Levi Blog

什么是 acme.sh？#

acme.sh 是一个纯 Shell 编写的 ACME 协议客户端。与官方的 Certbot 相比，它有以下显著优势：

• 轻量级：无任何依赖，不需要安装 Python。
• 兼容性：支持几乎所有 Linux 发行版。
• 功能全：自动处理 cron 任务，支持自动注入证书到 Nginx/Apache，支持 Docker 部署。
• DNS 支持：内置了 100+ 种 DNS 服务商的 API 支持。

第一步：安装 acme.sh#

安装过程非常简单，只需要一行命令。建议切换到 root 用户执行。

1
# 替换为你的真实邮箱，用于接收证书过期提醒
2
curl https://get.acme.sh | sh -s email=my@example.com

安装完成后，脚本会自动完成以下操作：

1. 将 acme.sh 安装到 ~/.acme.sh/ 目录。
2. 创建 alias acme.sh=~/.acme.sh/acme.sh 别名。
3. 自动创建每日 Cron Job 以检查证书是否需要更新。

1
source ~/.bashrc

第二步：切换默认 CA（推荐）#

acme.sh 默认使用 ZeroSSL 作为证书颁发机构。如果你更习惯使用 Let’s Encrypt，可以随时切换：

1
acme.sh --set-default-ca --server letsencrypt

第三步：申请证书（推荐 DNS 方式）#

acme.sh 支持 HTTP 验证和 DNS 验证。强烈推荐使用 DNS 验证，因为：

1. 支持泛域名证书（如 *.example.com）。
2. 不需要依赖 Web 服务器，不需要公网 IP（内网服务器也能用）。
3. 如果不使用 API 自动验证，每 3 个月要手动解析一次 TXT 记录，非常麻烦。

1
export CF_Token="你的_API_Token"
2
export CF_Account_ID="你的_Account_ID"
3

4
# 申请泛域名证书（包括主域名和所有子域名）
5
# --keylength ec-256 表示申请更现代、更快速的 ECC 证书
6
acme.sh --issue --dns dns_cf -d example.com -d *.example.com --keylength ec-256

第四步：安装证书到 Web 服务器#

千万不要直接在 Nginx/Apache 配置文件中指向 ~/.acme.sh/ 目录下的文件。该目录结构随时可能变动。

你应该使用 --install-cert 命令将证书复制到指定位置，并告知脚本重载 Web 服务。

1
mkdir -p /etc/nginx/ssl
2

3
acme.sh --install-cert -d example.com --ecc \
4
--key-file       /etc/nginx/ssl/server.key  \
5
--fullchain-file /etc/nginx/ssl/fullchain.cer \
6
--reloadcmd     "systemctl force-reload nginx"

1
server {
2
    listen 443 ssl http2;
3
    server_name example.com;
4

5
    # 证书路径配置
6
    ssl_certificate     /etc/nginx/ssl/fullchain.cer;
7
    ssl_certificate_key /etc/nginx/ssl/server.key;
8

9
    # 推荐的 SSL 安全参数
10
    ssl_protocols TLSv1.2 TLSv1.3;
11
    ssl_ciphers EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
12

13
    # ... 其他配置
14
}

进阶：如何更新证书？#

1
acme.sh --upgrade --auto-upgrade

常见问题排查#

1. Unknown error (DNS 验证失败)

   • 检查 API Token 权限是否正确（是否包含 Zone.DNS 的 Edit 权限）。
   • 检查 DNS 服务器是否生效，有时生效有延迟，可以加 --dnssleep 60 参数让脚本多等一会儿。

2. Web 验证失败

   • 确保 80 端口开放且没有被防火墙拦截。
   • 如果你只是临时验证，没有 Nginx，可以使用 --standalone 模式（需临时停止占用 80 端口的服务）。

免责声明#