cron配合acme.sh脚本自动申请自动续期ssl证书
准备工作
- 已经解析过的域名，通过ping检查是否对应到ip
- 防火墙端口是否开启
1. 安装
安装 acme.sh
bash
curl https://get.acme.sh | sh
或者
bash
wget -O - https://get.acme.sh | sh
执行上面的命令，它会：
从 GitHub 上下载 sh 脚本并执行
把文件解压到用户的 ~/.acme.sh目录下
给命令行设置一个acme.sh的 alias 别名
查看alias方法
最后注册一个 cron 定时任务来自动更新证书。
安装完成后要自行重启命令行，或者重新加载一下.bashrc文件（source ~/.bashrc）
2. 签发 SSL 证书
签发 SSL 证书需要证明这个域名是属于你的，即域名所有权，一般有两种方式验证：http 和 dns 验证。
通过 acme.sh 可以签发单域名、多域名、泛域名证书，还可以签发 ECC 证书。为了简单起见，这里以单域名证书为例，后面再拓展一下好了。
下面任意一种方式只要安装成功了就行！
注意：这一步只是生成了证书，并没有进行配置，因此访问网站当然上不了 https。
3. HTTP 验证 (重要，推荐)
这种方式 acme.sh 会自动在你的网站根目录下放置一个文件，来验证你的域名所有权，验证之后就签发证书，最后会自动删除验证文件。
前提是要绑定的域名已经绑定到了所在服务器上，且可以通过公网进行访问！
3.1.1 Webroot mode (网站根目录，即运行http服务的端口的目录)
http方式需要在你的网站根目录放置一个文件验证所有权，验证通过后就可以生成证书了。http 方式需要在你的网站根目录下放置一个文件, 来验证你的域名所有权,完成验证. 然后就可以生成证书了.
acme.sh --issue -d example.com -w /home/wwwroot/example.com
只需要指定域名, 并指定域名所在的网站根目录. acme.sh 会全自动的生成验证文件, 并放到网站的根目录, 然后自动完成验证. 最后会聪明的删除验证文件. 整个过程没有任何副作用.
3.1.2 Apache / Nginx mode
如果用的是 Apache 或者 Nginx 服务器，可以自动寻找根目录，并且生成检测文件。
bash
acme.sh --issue -d example.com --apache # Apache
acme.sh --issue -d example.com --nginx # Nginx
如果找不到配置文件的话可以自行配置。
bash
acme.sh --issue -d example.com --nginx /etc/nginx/nginx.conf # 指定nginx的conf
acme.sh --issue -d example.com --nginx /etc/nginx/conf.d/example.com.conf # 指定网站的conf
3.1.3 Standalone mode (推荐)
如果你还没有运行任何 web 服务, 80 端口是空闲的, 那么 acme.sh 还能假装自己是一个webserver, 临时听在80 端口, 完成验证，这种方式下，acme.sh 会自己建立一个服务器来完成签发。主要适合的是没有建立服务器的情况，不过其实有服务器的话只要暂时关闭，不造成端口冲突就能使用。
bash
acme.sh --issue -d example.com --standalone
如果用了反代之类的不是 80 端口，则可以手动指定。
bash
acme.sh --issue -d example.com --standalone --httpport 88
当然它还支持 tls 模式，不是 443 端口的话也可以自行指定。
bash
acme.sh --issue -d example.com --alpn
acme.sh --issue -d example.com --alpn --tlsport 8443 # 自行指定tls端口
4. dns验证
dns验证需要验证txt记录，适用于申请通配符证书
4.1. dns有验证有两种途径，一种是手动解析域名，然后生成一个解析记录，给域名配置上一个txt记录就可以验证了，具体操作也可以参考上面提到的wiki，笔者曾尝试使用这种方法，不知道是姿势不对还是别的什么原因，没有任何返回任何值
这种方式的好处是, 你不需要任何服务器, 不需要任何公网 ip, 只需要 dns 的解析记录即可完成验证。
这种方式的缺点是，如果不同时配置 Automatic DNS API，使用这种方式 acme.sh 将无法自动更新证书，每次都需要手动再次重新解析验证域名所有权。
用法：（手动添加解析）
acme.sh --issue --dns -d http://mydomain.com
然后, acme.sh 会生成相应的解析记录显示出来, 你只需要在你的域名管理面板中添加这条 txt 记录即可.
等待解析完成之后, 重新生成证书:
acme.sh --renew -d http://mydomain.com
注意第二次这里用的是 --renew
4.2. dns验证的另一种途径是通过域名解析商提供的api来自动添加txt记录完成验证，目前支持dnspod、aliyun等数种域名解析商
api方法
通配符域名证书申请教程
https://juejin.cn/post/6982530467585064968 (推荐)
http://www.gmloc.me/50.html
以 dnspod 为例, 你需要先登录到 dnspod 账号, 生成你的 api id 和 api key, 都是免费的. 然后:
export DP_Id="1234"
export DP_Key="sADDsdasdgdsf"
acme.sh --issue --dns dns_dp -d http://aa.com -d http://www.aa.com
证书就会自动生成了. 这里给出的 api id 和 api key 会被自动记录下来, 将来你在使用 dnspod api 的时候, 就不需要再次指定了. 直接生成就好了:
acme.sh --issue -d http://mydomain2.com --dns dns_dp
泛域名证书申请注意一点
acme.sh --issue --dns -d mydomain.com -d *.mydomain.com ##通配符不包括顶级域名，需要顶级域名证书要另外添加 -d mydomain.com
实例分析：
- trojan 脚本一键申请ssl证书 （ https://github.com/acmesh-official/acme.sh/archive/master.tar.gz
）
https://github.com/acmesh-official/acme.sh
未完后续看情况补充
更新证书
证书的有效期为 90 天，acme.sh 会 60 天更新（Renew）一次。
在安装 acme.sh 的时候就自动配置了一条 cron 任务了，会每天检查证书的情况。当然可以到 crontab 里看一下。
bash
# crontab -l
43 0 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null
也可以试着用上面这条命令执行看一下相关的配置是否正确。
强制更新可以这样。
bash
acme.sh --renew -d example.com --force
acme.sh --renew -d example.com --force --ecc # 如果用的是ECC证书
停止更新证书
查看证书列表
bash
acme.sh --list
停止 Renew
bash
acme.sh --remove -d example.com [--ecc]
之后手动把目录下的证书移除就行。
更新
实例：申请泛域名证书（通配符证书）
注意：通配符证书*.example.com不包括example.com
