证书批量申请脚本？

wen 实用脚本 2026-06-05 45

自动化管理HTTPS证书的高效解决方案

目录导读

什么是证书批量申请脚本？
为什么需要证书批量申请？
主流工具与实现方案对比
脚本核心功能与设计思路
实战：基于Let's Encrypt的批量申请脚本
常见问题与解决方案（FAQ）
SEO优化与安全建议
自动化与监控并重

什么是证书批量申请脚本？

证书批量申请脚本是指通过自动化编程（如Shell、Python、Go等语言）或第三方工具（如acme.sh、Certbot、lego），实现对多个域名批量申请SSL/TLS证书的脚本或程序，它解决了传统手动申请证书时重复操作、易出错、效率低下的痛点，尤其适用于拥有大量子域名、多站点或云原生架构的运维场景。

证书批量申请脚本？

核心价值：

时间节省：从逐个申请变成一次运行，申请100个域名的时间从数小时降至几分钟。
错误减少：自动处理DNS验证、HTTP验证、证书合并等复杂逻辑。
持续续期：结合cron任务自动检测证书到期并续期,避免证书过期导致网站不可用。

为什么需要证书批量申请？

在HTTPS已强制普及的今天，一个公司可能管理着成百上千个域名（SaaS平台、多语言站、CDN加速域名、内部服务），手动申请证书面临以下挑战：

重复劳动：每个域名都要生成CSR、选择验证方式、复制粘贴验证文件。
验证耗时：DNS验证需要手动添加TXT记录，等待解析生效。
续期遗忘：证书有效期缩短至90天（Let's Encrypt）后，人工很难跟踪每个证书的到期日。
跨平台困难：不同CA（证书颁发机构）或云提供商的API接口不统一,手工操作容易出错。

批量申请脚本成为现代运维的“标配”，尤其适合Kubernetes、Nginx反向代理、负载均衡等场景。

主流工具与实现方案对比

工具/框架	语言	验证方式	批量支持	适用场景	缺点
acme.sh	Shell	HTTP/DNS	强（域名列表）	任何Linux服务器	依赖cURL
Certbot	Python	HTTP/DNS	弱（需循环）	传统Web服务器	安装包大
lego	Go	HTTP/DNS	强（JSON配置）	云原生/微服务	需要编译环境
自定义Python脚本	Python	调用API	灵活	需要深度定制	开发成本高

推荐选择：对于绝大多数运维团队，acme.sh 是轻量级、社区活跃、文档完整的首选；若部署在Kubernetes中，lego 配合cert-manager更合适。

脚本核心功能与设计思路

一个优秀的证书批量申请脚本应包含以下模块：

1 域名列表管理

支持从文本文件、CSV、数据库或环境变量读取域名。
支持通配符域名（如 *.yourdomain.com）与普通域名混合。

2 验证方式自动化

HTTP验证：自动在网站根目录放置验证文件，或通过反向代理（如Nginx）自动路由。
DNS验证：通过各大DNS服务商API（如阿里云、腾讯云、AWS Route53、Cloudflare）自动添加/删除TXT记录。

3 证书输出与部署

自动合并证书链（fullchain.pem）与私钥（privkey.pem）。
支持将证书自动上传至云负载均衡（如阿里云SLB、AWS ELB）或存入K8s Secret。

4 日志与告警

记录每个域名的申请状态、错误原因。
失败时发送钉钉/企业微信/邮件通知。

实战：基于Let's Encrypt的批量申请脚本

以下是一个简化版的Shell脚本示例（基于acme.sh）,展示如何批量申请证书：

#!/bin/bash
# 批量申请证书脚本
DOMAIN_FILE="domains.txt"  # 域名列表，每行一个
ACME_EMAIL="admin@zztcaas.com"  # 替换为你的邮箱
ACME_HOME="/root/.acme.sh"
# 检查依赖
if ! command -v acme.sh &> /dev/null; then
    echo "安装acme.sh..."
    curl https://get.acme.sh | sh -s [email=$ACME_EMAIL]
fi
# 读取域名并逐个申请
while IFS= read -r domain; do
    # 跳过空行和注释
    [[ -z "$domain" || "$domain" == \#* ]] && continue
    echo "处理域名: $domain"
    # 申请证书（使用HTTP验证，需确保网站已配置）
    if acme.sh --issue -d "$domain" --webroot /var/www/html 2>&1; then
        echo "[成功] $domain"
        # 可选：安装到Nginx或复制到指定目录
        # acme.sh --install-cert -d "$domain" --key-file /etc/nginx/ssl/$domain.key --fullchain-file /etc/nginx/ssl/$domain.cer
    else
        echo "[失败] $domain" | tee -a fail.log
    fi
done < "$DOMAIN_FILE"
# 设置自动续期（acme.sh已内置cron）
echo "脚本执行完毕，失败域名请查看fail.log"

调优说明：

对于DNS验证，需预先设置DNS API密钥，export CF_Token="xxx"（Cloudflare）。
建议使用 --standalone 模式临时启动80端口验证,避免干扰现有Web服务器。

常见问题与解决方案（FAQ）

Q1：证书批量申请会导致CA限速吗？
A：大多数CA（如Let's Encrypt）每周每个域名有50张证书的配额，批量申请时建议加入随机延迟（sleep $RANDOM）,避免触发限流。

Q2：通配符证书如何批量申请？
A：可在域名列表中加入 *.yourdomain.com，acme.sh 支持同时申请主域名和通配符（需DNS验证），但注意：通配符证书只能覆盖单级子域名，如 *.example.com 不匹配 sub.sub.example.com。

Q3：私钥安全如何保障？
A：

使用 chmod 600 限制私钥文件权限。
考虑使用HSM（硬件安全模块）或云密钥管理服务（如KMS）。
不要在脚本中硬编码密码,优先使用环境变量或配置文件。

Q4：证书部署后网站仍报不安全？
A：检查证书链是否完整（acme.sh 默认生成fullchain），并确认中间证书未被遗漏,重启Web服务或负载均衡器使新证书生效。

Q5：脚本在Windows下能否运行？
A：acme.sh 原生支持Linux/macOS，Windows建议使用WSL或Docker容器；也可使用Windows版Certbot或基于PowerShell的lego封装。

SEO优化与安全建议

关键词布局：核心关键词“证书批量申请脚本”在标题、H1、H2中自然出现3-5次；长尾词如“自动化HTTPS证书管理”、“Let's Encrypt批量申请”等分布在段落首尾。
内部链接：若站点有其他运维文章，可链接至“Nginx SSL配置最佳实践”、“K8s证书管理”。
移动友好：代码块使用 <pre> 标签且水平滚动，表格简化，提升移动端阅读体验。
安全警告：提醒用户勿在公有仓库暴露API密钥；推荐使用环境变量文件（.env）且加入 .gitignore。