Certbot --nginx报错“Failed to find a virtual host listening on port 80”是因为插件仅匹配已存在且显式声明listen 80的server块，不创建新块、不依赖default_server隐式回退，需确保nginx -t通过且nginx -T | grep "listen.*80"有明确输出。
Let’s Encrypt 证书不是“装完就能用”，关键卡点永远在验证环节——http-01 失败八成是 Nginx 配置漏了 /.well-known/acme-challenge 路径，dns-01 失败九成是 API Token 权限或 DNS 解析延迟没等够。
为什么 certbot --nginx 会报错 “Failed to find a virtual host listening on port 80”
certbot 的 --nginx 插件依赖 Nginx 配置中已存在监听 80 端口的 server 块，且该块必须能响应 HTTP 请求。它不会帮你新建 server 块，只会在已有配置里找匹配项。
- 检查
nginx -t是否通过，确认语法无误 - 运行
nginx -T | grep "listen.*80"，确认至少有一个server显式写了listen 80;（不能只靠default_server隐式 fallback） - 如果用了非标准端口（如 8080），
--nginx插件直接失效，改用--webroot - 宝塔用户注意：宝塔自动生成的站点配置默认不开放 80 端口对外访问（仅限本地回环），需手动勾选“监听所有 IP”并重载 Nginx
webroot 方式下 /var/www/challenges/ 目录权限和 location 配置怎么写才不 404
webroot 模式本质是让 Let’s Encrypt 服务器 GET 一个临时文件，路径固定为 http://yourdomain/.well-known/acme-challenge/<token></token>，Nginx 必须精准转发这个请求到你指定的本地目录，且该目录对 www-data（Debian/Ubuntu）或 nginx（CentOS/RHEL）用户可读。
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
- 创建目录并赋权：
sudo mkdir -p /var/www/challenges/.well-known/acme-challenge，然后sudo chown -R www-data:www-data /var/www/challenges（Ubuntu）或sudo chown -R nginx:nginx /var/www/challenges（CentOS） - Nginx 配置中必须有独立的
location块，不能嵌套在其他location /里：location ^~ /.well-known/acme-challenge/ { root /var/www/challenges; } - 不要加
alias后多斜杠，alias /var/www/challenges/.well-known/acme-challenge/;是错的，会导致路径拼接错误；用root更安全 - 验证是否生效：手动
echo test > /var/www/challenges/.well-known/acme-challenge/test，再curl http://yourdomain/.well-known/acme-challenge/test，应返回test
申请泛域名证书必须用 dns-01，但 acme.sh 提示 “DNS API not found” 怎么办
dns-01 验证要求你调用 DNS 服务商 API 自动添加 TXT 记录，acme.sh 对不同厂商有专用封装脚本（如 dns_dp 对应 DNSPod），但这些脚本默认不启用，需显式加载并配置凭证。
- 先确认服务商是否被支持：
ls ~/.acme.sh/dnsapi/，常见有dns_dp（DNSPod）、dns_ali（阿里云）、dns_cf（Cloudflare） - 以 DNSPod 为例，需导出两个变量：
export DP_Id="12345"、export DP_Key="xxxxxxxxxxxxxx"，ID 和 Key 在 DNSPod 控制台「API 密钥」里生成 - 执行命令时必须带
--dns dns_dp参数：acme.sh --issue -d example.com -d *.example.com --dns dns_dp - 国内 DNS 服务商（如阿里云、腾讯云）部分区域 API 接口不稳定，若超时失败，可加
--dnssleep 120延长等待时间，确保 TXT 记录全球生效后再发起验证
证书自动续签后 Nginx 没 reload，HTTPS 还是旧证书？
acme.sh 默认只更新证书文件，不触发 Web 服务重载；certbot 的 --deploy-hook 或 systemd timer 也需手动配。最易忽略的是证书路径硬编码——acme.sh 把新证书放在 ~/.acme.sh/example.com/ 下，而 Nginx 配置里写的却是 /etc/letsencrypt/live/example.com/，两者完全无关。
- acme.sh 续签后要部署到 Nginx 实际读取的位置，推荐用
--fullchainpath和--keypath指定目标路径，例如：--fullchainpath /etc/nginx/ssl/example.com/fullchain.pem --keypath /etc/nginx/ssl/example.com/privkey.pem - 加上
--reloadcmd "nginx -s reload"，确保每次续签成功后立刻生效 - 务必验证 cron 任务是否真在运行：
systemctl list-timers | grep acme（acme.sh）或sudo crontab -l | grep certbot，有些系统 cron 默认禁用 mail 通知，失败了你也收不到提醒
