Let’s Encrypt 证书不仅是免费的，而且支持通配符证书，通配符证书指的是一个可以被多个子域名使用的公钥证书，多个子域名使用起来十分方便。申请和配置的流程都非常简单，虽然每次的有效期为 90 天，但可以通过脚本去更新证书，只要配置好了，几乎可以一劳永逸。

Certbot

certbot 可以通过简单的命令来生成证书，我们需要先将 certbot 克隆到我们的服务器中。

git clone https://github.com/certbot/certbot

cd certbot

申请证书

需要提到的一点是，客户在申请 Let’s Encrypt 证书的时候，需要校验域名的所有权，证明操作者有权利为该域名申请证书，目前支持三种验证方式：

• dns-01：给域名添加一个 DNS TXT 记录。
• http-01：在域名对应的 Web 服务器下放置一个 HTTP well-known URL 资源文件。
• tls-sni-01：在域名对应的 Web 服务器下放置一个 HTTPS well-known URL 资源文件。

而通配符域名只能通过 dns-01 的方式去申请，我是通过阿里云购买的域名，需要登录阿里云在解析设置中添加解析记录，后面会提到如何添加TXT解析记录。使用下面的命令开始生成证书，注意将 *.example.com 和 example.com 替换成你自己的域名。

certbot-auto certonly --manual \
-d *.example.com \
-d example.com --agree-tos \
--manual-public-ip-logging-ok --preferred-challenges \
dns-01 --server https://acme-v02.api.letsencrypt.org/directory

输入完上面的命令之后，会开始下载一大堆依赖库，耐心等待依赖文件下载完成即可。需要验证域名的所有权，如下：：

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:IumgF_VVxdasWPM7DLzdasxJbpWdsaMRoAbY0sQa4QaUnGkQBefore continuing, verify the record is deployed.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Press Enter to Continue

此时打开你的域名提供商去添加解析记录，我的域名是阿里云购买的,链接：https://dns.console.aliyun.com/。其他域名提供商应该也是一致的。记录类型选择 TXT，主机记录输入上面的 _acme-challenge.example.com，记录值输入上面生成的随机字符串 mhumL1xJOHPIZtFTEm4rotjJnR9TdkBVPuCS9YHvNjs 。

最后弹出证书的存放位置：

- Congratulations! Your certificate and chain have been saved at:/etc/letsencrypt/live/example.com/fullchain.pemYour key file has been saved at:/etc/letsencrypt/live/example.com/privkey.pemYour cert will expire on 2020-10-10. To obtain a new or tweakedversion of this certificate in the future, simply run certbot-autoagain. To non-interactively renew *all* of your certificates, run"certbot-auto renew"- If you like Certbot, please consider supporting our work by:Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donateDonating to EFF:                    https://eff.org/donate-le

你想手动尝试 Certbot 证书更新？

一般是直接使用 renew 命令，即：

/bin/certbot renew

但是现在 Certbot 也会自己判断了，没有快到期之前，它也觉得没必要频繁续期。