路线 A：Linux 云服务器 + Certbot 完整教程

一张表看懂

Certbot 是 EFF（电子前哨基金会，美国非营利组织）开发的免费工具：自动申请 Let's Encrypt 证书、自动改好 Nginx/Apache 配置、自动建好续期定时任务。官方安装向导在 https://certbot.eff.org/instructions，本文按它的推荐流程写，并补上「失败怎么看、怎么修」。

什么时候选这条路，什么时候别选

选它，如果你：

• 网站放在自己的云服务器上（阿里云 ECS、腾讯云 CVM、AWS、Vultr、搬瓦工……），你能用 SSH 登录；
• 网站由 Nginx 或 Apache 提供（curl -sI https://你的域名 的 server: 头显示 nginx 或 Apache）；
• 你或你的技术同事愿意敲几条命令。

别选它，如果你：

• 服务器上装了宝塔面板——用面板点鼠标更快，见路线 B：宝塔面板；
• 只有虚拟主机后台（cPanel）——见〔路线 C：cPanel〕；
• 根本没有服务器权限、只能管域名——见〔路线 D：Cloudflare〕；
• 网站建在 Shopify / Wix / WordPress.com——平台会自动签发，见〔路线 E：SaaS 平台〕。

不确定自己是哪条路线？先读〔部署前预检清单〕和《网站 SSL 证书免费部署完全指南》第 0.3 节的 6 道题流程图：

动手前的 4 项前置条件

这四项是「只看不改」的检查，先确认再动手，能挡掉后面 80% 的失败。

放行 80 / 443：两道门都要开

云服务器的端口有两道门：云控制台里的安全组（像小区大门）和服务器系统里的防火墙（像家门）。两道都要放行 TCP 80 和 443。

sudo ufw status
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

逐行解释：第 1 行查看 ufw 防火墙状态，如果显示 Status: inactive（未启用），说明这道门本来就开着，后两行可以不做；第 2、3 行分别放行 80 和 443。CentOS / Rocky / AlmaLinux 用 firewalld：

sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

--permanent 表示重启后依然有效，--reload 让设置马上生效，看到 success 即可。

步骤总览

第 0 步：登录服务器

1. 1. Windows 用户：打开「Windows 终端」或「PowerShell」（Windows 10/11 自带 ssh 命令）；Mac 用户：打开「终端」。也可以用云厂商网页控制台里的「远程连接 / Workbench / VNC」。
2. 2. 输入（把 IP 换成你的服务器 IP，把 root 换成你的用户名）：

ssh root@47.xx.xx.xx

1. 3. 第一次连接会问 Are you sure you want to continue connecting (yes/no)?，输入 yes 回车。
2. 4. 输入密码（输入时屏幕不会显示任何字符，这是正常的），回车。
3. 5. 看到类似 root@server:~# 或 ubuntu@server:~$ 的提示符，说明登录成功。

第 1 步：备份配置，确认网站能用 http 打开

改任何东西之前，先把配置目录复制一份。

sudo cp -a /etc/nginx /root/nginx-backup-$(date +%F)
sudo nginx -t
curl -sI http://你的域名 | head -1

逐行解释：

1. 1. 把整个 Nginx 配置目录复制一份到 /root/，文件夹名带今天的日期（出问题时可以原样恢复）。Apache 换成 sudo cp -a /etc/apache2 /root/apache2-backup-$(date +%F)（CentOS 是 /etc/httpd）。
2. 2. 检查当前配置语法。应看到 syntax is ok 和 test is successful。
3. 3. 确认网站 http 能访问，应看到 HTTP/1.1 200 OK（或 301/403）。

第 2 步：安装 Certbot

方法一（官方推荐）：snap 安装

sudo apt-get remove certbot
sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

逐行解释：

1. 1. 先删掉系统里可能存在的旧版 certbot（没有装过会提示「未安装」，没关系）。
2. 2. 用 snap（Ubuntu 自带的软件商店）安装最新版 Certbot。--classic 是官方要求的参数。
3. 3. 建一个「快捷方式」，让你在任何地方都能直接输入 certbot。如果提示 File exists，说明已经有了，忽略即可。

方法二：用系统软件源（apt / dnf）安装

sudo apt update
sudo apt install certbot python3-certbot-nginx

Apache 用户把第二行换成 sudo apt install certbot python3-certbot-apache。系统源的版本可能比 snap 旧一些，但同样能用、同样自带自动续期（实验环境里装的是 Certbot 4.0.0）。

CentOS / RHEL / Rocky / AlmaLinux

sudo dnf install epel-release
sudo dnf install certbot python3-certbot-nginx

逐行解释：第 1 行启用 EPEL（Fedora 社区维护的扩展软件源，certbot 在这里面）；第 2 行安装 Certbot 和 Nginx 插件。Apache（在这些系统里叫 httpd）用户安装 python3-certbot-apache mod_ssl。老的 CentOS 7 用 yum 代替 dnf（CentOS 7 已停止维护，建议尽早升级系统）。

