路线 F：Windows IIS + win-acme 教程

这条路适合谁

用时：熟练的人 10 分钟，第一次做留出 30 分钟。难度：★★（全程点鼠标 + 一个下载，不用敲命令）。

这条路的核心：用 win-acme 这个免费开源工具，自动向 Let's Encrypt 申请证书、自动绑定到 IIS、自动创建「计划任务」续期。证书本身免费，不要为「装证书」另外付钱。

六步总览（先看结论）

8.1 准备（打勾再动手）

这一步全是「只看不改」，放心做。任何一项不合格，先去修，否则第 4 步一定会失败。

8.1.1 怎么加、怎么检查 IIS 绑定

绑定（Bindings）是这一章的关键：它告诉 IIS「哪个域名、哪个端口、交给哪个网站」。win-acme 的「Read bindings from IIS」就是靠它读域名的，所以绑定里必须写主机名。

1. 1. 打开 IIS 管理器（开始菜单搜 inetmgr，或「服务器管理器 → 工具 → Internet Information Services (IIS) 管理器」）。
2. 2. 左侧展开服务器名 → 网站（Sites），点你的站点。
3. 3. 右侧「操作」面板点绑定（Bindings），会列出这个站点所有绑定。
4. 4. 检查有没有这样两条（有就跳过，没有就点「添加」补）：

• 类型 http、端口 80、主机名 你的域名
• 类型 http、端口 80、主机名 www.你的域名

1. 5. 添加时：类型选 http，IP 地址选「全部未分配」，端口填 80，「主机名」填你的域名（不要留空），确定。
2. 6. 回到浏览器访问 http://你的域名，能打开说明绑定生效。

8.1.2 两道门都要放行（云安全组 + Windows 防火墙）

服务器的端口有两道门：云厂商控制台里的「安全组」（像小区大门），和 Windows 系统里的「防火墙」（像家门）。两道都要放行 TCP 80 和 443，缺一道申请就会失败。

第一道门：云安全组。 登录云厂商控制台（阿里云、腾讯云等）→ 找到这台服务器的安全组 → 入方向规则 → 添加 TCP 80 和 TCP 443。

第二道门：Windows 防火墙。 图形界面：「高级安全 Windows Defender 防火墙」→ 入站规则 → 新建规则 → 端口 → TCP → 特定本地端口 80,443 → 允许连接。也可以在以管理员身份运行的 PowerShell 里一条命令搞定：

New-NetFirewallRule -DisplayName "HTTP 80" -Direction Inbound -Protocol TCP -LocalPort 80 -Action Allow
New-NetFirewallRule -DisplayName "HTTPS 443" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow

逐行解释：第一条放行入方向 TCP 80；第二条放行入方向 TCP 443。跑完后用 Get-NetFirewallRule -DisplayName "HTTP 80" 能看到刚建的规则。

验证端口从外网能通（在你自己电脑上，不是在服务器上）：

Test-NetConnection 你的域名 -Port 80

看 TcpTestSucceeded 是不是 True；不是的话，回去检查上面两道门和域名解析。

8.2 下载与运行 win-acme

1. 1. 在服务器上用浏览器打开 win-acme 官网 https://www.win-acme.com，点 Download。
2. 2. 下载文件名形如 win-acme.v2.x.x.xxxx.x64.trimmed.zip 的版本（官方推荐大多数用户使用 x64 trimmed 版；trimmed 表示去掉了用不到的文件，功能不受影响）。
3. 3. 解压到一个固定不动的文件夹，官方建议 C:\Program Files\win-acme。不要放在桌面或「下载」文件夹——以后计划任务续期时可能找不到程序，续期就会静默失败。
4. 4. 进入该文件夹，右键 wacs.exe → 以管理员身份运行。不是管理员运行会读不到 IIS 绑定、也写不进证书存储。

8.3 按菜单操作（全程问答式）

1. 1. 主菜单出现后，输入 N（Create certificate (default settings)，用默认设置创建证书），回车。
2. 2. 选择 Read bindings from IIS（从 IIS 读取绑定）——win-acme 会自动列出 IIS 里所有带主机名的网站。
3. 3. 按提示选择你的网站、选择要包含的域名（一般根域名和 www 全选）、再选一个主域名（primary host）。
4. 4. 第一次使用会让你输入邮箱（用于紧急通知）并同意 Let's Encrypt 服务条款（输入 y）。
5. 5. win-acme 自动完成：HTTP 验证 → 下载证书 → 存入 Windows 证书存储 → 自动添加/更新 IIS 的 https（443）绑定。
6. 6. 最后它会创建一个 Windows 计划任务，每天检查一次，快到期时自动续期并重新绑定。

