申请免费半年通配符SSL证书&IP证书教程

2022-09-30主机推荐 浏览

之前本站一直用的是 AlphaSSL 野卡通配符证书，价格30元一年，免费通配符证书可以选择 Let's Encrypt，不过证书有效期只有90天，过期后就需要重新签发。虽然可以通过 acme.sh 脚本来实现自动续期，但是如果使用了 CDN 的话，CDN 上的证书还是只能通过手动更新。
近期 ACME 支持了有效期半年的免费通配符SSL证书，而且还支持签发免费 IPv4 & IPv6 证书，嗨CA项目官网：https://www1.hi.cn/，注意不支持 .ru、.by、.su 俄罗斯域名，话不多说直接看教程。

签发教程

首先 SSH 连接服务器，安装 acme.sh
# 注意修改邮箱地址
curl  https://get.acme.sh | sh -s email=my@example.com
 # 设置 acme.sh 自动升级
cd ~/.acme.sh/
acme.sh --upgrade --auto-upgrade
IP 证书
需要确保 80 端口可以正常访问，否则无法签发，由于 acme.sh 默认60天会自动续签证书，而 IPv4 证书的有效期是180天，所以这里还需要使用 --days 参数自定义续签时间。
acme.sh --issue -d [你的IP] --webroot [你的网站目录] --server https://acme.hi.cn/directory --days 150
 # 例:
## IPv4
acme.sh --issue -d 1.2.3.4 --webroot /home/wwwroot/ --server https://acme.hi.cn/directory --days 150
 ## IPv6（CA 限制，有效期90天）
acme.sh --issue -d 240e:3a0:20f:2d97:274:79c7:9b53:4789 --webroot /home/wwwroot/ --server https://acme.hi.cn/directory
通配符证书
需要先确认你的 DNS 服务商，这里以 DNSPod.cn 为例，首先获取你的 API Key 和 ID，登录 DNSPod 控制台 选择 DNSPod Token 申请即可，然后将你的 DNSPod API Key 和 ID 用下方命令设置成临时变量：
export DP_Id="1234"
export DP_Key="sADDsdasdgdsf"
好了现在就可以申请你的证书了，用 acme.sh 的 DNS API 模式申请证书会自动给你的域名添加一条 txt 记录用于认证，申请完后可以自行删除，将下方命令中的 example.com 改成你要申请的域名即可。
acme.sh --issue -d *.example.com -d example.com --dns dns_dp --server https://acme.hi.cn/directory --days 150
稍等片刻你的证书就签发成功了，证书文件保存在 ~/.acme.sh/ 目录下以你域名或 IP 命名的子目录，如果你是其他的 DNS 服务商，参考：How to use DNS API。
部署
宝塔面板（Nginx）部署只需要复制 [你的IP/域名].key 的内容到面板的 密钥(KEY) 文本框中，然后复制 [你的IP/域名]/fullchain.cer 到 证书(PEM格式) 文本框中，保存即可使用。

补充说明

acme.sh 的高级功能较多，具体使用可用查阅官方Wiki和参数说明
卸载脚本
# 使用下方的命令即可卸载，然后手动删除 ~/.acme.sh/ 目录和 crontab 的定时任务即可
acme.sh --uninstall
删除证书
# 查看证书列表
acme.sh --list
# 吊销证书，删除证书并不会吊销证书
acme.sh --revoke <SAN_Domains>
# 删除证书，执行完毕后根据提示手动移除证书目录即可
acme.sh --remove <SAN_Domains>
强制续签
默认自动续签时间是2个月，到期后会自动续签，在命令后加上 --force 参数，可以强制续签
acme.sh --issue -d *.example.com -d example.com --dns dns_dp --server https://acme.hi.cn/directory --force