免费 SSL 证书申请

这是一个免费 SSL 证书在线申请工具：完全在浏览器里运行的 ACME 客户端，从 Let's Encrypt 拿到真正受浏览器信任的证书。适合没法在服务器上运行 certbot 的场景：虚拟主机、需要上传证书的 CDN 或云厂商控制台、路由器和 NAS、临时测试。自己能登录的服务器，更推荐用一键部署命令生成器配好自动续期。

使用步骤

1. 填写域名，例如 example.com www.example.com；要通配符就填 example.com *.example.com。
2. 选择验证方式：HTTP 文件或 DNS TXT 记录（见下表）。
3. 开始申请。浏览器生成 Let's Encrypt 账户密钥并创建订单，列出每个域名需要放的文件或记录。
4. 放好文件或添加 TXT 记录，点击 检查。ssl.sh 会直接问域名的权威 DNS 服务器，或通过 HTTP 读取验证文件，逐个标出“已就位”或“还没查到”。
5. 验证并签发。Let's Encrypt 逐个验证域名，通过后页面生成私钥和 CSR、提交订单并下载证书链。
6. 下载完整证书链和私钥，安装到服务器或上传到控制台。

等 DNS 生效时关掉了页面也没关系，再打开本页会提示继续未完成的订单，Let's Encrypt 会保留订单大约一周。

用 HTTP 文件还是 DNS 记录？

网站已经能访问时用 HTTP 文件最快；能修改域名解析就能用 DNS 记录，通配符只能用 DNS。

HTTP 验证时 Let's Encrypt 会跟随跳转到 HTTPS，所以全站强制 HTTPS 的网站也能验证。但登录页、WAF 规则、防盗链，或者由 CDN 直接响应 /.well-known/acme-challenge/ 都会导致失败。

下载得到的文件

IIS、Azure、Java 需要 PFX 格式，用 PEM 转 PFX 合并即可。TLS 配置生成器 可以写出对应的服务器配置，装好后用 SSL 检查 确认证书链完整。

数据去了哪里

账户密钥只在你的浏览器里。清除网站数据后，下次申请会自动用新账户，唯一的影响是不能再继续之前未完成的订单。

续期和证书有效期

Let's Encrypt 证书目前有效期 90 天，默认值 2027 年 2 月 10 日降到 64 天，2028 年 2 月 16 日降到 45 天，和 47 天时间线 一致。Let's Encrypt 还在 2025 年 6 月 4 日停发了到期提醒邮件。手动申请的证书只能手动续期，续期会越来越频繁，而且没人提醒。

自己的服务器，花几分钟用一键部署命令生成器配好 certbot 或 acme.sh，以后就会在后台自动续期。只能上传证书的平台，建议在有效期过去三分之二时（90 天证书的第 60 天左右）安排提醒，或用有效期计算器算出下次更换的日期。

限制和常见错误

• 频率限制：同一组域名每 7 天最多签发 5 张证书，同一域名每小时最多验证失败 5 次。详见 Let's Encrypt 频率限制。想先演练可以选测试环境。
• CAA 记录：域名有 CAA 记录时，其中必须有一条允许 letsencrypt.org，见 CAA 记录导致无法签发，也可以用 CAA 检查 确认。
• 80 端口超时：HTTP 验证时连不上，先在防火墙和云服务器安全组放行 80 端口，或者改用 DNS 验证，见 Timeout during connect。
• NXDOMAIN 或 TXT 值不对：记录没加、还没生效，或者主机记录多写了一遍域名（变成 _acme-challenge.example.com.example.com），见 DNS problem: NXDOMAIN。

背后的协议原理见 ACME 协议是怎么工作的。