装完检查一下：certbot --version 应输出版本号。

第 3 步：一条命令申请并安装证书（Nginx）

sudo certbot --nginx -d 你的域名 -d www.你的域名

逐段解释：--nginx 表示「用 Nginx 插件：自动验证 + 自动改配置」；每个 -d 后面跟一个域名，根域名和 www 都要写（把域名换成你自己的）。

第一次运行会问你几个问题：

1. 1. Enter email address：填一个常用邮箱（用于重要通知；Let's Encrypt 已不再发到期提醒邮件）。
2. 2. Please read the Terms of Service ... (Y)es/(N)o：输入 Y 同意服务条款。
3. 3. Would you be willing ... to share your email address with the EFF：是否订阅 EFF 新闻，Y 或 N 都可以。
4. 4. 等待十几秒，看到下面这样的输出就成功了：

你应该看到的关键字（这就是成功标志）：

• Successfully received certificate.：证书拿到了；
• This certificate expires on ...：到期日（约 90 天后）；
• Certbot has set up a scheduled task to automatically renew：自动续期已安排；
• Congratulations! You have successfully enabled HTTPS：已经部署到 Nginx。

Certbot 自动改了你的 Nginx 配置：加了 443 端口和证书路径，并把 80 端口的访问 301 跳转到 https。带 # managed by Certbot 的行就是它加的：

第 4 步：Apache 用户

sudo certbot --apache -d 你的域名 -d www.你的域名

和 Nginx 完全一样，只是把 --nginx 换成 --apache。Certbot 会新建一个 -le-ssl.conf 结尾的配置文件，并加好跳转。完成后检查：

sudo apachectl configtest

应看到 Syntax OK。CentOS 上如果报 mod_ssl 相关错误，先 sudo dnf install mod_ssl 再重试。

第 5 步：插件识别不了网站时（webroot 方式）

如果你的网站是 Docker、Node.js 等特殊架构，Certbot 插件识别不了，可以用 webroot（网站根目录）方式：

sudo certbot certonly --webroot -w /var/www/html -d 你的域名 -d www.你的域名

-w 后面填网站文件所在目录。Certbot 会在其中的 .well-known/acme-challenge/ 放一个临时文件，Let's Encrypt 通过 http://你的域名/.well-known/acme-challenge/... 读取它来确认你控制该域名。拿到证书后需要手动配置到网页软件里。

第 6 步：验证与验收

三件事都要做：命令验证、浏览器验证、在线检测。

curl -I http://你的域名
curl -vI https://你的域名 2>&1 | grep -E "subject|date|issuer|verify|HTTP/"

第 1 行应返回 301 Moved Permanently（http 自动跳 https）；第 2 行应看到 SSL certificate verify ok 和正确的到期日。

echo | openssl s_client -connect 你的域名:443 -servername 你的域名 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates

openssl s_client 像浏览器一样连接网站的 443 端口并取回证书；-servername 告诉服务器你要的是哪个域名（一台服务器常有多个网站）；第二个 openssl x509 把证书内容翻译成人能看懂的字；notAfter 就是到期时间（GMT 时间，北京时间要加 8 小时）。

浏览器里：点地址栏左侧图标 → 应显示「连接是安全的」→ 再点「证书有效」，能看到颁发对象（你的域名）、颁发者、有效期。

最后在 https://www.ssllabs.com/ssltest/ 输入域名跑一次，目标 A 或 A+。

第 7 步：确认自动续期（这一步不能省）

Let's Encrypt 证书现在 90 天有效，官方计划 2027-02-10 起默认 64 天、2028-02-16 起 45 天；并且 Let's Encrypt 已于 2025-06-04 停止发送到期提醒邮件。所以「自动续期有没有真的开好」必须自己确认。

sudo certbot renew --dry-run
sudo certbot certificates

第 1 行「演练续期」：不会真正替换证书，只检查续期流程能不能走通。看到 Congratulations, all simulated renewals succeeded 即正常。第 2 行列出本机所有证书和剩余天数。

Certbot 安装时会自动建好定时任务（每天两次检查，到期前约 30 天自动续期）。确认方法：

systemctl list-timers | grep -i certbot

snap 安装的名字是 snap.certbot.renew.timer，apt 安装的是 certbot.timer（没有 systemd 的系统则是 /etc/cron.d/certbot 定时任务）。

申请失败的 5 分钟自查流程

按这个顺序查，基本都能定位：

1. 1. 看输出里的关键词：Timeout 是端口问题，connection refused 是网页软件没跑，NXDOMAIN 是解析问题，unauthorized/404 是「访问到的不是这台服务器」。
2. 2. 确认 80 端口对外可达：用手机流量（不连公司 WiFi）打开 http://你的域名。打不开就是安全组或系统防火墙没放行。
3. 3. 确认域名指向本机：nslookup 你的域名，并把结果和云控制台里的公网 IP 对一遍；再看有没有多余的 AAAA 记录。
4. 4. 确认网页软件在运行：sudo systemctl status nginx（或 apache2 / httpd），状态应是 active (running)。
5. 5. 确认 server_name 写对：grep -R "server_name" /etc/nginx/，必须包含你要申请的域名。
6. 6. 临时关掉干扰项：如果站点开了 CDN、反向代理或 301 跳转，先关掉再申请，装好后再打开。
7. 7. 用 --dry-run 演练，避免把失败次数用光：sudo certbot --nginx --dry-run -d 你的域名 -d www.你的域名。

