域名自动化更新证书

前言

目前免费证书的使用期限是90天，证书更新也从以前的一年一换变成了现在的三个月一换，本人自己域名加公司域名有近四十个之多，每次证书更新都是一个很费事又费时的工作，不得不进行自动化处理。111

---

安装

安装很简单，一个命令:

curl https://get.acme.sh | sh -s email=my@example.com

创建 一个 shell 的 alias，例如 .bashrc，方便你的使用: alias acme.sh=~/.acme.sh/acme.sh；

自动为你创建 cronjob,，每天 0:00 点自动检测所有的证书， 如果快过期了，需要更新，则会自动更新证书。

注：如果没有安装crontab，可在安装crontab之后加入以下任务：

0 0 * * * "~/.acme.sh"/acme.sh --cron --home "~/.acme.sh" > /dev/null

更改服务地址

acme.sh脚本默认ca服务器是zerossl，经常出错，会导致获取证书的时候一直出现：Pendi ng，The CA is processing your order,please just wait.

只需要把ca服务器改成letsencrypt 即可，虽然更改以后还是有概率出现pending，但基本2-3次即可成功。

acme.sh --set-default-ca --server letsencrypt

生成证书

acme.sh 实现了 acme 协议支持的所有验证协议.，一般有两种方式验证: http 和 dns 验证。本人用的是http方式。

http 方式需要在你的网站根目录下放置一个文件，来验证你的域名所有权,完成验证. 然后就可以生成证书了。

# 注，这里多个-d只会生成一个证书文件夹，所以，只能是www和主域名两个域名可以这样放
# 如果是多个不同的二级域名，要每个单独执行一次
# 有可能出现curl不可用的情况，可以用 -- use-wget强制用wget替代curl
acme.sh --issue -d mydomain.com --webroot /home/wwwroot/mydomain.com/

只需要指定域名，并指定域名所在的网站根目录。 acme.sh 会全自动的生成验证文件， 并放到网站的根目录，然后自动完成验证。最后会聪明的删除验证文件， 整个过程没有任何副作用。

注：如果你还没有运行任何 web 服务，80 端口是空闲的，那么 acme.sh 还能假装自己是一个webserver，临时听在80 端口，完成验证:

acme.sh --issue -d mydomain.com --standalone

安装证书

前面证书生成以后，接下来需要把证书 copy 到真正需要用它的地方。

注：默认生成的证书都放在安装目录下: ~/.acme.sh/，请不要直接使用此目录下的文件，例如: 不要直接让 nginx/apache 的配置文件使用这下面的文件. 这里面的文件都是内部使用，而且目录结构可能会变化。正确的使用方法是使用 --install-cert 命令，并指定目标位置，然后证书文件会被copy到相应的位置，例如:

Apache example:

---

# 注：这个没试过，不过官网上文件后缀都写成了.pem，--reloadcmd 的命令也未测试
acme.sh --install-cert -d example.com \
--cert-file      /path/to/certfile/in/apache/cert.pem  \
--key-file       /path/to/keyfile/in/apache/key.key  \
--fullchain-file /path/to/fullchain/certfile/apache/fullchain.pem \
--reloadcmd     "service apache2 force-reload"

Nginx example:

---

# 网上文件后缀都写成了.pem，--reloadcmd 的命令改成nginx -s reload可用，
# 如果是docker，可改成 docker exec -it 容器名 nginx -s reload 
acme.sh --install-cert -d example.com \
--key-file       /path/to/keyfile/in/nginx/key.key  \
--fullchain-file /path/to/fullchain/nginx/cert.pem \
--reloadcmd     "nginx -s reload"

