificate 的字样。 求锤得锤。 这时候，恭喜你，你的网站已经披上了HTTPS的铠甲！

为Apache申请证书

Apache用户的过程几乎一模一样， 只是把命令里的插件换一下：

sudo certbot --apache -d example.com -d www.example.com

后续的步骤完全相同，这里就不再赘述了。

进阶玩法：手动模式与泛域名证书

虽然上面的自动模式能解决90%的问题， 但有时候我们的环境比较复杂，或者Web服务器配置比较奇葩，Certbot可能无法自动修改配置。这时候，就需要用到 certonly 模式了，歇了吧...。

Standalone模式

如果你的服务器上暂时没有跑Web服务器， 或者你不想Certbot动你的配置文件，可以使用standalone模式。Certbot会临时启动一个内置的小型Web服务器来完成验证，我倾向于...。

# 先停掉你自己的Nginx或Apache
sudo systemctl stop nginx
# 申请证书
sudo certbot certonly --standalone -d example.com
# 申请完后再启动
sudo systemctl start nginx

这种方式虽然多了一步手动启停服务的操作，但在很多自动化部署脚本中非常实用。

泛域名证书

这是很多高级玩家喜欢用的方式。普通的证书只能保护单个域名或指定的 www 而泛域名证书可以保护 *.example.com这意味着无论你开多少个子域名，比如 blog.example.comshop.example.com统统都能用这一个证书。

但是泛域名证书不能，必须。这通常需要配合DNS服务商的API来实现自动化，或者手动添加TXT记录。

sudo certbot certonly --manual --preferred-challenges dns -d "*.example.com" -d "example.com"

运行后 终端会给你一段TXT记录，你需要去你的域名服务商后台添加一条DNS解析记录。添加完成后回车确认， 研究研究。 Let's Encrypt会去查询DNS记录，验证通过后颁发证书。

虽然这个过程稍微麻烦一点，特别是第一次需要手动操作，但一劳永逸啊！ 哎，对！ 对于子域名特别多的网站，这绝对是神器。

自动续期：告别90天焦虑症

Let's Encrypt证书最大的“缺点”就是有效期短，只有90天。但这其实也是出于平安考虑——即使证书私钥泄露，损失也仅限于90天。不过要是让我们手动去续期，那肯定是要疯的，谁记得住这事儿？

好在Certbot早就帮我们想好了。Ubuntu系统通常会自动安装一个定时任务来帮我们自动续期。我们可以一下自动续期是否正常工作：，操作一波。

sudo certbot renew --dry-run

这个命令不会真的续期，只是模拟一下流程。如果再说说输出 Congratulations, all renewals succeeded那就可以把心放肚子里了，盘它。。

如果你想自己掌控节奏，或者你的系统没有自动配置任务，也可以手动添加一个Cron任务。比如让系统每天凌晨3点检查一次：，中肯。

sudo crontab -e

在文件末尾添加：

0 3 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

境界没到。 这里的 --post-hook 参数非常关键。它告诉Certbot：如果续期成功了 记得施行 systemctl reload nginx让Web服务器重新加载新的证书。如果不加这一句，证书更新了但Nginx还在用旧的内存中的证书，那等于白忙活一场。

常见问题排查：遇到坑别慌

虽然整个过程看起来很顺畅，但实际操作中难免会遇到奇奇怪怪的问题。这里我整理了一个简单的表格， 列出了几个最常见的报错和解决思路，希望能帮你省点去Google翻资料的时间，太虐了。。

错误现象	可能原因	解决方法
Connection refused 或 Failed to connect	80端口被防火墙拦截， 或者Nginx/Apache没启动	检查 sudo ufw status确保允许80端口；检查Web服务状态。
Invalid response	域名解析错误，或者Nginx配置中root路径不对	用 curl 访问域名确认是否能返回页面；检查 nginx -t 配置。
Too many requests	Let's Encrypt有频率限制， 通常一周内同一域名不能申请超过5次	稍安勿躁，等过几个小时或者明天再试。测试时用 --staging 参数。
Permission denied	当前用户没有sudo权限，或者Let's Encrypt目录权限被改过	确保使用 sudo 施行命令；检查 /etc/letsencrypt 目录权限。

如果实在搞不定，Certbot的日志文件也是你的好帮手。日志通常保存在 /var/log/letsencrypt/letsencrypt.log。 摸个底。 有时候终端里的报错信息太简略，去日志里翻翻，往往能发现蛛丝马迹。

平安不应是负担

折腾完这一圈， 看着浏览器地址栏那个亮闪闪的小绿锁，心里那叫一个舒坦。不仅省了钱，更重要的是掌握了一种更现代、更高效的运维技能。Arisu要是知道我终于搞定了估计也会点点头，不再嘲讽我是“付费证书的韭菜”了，踩个点。。

为网站配置SSL证书不再是一个可选项，而是必选项。Let's Encrypt和Certbot的出现，极大地降低了加密的门槛。无论你是刚入门的站长， 还是资深的老鸟，花上几分钟时间配置好自动化的免费证书，都是一件性价比极高的事情。

所以别再犹豫了。赶紧登录你的服务器，敲下那几行命令吧。毕竟免费的午餐就在那里不吃白不吃！如果你在配置过程中遇到了什么奇葩问题，欢迎在评论区交流，咱们一起踩坑，一起成长。

---