Certbot

Certbot 是由电子前哨基金会(EFF)开发维护的免费开源命令行工具,用于自动申请、安装和续期 HTTPS(TLS/SSL)证书,主要配合免费证书颁发机构 Let's Encrypt 使用,让网站以极低的门槛启用加密访问。

概述

在早期,给网站部署 HTTPS 需要向商业证书机构付费购买证书,再手动配置服务器,流程繁琐且成本不低。Let's Encrypt 的出现改变了这一局面——它是由非营利组织互联网安全研究组(ISRG)运营的免费证书颁发机构,如今已是全球规模最大的 CA 之一,背后有 EFF、Mozilla、Google Chrome、思科等众多机构支持。

Certbot 正是与之配套的官方推荐客户端。它基于 ACME 协议与证书机构通信,自动完成域名所有权验证、证书签发和服务器配置。工具由 Python 编写,支持主流 Linux 发行版,通常一两条命令即可为 Nginx 或 Apache 站点签好证书。

核心功能

• 自动申请证书:通过 HTTP 或 DNS 方式验证域名归属,自动获取受浏览器信任的证书。
• 自动配置服务器:内置 Nginx、Apache 插件,可直接改写站点配置并开启 HTTPS 跳转。
• 自动续期:Let's Encrypt 证书有效期较短,Certbot 可配合定时任务在到期前自动续签,无需人工干预。
• 支持通配符证书:通过 DNS 验证方式,一张证书即可覆盖所有子域名。

常见问题

问:用 Certbot 签证书要花钱吗?答:不用。Certbot 本身开源免费,Let's Encrypt 签发的证书也完全免费,且受各大浏览器信任。

问:证书到期了要手动更新吗?答:一般不用。安装后 Certbot 会注册定时任务,运行 certbot renew 自动续期,只需偶尔检查续期是否正常。

问:Certbot 和 acme.sh 有什么区别?答:两者都是 ACME 客户端,功能类似。Certbot 是官方推荐、文档完善;acme.sh 用纯 Shell 编写,更轻量,依赖更少,可按环境偏好选择。