免费 SSL 一键部署命令生成

这个生成器帮你写好申请 Let's Encrypt 免费证书并自动续期的全部命令。选择 Web 服务器、ACME 客户端和验证方式后，把编号步骤依次粘贴到服务器的 root 终端：安装客户端，按需填写 DNS API 密钥，申请证书，接入 Nginx 或 Apache，确认自动续期，最后用 curl ssl.sh/你的域名 检查结果。生成过程完全在浏览器里完成。

如果没有服务器的命令行权限，比如虚拟主机，或只能上传证书的 CDN、云控制台，请改用免费 SSL 证书申请工具。

使用方法

1. 域名：证书要包含的域名，例如 example.com www.example.com。勾选“包含通配符”会加上 *.example.com，并去掉已被通配符覆盖的子域名。
2. Web 服务器：Nginx、Apache、其他或没有 Web 服务器、Caddy、宝塔面板。Caddy 和宝塔会自己申请证书，生成器给出对应的配置或面板操作步骤。
3. 操作系统：Ubuntu/Debian 或 RHEL 系（Rocky、AlmaLinux、CentOS Stream），影响安装命令和 Apache 服务名（apache2 或 httpd）。
4. ACME 客户端：certbot 或 acme.sh，区别见下表。
5. 验证方式：HTTP（80 端口）或 DNS API。通配符证书只能用 DNS。
6. 更多选项：密钥类型（默认 ECDSA P-256，需要兼容很老的客户端时选 RSA 2048）、可选的邮箱，以及 acme.sh 的 Gitee 镜像（服务器在中国大陆时建议勾选）。

certbot 和 acme.sh 对比

两个都是成熟的 ACME 客户端，都会自动续期，主要区别在安装方式和支持的 DNS 服务商。

选了 certbot 又选了它没有官方插件的 DNS 服务商（阿里云、DNSPod 等）时，生成器会自动改用 acme.sh 并给出提示。

每一步在做什么

• 安装：certbot 按 certbot.eff.org 的推荐用 snap 安装，DNS 插件需要先允许 trust-plugin-with-root。acme.sh 以 root 安装并添加 cron 任务，然后把默认 CA 切换到 Let's Encrypt。
• DNS 密钥：certbot 读取权限为 600 的 /root/.secrets/cloudflare.ini 或 root 用户的 AWS 凭据；acme.sh 第一次读取 export 的环境变量后，会保存到 ~/.acme.sh/account.conf，续期时自动使用。
• 申请证书：certbot 的 Nginx、Apache 插件一条命令完成 HTTP 验证、安装证书和 HTTPS 跳转。其他情况用 certonly 配合 --webroot、--standalone 或 DNS 插件，并加上 --deploy-hook，每次续期后自动重载服务器。
• 安装和配置：acme.sh 和 certbot certonly 之后，会给出 ssl_certificate 或 SSLCertificateFile 配置行。协议和密码套件可以用 TLS 配置生成器 补全。
• 确认续期：最后的命令只是确认定时任务存在；certbot renew --dry-run 会在测试环境完整演练一次续期。

运行前确认

• HTTP 验证时，每个域名都要解析到这台服务器，80 端口要在防火墙和云服务器安全组里放行。
• 服务器在中国大陆、域名没有备案时，云厂商通常会拦截 80 端口访问，请用 DNS 验证。
• 域名有 CAA 记录时，必须有一条允许 letsencrypt.org，可以用 CAA 检查 确认。
• 第一次尝试可以先用测试环境：certbot 加 --test-cert，acme.sh 加 --staging，失败不会占用正式环境的频率限制。

带排错说明的完整教程：acme.sh + 阿里云/DNSPod、Nginx + certbot、Apache + certbot、certbot + Cloudflare 通配符、宝塔面板 和 Caddy。