用 Let’s Encrypt 通过 certbot 免费申请并自动部署 SSL 证书实现全站 HTTPS，需确保域名已解析、80 端口开放且 Nginx 正常运行；证书存于 /etc/letsencrypt/live/，支持自动续期。

用 Nginx 配置免费 SSL 证书实现全站 HTTPS，核心是用 Let’s Encrypt（通过 certbot 工具）自动申请并部署证书，再在 Nginx 中正确引用。整个过程无需付费，且支持自动续期。

前提条件：域名与服务器准备

确保满足以下三点，否则无法成功签发证书：

• 你拥有一个已备案（国内）或可解析的**真实域名**（如 example.com），不能是纯 IP 或 localhost；
• 该域名的 DNS A 记录已指向你的服务器公网 IP；
• Nginx 正常运行，且 80 端口对外可访问（Let’s Encrypt 的 HTTP-01 验证需通过 80 端口）。

安装 certbot 并申请证书

以 Ubuntu/Debian 系统为例（CentOS 使用 dnf install certbot python3-certbot-nginx）：

• 添加官方仓库并安装：
  sudo apt update && sudo apt install certbot python3-certbot-nginx
• 直接为域名申请证书（自动配置 Nginx）：
  sudo certbot --nginx -d example.com -d www.example.com
• 按提示输入邮箱、同意协议、选择是否重定向 HTTP 到 HTTPS（推荐选 2: Redirect）。

成功后，证书文件会存放在 /etc/letsencrypt/live/example.com/ 下，包括 fullchain.pem 和 privkey.pem。

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

Nginx 配置 HTTPS 站点（手动方式）

如果 certbot 未自动修改配置，或你想自定义，编辑站点配置文件（如 /etc/nginx/sites-available/example.com）：

• 保留原有 80 端口 server 块，添加 443 端口的 HTTPS server 块；
• 指定证书路径：
  ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
• 启用必要安全配置（建议复制）：
  ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;

设置自动续期与验证

Let’s Encrypt 证书有效期为 90 天，必须定期续期。certbot 默认已配置 systemd 定时任务（Ubuntu 20.04+），可手动测试：

• 模拟续期检查：sudo certbot renew --dry-run（不实际更新，只检测流程）；
• 若通过，说明自动续期已就绪；失败则根据报错检查防火墙、DNS 或 Nginx 是否占用 80 端口；
• 如需手动强制续期：sudo certbot renew --force-renewal（慎用，有调用频率限制）。

续期成功后，Nginx 会自动重载配置（certbot 插件默认触发 systemctl reload nginx）。