菜单里几个选项的意思（不选错就行）：

8.4 验证（四件事都做）

1. 1. 浏览器访问 https://你的域名，点地址栏左侧图标 → 能看到「连接是安全的」「证书有效」。电脑和手机各试一次。
2. 2. 四种网址都试：https://你的域名、https://www.你的域名、http://你的域名、http://www.你的域名。前两个应正常，后两个应自动跳到 https（跳转在第 8.5 步配置）。
3. 3. 再看续期计划：再次运行 wacs.exe，选 A: Manage renewals，能看到刚才创建的续期计划（含到期日）。
4. 4. 确认计划任务：打开「任务计划程序（Task Scheduler）」，在任务库中能看到 win-acme 创建的任务。

用 PowerShell 快速看响应头（可选）：

curl.exe -I http://你的域名
curl.exe -I https://你的域名

第 1 条应返回 301 并带 Location: https://...（配好跳转后）；第 2 条应返回 200，且能看到证书信息。

8.5 开启 HTTP → HTTPS 跳转

win-acme 只管「发证书 + 绑定」，不负责把 http 跳转到 https。IIS 要做跳转，需要「URL 重写（URL Rewrite）」模块（来源：Microsoft Learn，2026-10 核对）。

1. 1. 到 https://www.iis.net/downloads/microsoft/url-rewrite 下载并安装 URL Rewrite 模块（服务器上装一次即可）。
2. 2. 打开 IIS 管理器 → 你的站点 → URL 重写 → 右侧「添加规则」→ 选「空白规则」，或直接编辑站点的 web.config。
3. 3. 把下面这段放进站点根目录的 web.config（若已有 web.config，只把 <rewrite> 那一段合并进去）：

<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="HTTP to HTTPS redirect" stopProcessing="true">
          <match url="(.*)" />
          <conditions>
            <add input="{HTTPS}" pattern="^OFF$" />
          </conditions>
          <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Permanent" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

逐段解释：match url="(.*)" 匹配所有路径；条件 {HTTPS} 为 OFF（也就是走的 http）时才触发；动作用 301 永久跳转 到同一域名的 https 版本（{HTTP_HOST} 是访客访问的域名，{R:1} 是原路径）。

8.6 确认自动续期真的有效

8.7 通配符证书与 DNS 验证（子域名很多时用）

如果这台服务器上有很多子域名（shop.、m.、blog.……），与其每个都单独申请，不如申请一张 *.你的域名 的通配符证书，一张覆盖所有一级子域名。

关键限制：通配符证书只能用 DNS 验证（证明你能修改域名的 DNS 记录），不能用 HTTP 验证。原因是 Let's Encrypt 要先确认你对整个域名有控制权，而不是只有某个子目录的访问权。

在 win-acme 里走 DNS 验证的要点：

1. 1. 运行 wacs.exe，主菜单选 M（Create certificate，full options）或按向导选到「Manual input」，手动输入 *.你的域名 和 你的域名。
2. 2. 到验证方式那一步，选 DNS 验证（不是默认的 http 文件验证）。
3. 3. win-acme 会给你一条 TXT 记录（名字形如 _acme-challenge.你的域名，值是它生成的一串字符）。你要在域名 DNS 管理后台手动添加这条 TXT 记录。
4. 4. 加完等 DNS 生效（几分钟），回 win-acme 回车继续，它会自己去查这条 TXT 记录，查到就签发。

8.8 用 PowerShell 核对证书和绑定

不想每次都开浏览器看，可以用两条命令快速核对（以管理员身份运行 PowerShell）：

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*你的域名*" } | Format-List Subject, NotAfter, Issuer

逐行解释：在「本地计算机 → 个人」证书存储里，找出主题里包含你域名的证书，显示颁发对象、到期日、颁发者。能列出来说明证书已装进 Windows。

Import-Module WebAdministration; Get-WebBinding -Name "你的站点名" | Select-Object protocol, bindingInformation

逐行解释：列出该 IIS 站点的所有绑定，protocol 是 http 还是 https，bindingInformation 里能看到端口和主机名。配好证书后，这里应该多出一条 https、端口 443、主机名为你域名的绑定。

常见失败与排查

回滚怎么做

万一要退回改动之前的状态：

1. 1. 去掉跳转：删掉或注释 web.config 里的 <rewrite> 规则，网站回到不强制跳转的状态。
2. 2. 去掉 https 绑定：IIS 管理器 → 站点 → 绑定 → 删掉 443 那条（证书文件仍在证书存储里，不影响 http 访问）。
3. 3. 停掉续期任务：「任务计划程序」里禁用/删除 win-acme 的任务，或在 wacs.exe → A: Manage renewals 里取消续期计划。
4. 4. 彻底移除：删除 C:\Program Files\win-acme 文件夹即可（它是绿色免安装的，不写注册表核心项）。

一页速查（可打印）

想省事的话，把这一页复制给 AI 智能体，让它按你的实际情况带你做；或者直接找我们做——见页面底部的终身维护服务。