SSL证书免费申请-自动续期 Let’s Encrypt 使用教程，告别3个月手动部署的麻烦

（二）泛域名设置自动续期

1. 创建自动化 DNS 脚本
   首先，编写两个脚本用于处理 DNS-01 验证过程中的 DNS 记录添加和删除操作。假设你已经安装了腾讯云 CLI 工具 (tccli)，以下是 dnspod.sh 脚本的内容（tccli 安装和使用参考腾讯云 CLI 工具相关文档）：

   #!/bin/bash
    
   RECORD_FILE="/tmp/_acme-challenge.${CERTBOT_DOMAIN}_${CERTBOT_VALIDATION}"
    
   if! command -v tccli >/dev/null; then
       echo "TCCLI is required: https://cloud.tencent.com/document/product/440" 1>&2
       exit 1
   fi
    
   if [ "$1" = "clean" ]; then
       # 删除 DNS TXT 记录
       RECORD_ID=$(cat ${RECORD_FILE})
       if [ -n "${RECORD_ID}" ]; then
           tccli dnspod DeleteRecord --cli-unfold-argument \
               --Domain ${CERTBOT_DOMAIN} \
               --RecordId ${RECORD_ID} \
               >/dev/null
       fi
       rm -f ${RECORD_FILE}
   else
       # 创建 DNS TXT 记录
       RECORD_ID=$(
           tccli dnspod CreateRecord --cli-unfold-argument \
               --Domain ${CERTBOT_DOMAIN} \
               --SubDomain _acme-challenge \
               --RecordType TXT \
               --RecordLine 默认 \
               --Value ${CERTBOT_VALIDATION} \
               --TTL 600 \
           | grep "RecordId" | grep -Eo "[0-9]+"
       )
       echo ${RECORD_ID} > ${RECORD_FILE}
       sleep 20 # 等待 DNS 记录传播
   fi

   脚本中涉及到的一些环境变量（如 CERTBOT_DOMAIN、CERTBOT_VALIDATION 等），是由 certbot 自动传递给这些脚本的。详细内容可参考 Certbot DNS 验证前后的钩子相关资料。
2. 配置自动续期命令
   使用 certbot 的 --manual-auth-hook 和 --manual-cleanup-hook 参数，调用 dnspod.sh 脚本来自动添加和清理 DNS 记录，配置命令如下：

   certbot renew --manual --preferred-challenges=dns \
       --manual-auth-hook "/path/to/dnspod.sh" \
       --manual-cleanup-hook "/path/to/dnspod.sh clean" \
       --deploy-hook "/path/to/renew_and_reload_nginx.sh"

   各参数含义如下：
   • --manual-auth-hook：在验证开始时调用，用于创建 DNS TXT 记录。
   • --manual-cleanup-hook：在验证结束后调用，用于清理 DNS TXT 记录。
   • --deploy-hook：在证书更新成功后调用，用于重启并加载 Nginx 最新配置。
3. 置 Crontab 定期续期任务
   编辑 Crontab 文件，添加以下内容，实现每 10 天凌晨 2 点自动尝试续期证书（执行任务产生的日志会被重定向到 /var/log/certbot-renew.log，方便后续检查和调试）：

   0 2 */10 * * root certbot renew --manual --preferred-challenges=dns \
       --manual-auth-hook "/path/to/dnspod.sh" \
       --manual-cleanup-hook "/path/to/dnspod.sh clean" \
       --deploy-hook "/path/to/renew_and_reload_nginx.sh" >> /var/log/certbot-renew.log 2>&1

4. 重载 Nginx 配置
   以下是 renew_and_reload_nginx.sh 的内容，用于在证书续期后重启 Nginx 服务（假设使用 Docker 运行 Nginx）：

   #!/bin/bash
    
   # 停止 nginx 服务
   docker compose -f /path/to/compose.yml stop nginx
    
   # 重新启动 nginx 服务
   docker compose -f /path/to/compose.yml up -d nginx

5. 验证自动续期配置
   完成上述配置后，可以运行以下命令来测试续期流程是否正常：

   certbot renew --manual --preferred-challenges=dns --manual-auth-hook "/path/to/dnspod.sh" --manual-cleanup-hook "/path/to/dnspod.sh clean" --deploy-hook "/path/to/renew_and_reload_nginx.sh" --dry-run

   若没有错误提示，就说明自动续期配置成功（加上 --dry-run 参数表示使用 Let’s Encrypt 的测试服务器，可防止多次使用真实服务器频繁颁发证书达到速率限制）。

七、深入解读关键环节

（一）DNS 验证和自动化挑战

（二）Crontab 定时任务

（三）Nginx 重载

八、配置完成后的效果检查

sudo certbot certificates

/etc/letsencrypt/live/your-domain-name/

/etc/letsencrypt/live/seoaide.cn/

sudo certbot certificates

命令输出示例如下：

Certificate Name: seoaide.cn
    Domains: seoaide.cn www.seoaide.cn
    Expiry Date: 2024-02-10 14:30:00+00:00 (VALID: 75 days)
    Certificate Path: /etc/letsencrypt/live/seoaide.cn/fullchain.pem
    Private Key Path: /etc/letsencrypt/live/seoaide.cn/privkey.pem

（二）nginx 配置证书示例

server {
    listen 80;
    server_name seoaide.cn www.seoaide.cn;
 
    location / {
        return 301 https://$host$request_uri;
    }
}
 
server {
    listen 443 ssl;
    server_name seoaide.cn www.seoaide.cn;
 
    ssl_certificate /etc/letsencrypt/live/seoaide.cn/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/seoaide.cn/privkey.pem;
 
    location / {
        proxy_pass http://127.001:8080;
    }
}

services:
  nginx:
    image: nginx:latest
    networks:
     - spy
    ports:
      - "80:80"
      - "443:443"
    environment:
      - TZ=Asia/Shanghai # 设置为上海时区
    volumes:
    # 主配置
      -./nginx/nginx.conf:/etc/nginx/nginx.conf:rw 
    # include配置
      -./nginx/conf.d/:/etc/nginx/conf.d/:rw
    # 证书
      - /etc/letsencrypt/live/seoaide.cn/fullchain.pem:/etc/ssl/certs/seoaide.cn/fullchain.pem:rw