失败排查表

申请或续期失败时，输出里的关键词就是线索。下表前 5 行是「验证失败长什么样」的原文对照，后面几行是常见故障。

常见坑（踩过一次就记住）

1. 1. 只写了根域名，没写 www。 结果访问 https://www.你的域名 报「名称不符」。申请时 -d 根域名 -d www.域名 两个都要写。
2. 2. 有一条指向旧服务器的 AAAA（IPv6）记录。 这是验证失败的隐形杀手：Let's Encrypt 可能走 IPv6 去验证，结果连到一台已经不用了的机器。用 dns.google 查 type=AAAA 确认。
3. 3. 装完就以为完事了。 强制跳转、混合内容、自动续期、到期监控这四件事一件都不能少（见下节）。
4. 4. 混合内容（Mixed Content）：页面本身是 https，但里面的图片、脚本还是 http:// 地址，浏览器仍会提示「不安全」。按 F12 打开控制台搜 Mixed Content 逐个改成 https。
5. 5. HSTS 先别急着开。 HSTS 会让浏览器在一段时间内「只认 https」，一旦证书出问题，访客连「继续访问」按钮都没有。建议全站 https 稳定运行几周后再考虑，并从较短有效期开始。
6. 6. Cloudflare 源证书不能直接给访客用。 它只在「Cloudflare ↔ 你的服务器」这一段有效，浏览器不信任；直接访问会报 NET::ERR_CERT_AUTHORITY_INVALID。
7. 7. 私钥和令牌不要外发。 需要输入密钥时在自己终端里输入（例如 read -s），不要贴在聊天里；用过的一次性令牌事后撤销。

多域名、通配符与「换服务器」

一张证书能放几个域名

Certbot 写多个 -d 参数即可，例如 -d 你的域名 -d www.你的域名 -d shop.你的域名。Let's Encrypt 一张证书最多包含 100 个域名。不同根域名也可以放在同一张证书里，但一般建议每个网站各用一张，互不影响。

什么时候才需要通配符证书

*.你的域名 覆盖所有一级子域名（www.、shop.、m.），但不覆盖 你的域名 本身，也不覆盖 a.b.你的域名。免费证书支持通配符，但只能用 DNS 验证：

sudo certbot certonly --manual --preferred-challenges dns \
  -d 你的域名 -d '*.你的域名'

这条命令会提示你在 DNS 里添加一条 _acme-challenge 的 TXT 记录，验证通过后才签发。注意：--manual 方式默认不会自动续期，每 90 天都要人工再来一次——除非你把 DNS 服务商的 API 令牌接进来做自动验证。子域名不多时，直接把每个子域名写进同一张证书更简单，也更省心。

换服务器、换建站公司怎么办

在新服务器上重新申请即可：免费、几分钟，不需要「迁移证书」。正确顺序是：先在新服务器上把网站准备好（域名仍指向老服务器）→ 修改 DNS 指向新服务器 → DNS 生效后立即申请证书，这样不会出现证书错误的窗口期。原服务器上的证书留在原地即可，不做任何处理。

把这件事交给 AI 智能体

如果你不想自己敲命令，可以把本页的「一键复制给智能体」提示词复制给常用的 AI 智能体（豆包、ChatGPT、Claude、Codex 等），它会按同样的顺序先问你问题、做只读预检、再一步一步带你执行，每一步改动前先征求你的同意。

装好之后还要做的两件事

① 确认强制跳转已生效。 --nginx / --apache 默认已自动添加 301。只有在你手动配置、没有用 Certbot 时，才需要自己在 Nginx 里写：

server {
    listen 80;
    server_name 你的域名 www.你的域名;
    return 301 https://$host$request_uri;
}

逐行解释：监听 80 端口（http）；匹配你的域名；把请求以 301 永久跳转到同一地址的 https 版本（$host 是访客访问的域名，$request_uri 是后面的路径和参数）。改完记得 sudo nginx -t 再 sudo systemctl reload nginx。

② 设置证书到期监控。 Let's Encrypt 已不再发提醒邮件，自己设一个「闹钟」：用免费监控服务（到期前发邮件），或在手机日历里按到期日提前 20 天设提醒，内容写「检查网站证书是否已自动续期」。

出事了怎么回滚

万一改完配置网站打不开，按这个顺序恢复，5 分钟内能回到动手前的状态：

1. 1. 先看错误行：sudo nginx -t（Apache 用 sudo apachectl configtest）会指出是哪一行语法错误。
2. 2. 恢复备份配置：

sudo cp -a /root/nginx-backup-日期/. /etc/nginx/
sudo nginx -t
sudo systemctl reload nginx

1. 3. 如果只是证书本身有问题，可以让 Certbot 撤销并删掉这张证书，重新申请：

sudo certbot delete --cert-name 你的域名

1. 4. 确认网站已恢复：curl -sI http://你的域名 | head -1 应重新返回 200 或 301。