🖊️ 前言

本文将以域名托管在 Cloudflare 为例，适用于所有需要开启 Https 的网站

如果你正在使用其他的域名服务商，只需照葫芦画瓢进行操作即可👩🏻‍💻🧑🏻‍💻。

⚠️ 注意事项

由于 ACME 脚本 和 GTS API 被墙，本文可能不适用于使用大陆境内的服务器申请 GTS 的证书，可能会遇到无法正常下发证书。

如果你仍坚持使用 GTS，那么可以尝试使用这些方法。

4、使用境外服务器申请证书后，将证书发送到境内服务器上（需要在证书过期前手动操作）

5、使用 GitHub Action 代申请证书，前提是你可以正常访问 GitHub。

我找到了两篇关于如何使用 GitHub Action 申请证书的文章，你需要根据实际情况替换详细配置。

• 使用 GitHub Actions 自动申请与部署 ACME SSL 证书 - Menci’s Blog
• 使用 GitHub Actions 自动申请与部署 SSL 证书 - 宝硕博客

6、如果上述操作你都觉得麻烦，请使用境外服务器托管网站；或使用境内服务器可访问的 CA 如 ：

• ZeroSSL：acme.zerossl.com/v2/DV90
• Let's Encrypt：acme-v02.api.letsencrypt.org

👨🏻‍💻 准备步骤

在继续阅读前，你需要先了解以下知识

关于如何将 ip 与域名绑定请参考这篇文章：

通过 CloudFlare 开启全站 Https

本文将介绍如何注册 Cloudflare，并将域名托管在 Cloudflare，最后利用 CloudFlare 的「灵活模式」开启全站 Https。

Yummy's BlogYummy

与这篇文章不同的是，我们将帮源站申请自签证书，因此开启的模式为 完全 ，即：

全程加密但不完全：如果用户发出的是 HTTP 请求，那么用户到 Cloudflare 和 Cloudflare 到源站均会使用 HTTP 协议；如果用户发出的是 HTTPS 请求，那么用户到 Cloudflare 会使用 Cloudflare 提供的证书进行加密，而 Cloudflare 到源站会使用源站的证书进行加密。

必选项

1. 服务器一台（已搭建网站）；
2. ssh 连接工具，例如：Xshell、FinalShell 、Termius 、Mac 终端 等；
3. 域名一个：请确保你可以访问该域名的 DNS 配置；
4. 提前安装 Nginx

# 安装 NGINX
sudo apt-get install -y nginx

可选项

1. 提前安装 cron，用于生成为证书自动续期的定时任务（希望手动续期时可忽略）

# 安装 cron
sudo apt install cron -y

2. 提前安装 socat （用于使用 standalone 模式验证域名）

# 安装 socat
sudo apt install socat -y

3. 为 Docker 项目添加反向代理

假如你的项目基于 Docker 搭建的网站（以 RSSHub 为例），此方式不会在 Nginx 目录下生成配置。

不过，我们还是需要利用 Nginx 做反向代理，实现不带端口号直接访问域名。申请证书后再添加一个 302 跳转以实现 Htpps 访问。因此，我们需要手动填写一些配置。

以使用 sites-available 和 sites-enabled 管理网站为例：

# 进入 Nginx 配置文件夹
cd /etc/nginx/sites-available/

# 添加网站跳转配置
vi [Your Domains]  # 也可以是你喜欢的编辑器

填入以下内容，并保存文件。

# HTTP配置
server {
    listen 80;
    
    #填写绑定证书的域名
    server_name [Your Domains];

    # 反向代理 1200 端口，实现 80 端口访问 RSSHub
    location / {
        proxy_pass http://localhost:1200;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}    