查看已安装证书信息

acme.sh --info -d example.com
# 会输出如下内容：
DOMAIN_CONF=/root/.acme.sh/example.com/example.com.conf
Le_Domain=example.com
Le_Alt=no
Le_Webroot=dns_ali
Le_PreHook=
Le_PostHook=
Le_RenewHook=
Le_API=https://acme-v02.api.letsencrypt.org/directory
Le_Keylength=
Le_OrderFinalize=https://acme-v02.api.letsencrypt.org/acme/finalize/23xxxx150/781xxxx4310
Le_LinkOrder=https://acme-v02.api.letsencrypt.org/acme/order/233xxx150/781xxxx4310
Le_LinkCert=https://acme-v02.api.letsencrypt.org/acme/cert/04cbd28xxxxxx349ecaea8d07
Le_CertCreateTime=1649358725
Le_CertCreateTimeStr=Thu Apr  7 19:12:05 UTC 2022
Le_NextRenewTimeStr=Mon Jun  6 19:12:05 UTC 2022
Le_NextRenewTime=1654456325
Le_RealCertPath=
Le_RealCACertPath=
Le_RealKeyPath=/etc/acme/example.com/privkey.pem
Le_ReloadCmd=service nginx force-reload
Le_RealFullChainPath=/etc/acme/example.com/chain.pem

更新证书

目前证书在 60 天以后会自动更新，你无需任何操作。 今后有可能会缩短这个时间， 不过都是自动的， 你不用关心.请确保 cronjob 正确安装，看起来是类似这样的:

crontab  -l
56 * * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null

关于修改ReloadCmd

目前修改ReloadCmd没有专门的命令，可以通过重新安装证书来实现修改reloadCmd的目的。 此外，安装证书后，相关信息是保存在~/.acme.sh/example.com/example.conf文件下的，内容就是acme.sh --info -d example.com输出的信息，不过ReloadCmd在文件中使用了Base64编码。理论上可以通过直接修改该文件来修改ReloadCmd，且修改时，无需Base64编码，直接写命令原文acme.sh也可以识别。 不过，example.conf文件的位置和内容格式以后可能会改变！example.conf一直都是内部使用, 后面有可能会改为用 sqlite 或者mysql 格式存储. 所以一般不建议自己修改。

更新 acme.sh

目前由于 acme 协议和 letsencrypt CA 都在频繁的更新，因此 acme.sh 也经常更新以保持同步。升级 acme.sh 到最新版 :

acme.sh --upgrade

如果你不想手动升级， 可以开启自动升级:

acme.sh --upgrade --auto-upgrade

之后，acme.sh 就会自动保持更新了。

你也可以随时关闭自动更新:

acme.sh --upgrade --auto-upgrade  0

注意事项

如果服务http服务设置了return 301 https://$host$request_uri;来跳转到https服务下，且https服务又是代理其他服务，如：

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

server {
    listen       443 ssl;
    server_name  example.com;
    ssl_certificate      conf.d/cert.pem;
    ssl_certificate_key  conf.d/key.key;
    ssl_session_cache    shared:SSL:1m;
    ssl_session_timeout  5m;
    ssl_ciphers  HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers  on;
    add_header X-Frame-Options "SAMEORIGIN";
    add_header X-XSS-Protection "1; mode=block";
    add_header X-Content-Type-Options "nosniff";

    # 这里要加上以下设置，防止nginx找不到文件
    location ^~ /.well-known/acme-challenge/ {
        root /home/wwwroot/mydomain.com;
    }
  
    location ^~/ {
        proxy_pass http://127.0.0.1:10080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header REMOTE-HOST $remote_addr;
        proxy_set_header Upgrade $http_upgrade;
        proxy_http_version 1.1;
    }
}

---

后记

有时候自动更新证书没有成功，用以下命令可手动更新：

# 更新所有
acme.sh --renew-all
# 更新指定的 exam.com 域名	
acme.sh --renew -d exam.com

但有时候证书已更新，但未能同步到服务器中，可以在以上命令行最后加上 --force。

---

官网地址：https://github.com/acmesh-official/acme.sh

官方文档：https://github.com/acmesh-official/acme.sh/wiki/%E8%AF%B4%E6%98%8E