怎样用脚本自动续期网站证书？

wen 实用脚本 2026-07-22 2

从零开始的自动化安全运维指南

目录导读

证书续期的痛点与自动化必要性
主流证书类型与自动化可行性分析
核心工具：Certbot与acme.sh脚本详解
实战流程：从安装到定时任务配置
多场景适配：Nginx/Apache/CDN证书自动更新
常见问题与排错（FAQ）
零人工干预的证书管理方案

证书续期的痛点与自动化必要性

许多网站管理员都经历过这样的噩梦：某天打开浏览器，突然看到“您的连接不是私密连接”的红色警告，才发现SSL/TLS证书已经过期，手动续期证书不仅繁琐，而且容易遗忘，据统计，超过70%的网站证书过期问题都源于人工管理的疏漏。

怎样用脚本自动续期网站证书？

自动化续期脚本的优势在于：

消除人为遗忘风险：定时任务自动检测并更新
零停机更新：脚本支持热加载，无需重启服务
成本节省：免费Let's Encrypt证书配合脚本，无需商业证书
多域名管理：一键管理数十个域名的证书

Q：所有类型的证书都可以用脚本自动续期吗？
A：主要支持ACME协议（如Let's Encrypt、ZeroSSL），商业证书需依赖厂商API或手动替换文件，90%的自动化方案基于ACME协议。

主流证书类型与自动化可行性分析

证书类型	自动化可行性	推荐工具	关键限制
Let's Encrypt	✅ 完全支持	Certbot, acme.sh	每90天需更新
ZeroSSL	✅ 完全支持	acme.sh	支持免费90天证书
阿里云/腾讯云免费证书	⚠️ 有限支持	云厂商CLI+自定义脚本	需购买云服务，不支持所有域名
商业OV/EV证书	❌ 通常不支持	手动更新	需人工审核，无法纯自动化

核心工具对比：

Certbot：最主流，支持Apache/Nginx自动配置，但体积较大
acme.sh：轻量级纯Shell脚本，支持DNS-01验证，无依赖

Q：使用官方工具是否更安全？
A：是的，Certbot和acme.sh均经过长期开源社区验证，无后门风险，切勿使用来路不明的第三方脚本。

核心工具：Certbot与acme.sh脚本详解

1 Certbot自动化流程

# 安装（Ubuntu/Debian）
sudo apt update && sudo apt install certbot python3-certbot-nginx -y
# 单域名自动续期（Nginx）
sudo certbot --nginx -d example.com -d www.example.com --non-interactive --agree-tos -m admin@example.com
# 配置定时任务（每天检查一次）
sudo crontab -e
# 添加以下行：
0 3 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

2 acme.sh高效脚本

# 一键安装
curl https://get.acme.sh | sh -s email=admin@example.com
# 申请泛域名证书（DNS-01验证）
acme.sh --issue --dns dns_cf -d '*.example.com' -d example.com
# 自动更新并部署（Nginx）
acme.sh --install-cert -d example.com \
  --key-file /etc/nginx/ssl/example.com.key \
  --fullchain-file /etc/nginx/ssl/example.com.crt \
  --reloadcmd "systemctl reload nginx"

Q：DNS-01验证和HTTP-01验证有何区别？
A：

HTTP-01：需80端口可访问，适合简单场景
DNS-01：支持泛域名证书，无需公网IP，适合内网或CDN场景

实战流程：从安装到定时任务配置

Step 1：选择验证方式

HTTP-01：确保服务器80端口开放，且域名已解析到本机
DNS-01：需配置DNS API（推荐Cloudflare、Aliyun DNS）

Step 2：部署脚本

# 使用acme.sh+Cloudflare DNS示例
export CF_Token="your_cloudflare_api_token"
export CF_Account_ID="your_account_id"
acme.sh --issue --dns dns_cf -d example.com
# 证书自动安装到Nginx目录
acme.sh --install-cert -d example.com \
  --key-file /data/ssl/example.com.key \
  --fullchain-file /data/ssl/example.com.crt \
  --reloadcmd "docker restart nginx"  # 如果是Docker部署

Step 3：设置自动续期（Linux Crontab）

# 每天凌晨3点检查（acme.sh自带定时任务，无需手动添加）
# 但建议增加错误通知：
0 3 * * * /root/.acme.sh/acme.sh --cron --home /root/.acme.sh | mail -s "证书更新状态" admin@example.com

Step 4：验证是否生效

# 手动触发测试
acme.sh --renew -d example.com --force
openssl x509 -noout -dates -in /data/ssl/example.com.crt

Q：如何在不停止服务的情况下更新证书？
A：使用--reloadcmd "nginx -s reload"（Nginx）或--reloadcmd "apache2ctl graceful"（Apache），避免重启造成连接中断。

多场景适配：Nginx/Apache/CDN证书自动更新

1 反向代理场景（如Traefik、Caddy）

# Traefik自动获取证书（无需脚本）
labels:
  - "traefik.http.routers.secure.tls.certresolver=letsencrypt"

2 CDN回源证书（Cloudflare、阿里云CDN）

痛点：CDN边缘节点无法直接使用Let's Encrypt。
解决方案：

使用acme.sh导出证书为PEM格式
通过云厂商API上传（aliyun cdn SetCdnDomainSSLCertificate）

配合crontab每周执行一次：

0 2 * * 1 /opt/scripts/upload_cdn_cert.sh

3 多台服务器同步

# 主节点更新后，用rsync同步到从节点
acme.sh --install-cert -d example.com \
  --key-file /tmp/cert.key --fullchain-file /tmp/cert.crt
rsync -av /tmp/cert.* root@server2:/data/ssl/
ssh root@server2 "nginx -s reload"

Q：如果使用Kubernetes集群怎么办？
A：推荐cert-manager，自动创建并更新Ingress证书。

常见问题与排错（FAQ）

Q1：证书更新失败，提示“Challenge failed”

原因：HTTP-01验证时，80端口被防火墙屏蔽
解决：改用DNS-01验证，或检查iptables规则

Q2：脚本警告“Rate limit exceeded”

原因：同一域名每周申请超过5次
解决：扩展验证方式，或暂缓更新频率

Q3：更新后HTTPS依然报错

排查：
1. openssl s_client -connect example.com:443 查看证书指纹
2. 检查Nginx是否加载了旧证书路径
3. 手动执行systemctl reload nginx

Q4：如何收到续期失败通知？

# 添加邮件通知（需安装mailutils）
acme.sh --cron --home /root/.acme.sh 2>&1 | tee -a /tmp/ssl.log
if [ $? -ne 0 ]; then
  echo "证书更新失败" | mail -s "SSL Alert" admin@example.com
fi