免费通配符SSL证书申请+Nginx自动部署+到期监控完整教程
SSL证书对网站安全至关重要但传统的手动管理方式繁琐且容易出错。本文介绍一套完整的自动化SSL证书管理方案覆盖从申请到部署到监控的全流程。适用场景个人网站/博客中小企业官网有多个子域名的项目需要自动化运维的团队一、什么是通配符SSL证书通配符证书Wildcard SSL使用*匹配所有子域名*.example.com覆盖所有一级子域名一张证书替代多张单域名证书申请一次多个子域名共用优势成本低免费、管理简单、覆盖全面二、工具准备申请、部署、监控这几步分开做也行acme.sh 自写脚本 监控告警但维护成本不低。本文统一用一个证书管理控制台来完成微信扫码即可使用地址见文末重点放在流程本身各步骤同样适用于你自己的工具组合。三、申请免费通配符证书步骤1登录平台打开证书管理控制台微信扫码登录。步骤2新建证书申请点击「申请证书」填写主域名example.com勾选「通配符」自动生成*.example.com验证方式DNS验证步骤3DNS验证系统提示添加TXT记录主机记录: _acme-challenge 记录类型: TXT 记录值: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx在域名服务商控制台添加后点击「验证」。步骤4证书签发验证通过后证书自动签发。下载fullchain.crt完整证书链privkey.key私钥四、Nginx部署配置上传证书到服务器mkdir-p/etc/ssl/certs/example.com# 使用scp或其他方式上传证书文件scpfullchain.crt privkey.key userserver:/etc/ssl/certs/example.com/Nginx配置文件# HTTP强制跳转HTTPS server { listen 80; server_name example.com *.example.com; return 301 https://$host$request_uri; } # HTTPS配置 server { listen 443 ssl http2; server_name *.example.com; ssl_certificate /etc/ssl/certs/example.com/fullchain.crt; ssl_certificate_key /etc/ssl/certs/example.com/privkey.key; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5; ssl_session_cache shared:SSL:10m; ssl_session_timeout 10m; # 你的业务配置 root /var/www/html; index index.html; }验证并重载# 测试配置nginx-t# 重载Nginxnginx-sreload五、自动化部署到CDN/OSS配置阿里云CDN自动部署在阿里云RAM控制台创建子账号授权AliyunCDNFullAccess生成AccessKey ID和Secret在证书助手「自动部署」中添加类型阿里云CDNAccessKey填写上述信息加速域名选择对应域名配置完成后每次证书续签自动推送到CDN。配置OSS自动部署类似CDN配置授权AliyunOSSFullAccess在自动部署中选择OSS类型和对应Bucket。六、证书到期监控预警在「监控预警」中配置预警时间通知方式到期前30天微信通知到期前15天微信通知到期前7天微信通知紧急七、常见问题QDNS验证一直不通过怎么办ADNS记录生效需要时间1-10分钟等待后重试。确认TXT记录添加在_acme-challenge.yourdomain.com。Q证书续签后Nginx没有更新A在自动部署中添加「执行SSH命令」步骤命令nginx -s reload。QCDN报证书错误但服务器正常ACDN需要单独推送证书配置自动部署到CDN即可解决。总结通过以上配置实现了✅ 免费通配符SSL证书✅ Nginx自动化部署✅ CDN/OSS自动同步✅ 到期自动续签✅ 监控预警兜底本文用到的是 Spug 证书助手官网 ssl.spug.cc需要的可以自取。