随后，我们需要将这份配置添加到 sites-enabled 以启用该配置。

# 添加软连接，激活该配置
sudo ln -s /etc/nginx/sites-available/[Your Domains] /etc/nginx/sites-enabled/


# 检查 Nginx 配置并重载：
sudo nginx -t
sudo systemctl reload nginx

如果提示找不到文件，请检查你的/etc/nginx/nginx.conf 文件

# 配置文件必须以 .conf 为后戳
include /etc/nginx/conf.d/*.conf;

# 无论文件后缀是什么（即使是 .doc、.txt 或者无后缀）。
include /etc/nginx/sites-enabled/*;

当 Nginx 重载成功后，你现在可以直接使用域名（不带端口号）进行 http 访问了

一、申请证书-获取EAB 密钥

通过 ACME 脚本申请 GTS 证书时，会要求你提供 b64MacKey 和 keyId，以下是它的获取方法。

1、通过 Google Cloud Shell 获取 （网页端操作）

这是最简单，且提供可视化的一种方式。

1.1、前往 Google Cloud 页面，在右上角新建一个名为 Google Trust Services 的项目，并启用 Public Certificate Authority API

1.2、选择你刚刚创建的新项目，点击右上角的"激活 Cloud Shell"，成功授权后在Cloud Shell 输入

# 如需请求 EAB 密钥 ID 和 HMAC，请运行以下命令：
gcloud publicca external-account-keys create

此命令会返回对生产环境有效的 EAB 密钥 和公共 CA 环境中。在响应正文中，keyId 字段包含 EAB 密钥 ID，b64MacKey 字段包含 EAB HMAC。

Created an external account key
[b64MacKey: xxxxxx
keyId: xxxxxx]

2、通过 gcloud cli 获取（服务器端操作）

与上面最终获取的内容一致，不过是在服务器上操作。（不适合新手操作）

2.1、安装 gcloud cli

请参考 Google Cloud 官方文档在服务器上 安装 gcloud cli

2.2、完成安装并执行 gcloud init 初始化后，执行以下命令

# 创建一个谷歌云项目 
gcloud projects create PROJECT_ID

• 将PROJECT_ID替换为您正在创建的谷歌云项目的名称。

# 选择您创建的谷歌云项目：
gcloud config set project PROJECT_ID

• 将PROJECT_ID替换为您的谷歌云项目名称。

Tips： 确保您拥有所有者（roles/owner）或公共CA外部帐户密钥创建者（publicca.externalAccountKeyCreator）IAM角色。

如需授予公共CA外部帐户密钥创建者（publicca.externalAccountKeyCreator）IAM角色，请运行以下命令：

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=user:USER \
  --role=roles/publicca.externalAccountKeyCreator

替换以下内容：
PROJECT_ID：您的谷歌云项目的 ID
USER：您要对其执行删除操作的用户的唯一标识符分配IAM角色

2.3、启用公共 CA API

gcloud services enable publicca.googleapis.com

2.4、请求 EAB 密钥 ID 和 HMAC

gcloud publicca external-account-keys create

此命令会返回对生产环境有效的 EAB 密钥 和公共 CA 环境中。在响应正文中，keyId 字段包含 EAB 密钥 ID，b64MacKey 字段包含 EAB HMAC。

Created an external account key
[b64MacKey: xxxxxx
keyId: xxxxxx]

二、安装并配置 acme.sh

1、安装 acme.sh

如果你正在使用如 Oneinstack, LNMP.org, bt.cn, 1Panel 等服务器面板或管理脚本的话，对应程序可能已安装或集成了acme.sh。

# 安装acme脚本，指定邮箱用于接收证书过期通知
# 将[Your Mail]替换为您的邮箱地址。
curl https://get.acme.sh | sh -s email=[Your Mail]

# 重新加载当前用户的环境变量，确保 acme.sh 的命令可立即生效。
source ~/.bashrc

#  设置 ACME 脚本自动更新
acme.sh --upgrade --auto-upgrade

# 设置 Google 作为默认 CA
# 如果你一台服务器上有多个域名的 acme 任务，则可能自动更新失败
# 因此这里推荐使用 --accountconf 指定一个配置文件
acme.sh --set-default-ca --server google --accountconf /root/.acme.sh/account-custom.conf

如果你正在使用 ACME 脚本为多个域名，使用不同的账号/CA颁发证书，请善用--accountconf 命令为每个域名创建自己的配置。

account-custom.conf 可以自定义名称

2、注册 acme 账号

acme.sh --register-account \
        --server google -m [Your Mail] \
        --eab-kid [Your keyId] \
        --eab-hmac-key [Your b64MacKey]        

