Let’s Encrypt怎么搭建HTTPS网站

发布时间：2022-02-15 15:50:38 作者：iii
来源：亿速云阅读：127

# Let’s Encrypt怎么搭建HTTPS网站

## 前言

在当今互联网环境中，HTTPS已成为网站安全的基本要求。无论是保护用户隐私、防止中间人攻击，还是提升搜索引擎排名，HTTPS都发挥着关键作用。Let's Encrypt作为免费、自动化的证书颁发机构（CA），极大降低了HTTPS的部署门槛。本文将详细介绍如何使用Let's Encrypt为网站部署HTTPS证书。

---

## 一、HTTPS与Let's Encrypt基础

### 1.1 为什么需要HTTPS？
- **数据加密**：防止传输内容被窃听
- **身份验证**：确保用户访问的是真实服务器
- **完整性保护**：防止数据在传输中被篡改
- **SEO优势**：Google等搜索引擎优先收录HTTPS站点
- **浏览器标记**：Chrome等现代浏览器会将HTTP站点标记为"不安全"

### 1.2 Let's Encrypt的优势
| 特性 | 传统CA | Let's Encrypt |
|------|--------|---------------|
| 价格 | 收费 | 完全免费 |
| 有效期 | 1-2年 | 90天 |
| 自动化 | 手动操作 | 支持自动化API |
| 验证方式 | 多种验证 | 主要使用ACME协议 |

---

## 二、准备工作

### 2.1 环境要求
- 已部署的HTTP网站（Nginx/Apache等）
- 服务器SSH访问权限
- 域名已解析到服务器IP
- 开放80/443端口（ACME验证需要）

### 2.2 域名配置示例
确保DNS记录正确：
```bash
dig example.com +short
# 应返回你的服务器IP

三、Certbot安装与配置

3.1 安装Certbot

Certbot是Let’s Encrypt官方推荐的客户端工具：

# Ubuntu/Debian
sudo apt update
sudo apt install certbot python3-certbot-nginx

# CentOS/RHEL
sudo yum install epel-release
sudo yum install certbot python3-certbot-nginx

3.2 获取证书（Nginx示例）

sudo certbot --nginx -d example.com -d www.example.com

流程说明： 1. 验证域名所有权（自动创建临时文件验证） 2. 生成证书并保存到/etc/letsencrypt/live/example.com/ 3. 自动修改Nginx配置启用HTTPS

3.3 手动获取证书（适合其他Web服务器）

sudo certbot certonly --standalone -d example.com

证书存储位置： - 私钥：/etc/letsencrypt/live/example.com/privkey.pem - 证书链：/etc/letsencrypt/live/example.com/fullchain.pem

四、Web服务器配置

4.1 Nginx配置示例

server {
    listen 443 ssl;
    server_name example.com;
    
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    
    # 启用HTTP/2
    listen 443 ssl http2;
    
    # 安全强化配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    
    # 其他配置...
}

4.2 Apache配置示例

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
    
    # 强制HTTPS
    RewriteEngine On
    RewriteCond %{HTTPS} off
    RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</VirtualHost>

五、证书自动续期

5.1 手动测试续期

sudo certbot renew --dry-run

5.2 设置cron自动任务

# 每天凌晨检查续期
0 0 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

5.3 续期原理

证书有效期90天，建议每60天续期一次
续期时不需停机，新证书生成后重载服务即可
历史证书保存在/etc/letsencrypt/archive/

六、高级配置技巧

6.1 通配符证书申请

sudo certbot certonly \
  --manual \
  --preferred-challenges=dns \
  -d *.example.com \
  -d example.com

需要手动添加DNS TXT记录验证所有权。

6.2 HSTS强化安全

在Nginx配置中添加：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

6.3 多域名证书管理

# 单个证书包含多个域名
sudo certbot --nginx -d example.com -d api.example.com -d static.example.com

七、常见问题解决

7.1 错误排查

验证失败：检查80端口是否开放，防火墙设置
Nginx配置冲突：临时关闭默认配置/etc/nginx/sites-enabled/default
证书不更新：检查/var/log/letsencrypt/日志文件

7.2 证书吊销

sudo certbot revoke --cert-path /etc/letsencrypt/live/example.com/cert.pem

7.3 备份与迁移

关键目录：

/etc/letsencrypt/
/var/lib/letsencrypt/

八、安全最佳实践

定期更新Certbot：sudo apt upgrade certbot
监控证书过期：使用Nagios等工具监控/etc/letsencrypt/renewal/
私钥保护：设置600权限chmod 600 privkey.pem
禁用旧协议：关闭TLS 1.0/1.1支持

结语

通过Let’s Encrypt部署HTTPS已成为现代网站的标配。其自动化流程和免费策略使得安全加密不再有门槛。虽然证书有效期较短，但配合自动续期机制，实际维护成本极低。建议所有网站管理员尽快完成HTTPS改造，为用户提供更安全的网络环境。

注：本文基于Ubuntu 22.04和Nginx 1.18环境编写，其他环境可能需要调整命令参数。 “`

这篇文章共计约2300字，采用Markdown格式编写，包含： 1. 多级标题结构 2. 对比表格 3. 代码块示例 4. 命令行操作指南 5. 配置片段 6. 问题排查建议 7. 安全建议等内容

可根据实际需要调整具体技术细节或补充特定Web服务器的配置示例。