• 将[Your Mail]替换为您的邮箱地址。
• 将 [Your keyId]、[Your b64MacKey]替换为 步骤1️⃣申请到的 keyId 和b64MacKey。
• 你也可以将 --server google 替换为 --server https://dv.acme-v02.api.pki.goog/directory

看到类似下面的输出内容，即代表注册成功

Registering account: https://dv.acme-v02.api.pki.goog/directory
Registered
ACCOUNT_THUMBPRINT='xxxxxxxxxxxxxxxxxxxxxxxx'

三、签发 Google Trust Service 证书

签发证书有两种方式：

• 通过公网 ip 验证域名所有权（Webroot 、 Nginx 以及 Standalone 模式）；
• 假如你的服务器没有公网 ip ，那么只能通过 DNS 验证。

当你使用支持的 DNS 服务商（如 Cloudflare、AliDNS 等）时，acme.sh 可以通过 API 自动创建和删除 _acme-challenge TXT 记录，从而完成验证和自动续期。

接下来，请选择最适合你的验证模式来申请证书以启用 https。

3.1、通过公网 ip 验证域名所有权

3.1.1、域名验证 : 请在下面三种模式中选择最适合你的

• Nginx 模式：

# 为主域名以及 www 子域名申请证书，按照个人需求即可
acme.sh --issue -d [Your Domains] -d www.[Your Domains] --nginx

# 若果脚本提示找不到 Nginx 的 conf 路径，可自定义路径。
# 具体路径和 .conf 文件名因人而异，这里为默认目录和默认文件名
acme.sh --issue -d [Your Domains] --nginx /etc/nginx/conf.d/nginx.conf

• Webroot 模式：

# 若已搭建网络服务，可使用 HTTP 验证
acme.sh --issue -d [Your Domains] -d www.[Your Domains] --webroot /home/wwwroot/[Your Domains]/

• Standalone 模式：

# 如果 80 端口空闲,ACME 脚本可临时监听在 80 端口完成验证
acme.sh --issue -d [Your Domains] -d www.[Your Domains] --standalone

如遇到问题，请查看 🛠️ 故障排查 章节

3.1.2、安装证书到指定文件夹

我们需要将安装证书到指定文件夹 ，以确保证书后期的自动更新。

#  reloadcmd 命令意思是：证书更新后重启网络服务
acme.sh --install-cert -d [Your Domains] \
    --key-file         /path/to/ssl/[Your Domains]  \
    --fullchain-file   /path/to/ssl/[Your Domains].pem  \
    --ca-file          /path/to/ssl/ca.pem 
    --reloadcmd  "service nginx force-reload"

• 将[Your Domains]替换为您的域名。
• 确保替换 /path/to/ssl/ 为你实际想要存放证书的路径（如 /etc/nginx/ssl/）

如果目录不存在，运行下面命令。创建目录后再次安装证书。

# 创建目录
sudo mkdir -p /etc/nginx/ssl/

# 如问题仍存在，请检查权限问题；
# 授权文件夹
sudo chown -R www-data:www-data /etc/nginx/ssl/

完成以后，证书无需任何操作会在 证书到期前30天 自动更新，若想要停止某域名证书的自动更新使用acme.sh --remove -d [Your Domains] 命令，或者在安装目录中删除对应域名目录即可。

接下来只要修改 Nginx 配置即可。

如遇到问题，请查看 🛠️  故障排查 章节

3.2、通过 DNS 验证域名所有权

以使用 Cloudflare 的 API 为例，通过 DNS 验证申请通配符证书。

3.2.1、获取并导入 API Token

你可以选择使用 全局 API 还是单域 API，两者都可以在 Cloudflare API Token 获取。

创建单域 API ：

查看全局 API ：

我这里选择了单域 API，使用命令导入 API：

# 单域 API （只能控制这个域名）
export CF_Token="xxxxxxxxxxxxxxxxxxxxxxxx"
export CF_Account_ID="xxxxxxxxxxxxxxxxxxxxxxxx"
export CF_Zone_ID="xxxxxxxxxxxxxxxxxxxxxxxx"

# 全局 API （可以控制整个账号）
export CF_Key='xxxxxxxxxxxxxxxxxxxxxxxx'
export CF_Email="你的cloudflare邮箱"

• CF_Token 为你获取到的 用户 API 令牌
• CF_Account_ID 和 CF_Zone_ID 可以在你域名概述页面侧边栏的 API 分栏看到。

3.2.2、完成导入后，开始生成证书

# RSA 证书
acme.sh --issue --dns dns_cf -d [Your Domain] -d *.[Your Domain] --keylength 2048 --accountconf /root/.acme.sh/account-custom.conf

# ECC 证书
acme.sh --issue --dns dns_cf -d [Your Domain] -d *.[Your Domain] --ecc --accountconf /root/.acme.sh/account-custom.conf --dnssleep 30

• 将[Your Domain]替换为您需要申请证书的域名。
• 自定义了 account-custom.conf 文件名的注意替换

执行上述命令后，将分为两种情况：

1、已配置受支持的 API （例如 Cloudflare）时，脚本会自动操作，无需人为干预。在导入 API Token 步骤操作正确的前提下，运行完毕后会自动发放证书。

你可以继续阅读 3.2.3、修改 Cron 任务

# 查看已生成的证书
acme.sh --list

2、假如你的 DNS 服务商不支持通过 API 添加 TXT 记录，那么只能手动添加。
（缺点是无法自动更新证书，每次都需要我们手动修改 TXT 记录并验证）

命令运行完毕后，你将会看到许多红色显示的字样。不用担心，只是需要我们添加一下 TXT 记录。添加后再次验证即可正常发放证书。

我们只需要留意以下片段

Add the following TXT record:
Domain: '_acme-challenge.rsshubtest.yummy.best'
TXT value: '_-xh0X6nm72QtRGIwS7HgoX_no8KqaNZBZ0gMSRd8k4'

以 CloudFlare 界面为例，添加到 DNS 类型为 TXT ，其余按照图片示例填写完毕后，保存即可。

添加 TXT 记录后，再次验证证书

# RSA 证书
acme.sh	--server google --renew -d [Your Domain] \
  	    --dns --yes-I-know-dns-manual-mode-enough-go-ahead-please

# ECC 证书
acme.sh	--server google --renew -d [Your Domain] \
  		--ecc --dns --yes-I-know-dns-manual-mode-enough-go-ahead-please

3.2.3、修改 Cron 任务

由于我们使用了--accountconf 参数指定了配置文件，此时你的 Cron 自动任务也要做出对应的修改

运行 crontab -e 进行修改（如果有多个域名则应该相应的会有多个任务）

# 自动续签 RSA 证书任务
30 0 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" --accountconf "/root/.acme.sh/account-custom.conf" --keylength 2048 > /dev/null

# 自动续签 ECC 证书任务
45 0 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" --accountconf "/root/.acme.sh/account-custom.conf" --ecc > /dev/null

3.2.4、安装证书

# 安装 RSA 证书
acme.sh --install-cert -d [Your Domain] --keylength 2048
--key-file       /path/to/ssl/private.key  
--fullchain-file /path/to/ssl/fullchain.pem 
--ca-file        /path/to/ssl/ca.pem 

# 安装 ECC 证书
acme.sh --install-cert -d [Your Domain] --ecc 
--key-file       /path/to/ssl/ecc_private.key  
--fullchain-file /path/to/ssl/ecc_fullchain.pem 

• 将[Your Domains]替换为您的域名。
• --ca-file 两种证书生成的 CA证书 都一样的，随便选择一份证书安装即可。

如果目录不存在，运行下面命令。创建目录后再次安装证书。

# 创建目录
sudo mkdir -p /etc/nginx/ssl/

# 如问题仍存在，请检查权限问题；
# 授权文件夹
sudo chown -R www-data:www-data /etc/nginx/ssl/

3.2.5、设置 Https 跳转，以及证书位置

我在 准备步骤-可选项 章节，提到过这份文件。

# HTTP配置
server {
    listen 80;
    
    #填写绑定证书的域名
    server_name [Your Domain];
    
    #（第一种）把http的域名请求转成https
    return 301 https://$host$request_uri;
    
    #（第二种）强制将http的URL重写成https
    # rewrite ^(.*) https://$server_name$1 permanent; 
}

# HTTPS使用SSL访问的配置
server {
    listen 443 ssl;
    server_name [Your Domain];

    # RSA Cert
    ssl_certificate /etc/nginx/ssl/fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/private.key;

    
    # ECC Cert
    ssl_certificate /etc/nginx/ssl/ecc_fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/ecc_private.key;
    
    # 验证 ocsp（ RAS 和 ECC 生成的内容相同）
    ssl_trusted_certificate /etc/nginx/ssl/ca.pem;

    # 为 Docker 项目（RSSHub）配置反向代理，不需要就删掉
    location / {
        proxy_pass http://localhost:1200;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

保存后，检查配置并重载 nginx

# 检查 Nginx 配置
sudo nginx -t

# 重载 nginx
sudo systemctl reload nginx

开启成功，Enjoy! 🎉 🎉🎉

四、查看证书

• 你可以通过命令行查看；

# 检查证书 和 OCSP 
openssl s_client -connect [Your Domains]:443 -status

• 或通过浏览器查看

• 还可以在 myssl.com 查询

❓ 常见问题

🛠️ 故障排查

一、Webroot 模式下错误排查

1、证书到期未能正常自动更新：

运行以下命令，强制更新域名证书

acme.sh --renew -d [Your Domains] --force

如果更新失败并返回 Invalid status, ···/well-known/acme-challenge/··· was rejected. Our fetch received an HTTP status code of 404. 可以检查一下 Nginx 是否将所有 80 端口访问全部重定向至 443。 

如果全部重定向至 443，需要保留 /.well-known/acme-challenge/这个路径的 80 端口访问。

2、如果提示 HTTP 403 Forbidden 错误，则表示 Nginx 拒绝了这个请求。

常见原因可能是：

1、Nginx 配置问题：没有正确配置 .well-known/acme-challenge/ 路径。

• 在 Nginx 配置中加入以下内容

    # 配置 Webroot 用于 ACME Challenge
    
    location /.well-known/acme-challenge/ {
        root /var/www/html;  # 确保目录存在
        allow all;
    }

• 若仍失败，可尝试提升优先级

  # 优先匹配 /.well-known/acme-challenge/
  
  location ^~ /.well-known/acme-challenge/ {
        root /var/www/html;
        allow all;
        
        # 尝试匹配文件或返回 404
        try_files $uri =404;
    }

2、文件权限问题：Nginx 无法读取 Webroot 目录中的验证文件。

确保 Webroot 目录 /var/www/html/.well-known/acme-challenge/ 存在，并且 Nginx 有权限读取该目录。

sudo mkdir -p /var/www/html/.well-known/acme-challenge/
sudo chown -R www-data:www-data /var/www/html/

3、防火墙或安全规则：阻止了 HTTP 请求。

如果你使用了 防火墙（ufw、iptables） 或 云服务的安全组（如 AWS、GCP），请确保 80 端口是开放的：

sudo ufw allow 80
sudo ufw allow 443
sudo ufw reload

4. 确保 Let's Encrypt 能访问验证路径

创建测试文件：

echo "test" | sudo tee /var/www/html/.well-known/acme-challenge/test

使用浏览器访问 

http://[Your Domains]/.well-known/acme-challenge/test

或使用 curl：

curl -I http://rsshub1.yummy.best/.well-known/acme-challenge/test

• 如果返回 HTTP 200，说明路径访问正常。
• 如果仍然返回 403，请检查 Nginx 日志文件。

# 查看 Nginx 错误日志
sudo tail -f /var/log/nginx/error.log

📖 参考文章

文章不分先后

• Google Cloud 文档1
• Google Cloud 文档2
• 极客开发
• wittoy's Blog
• William's Blog