Certbot 与 Nginx 实现 HTTPS 证书全自动维护，核心是 Webroot 模式验证、certonly 分离申请部署、renew + nginx -s reload 原子脚本续期，并加固 HSTS 与 OCSP Stapling。
用 Certbot 和 Nginx 实现 HTTPS 证书全自动维护，核心不在“装得多”，而在“配得稳、动得悄”。关键是让证书更新不中断服务、不依赖人工检查、不破坏现有 Nginx 配置逻辑。Certbot 负责与 Let's Encrypt 通信并管理证书生命周期，Nginx 负责安全响应和无缝切换，热重载（nginx -s reload）则是衔接二者的静默桥梁。
Webroot 模式：生产环境首选的验证方式
避免停机是自动化轮转的前提。Standalone 模式会占用 80 端口、强制关闭 Nginx，不适合运行中的服务；Webroot 模式复用已有 Nginx 服务完成 HTTP-01 验证，全程无需重启或中断流量。
- 确保 Nginx 配置中已开放
/.well-known/acme-challenge/路径，例如：
location ^~ /.well-known/acme-challenge/ {
root /var/www/html;
try_files $uri =404;
}
- 该路径必须与 Certbot 命令中指定的
--webroot-path一致，例如：certbot certonly --webroot -w /var/www/html -d example.com - 验证文件由 Certbot 自动写入，Nginx 仅需按规则返回，不涉及权限或脚本干预
证书申请与部署分离：保障配置可控性
生产环境中推荐使用 certonly 模式而非 --nginx 插件自动改配置。后者虽方便，但可能覆盖自定义 proxy_pass、rewrite 或安全头设置，带来不可预知风险。
- 首次申请只取证书：
sudo certbot certonly --webroot -w /var/www/html -d example.com -d www.example.com --agree-tos -m admin@example.com - 手动在 Nginx server 块中加入标准 SSL 段（路径指向
/etc/letsencrypt/live/example.com/下的fullchain.pem和privkey.pem） - 确认配置语法无误后，执行
sudo nginx -t && sudo nginx -s reload生效
自动续期 + 安全热重载：闭环不靠人盯
Certbot 的 renew 命令本身不重载 Nginx，必须显式触发。将续期与重载封装为原子操作，才能真正实现“全自动”。
- 编写可执行脚本
/usr/local/bin/renew-nginx.sh：
#!/bin/bash
certbot renew --quiet --no-self-upgrade
if [ $? -eq 0 ]; then
nginx -t && nginx -s reload
fi
- 赋予执行权限：
chmod +x /usr/local/bin/renew-nginx.sh - 添加到系统定时任务（如每日凌晨2:15检查）：
15 2 * * * /usr/local/bin/renew-nginx.sh - 注意：Certbot 默认只对剩余有效期 ≤30 天的证书发起续期，无需担心频繁调用
关键加固与可观测性补充
自动化不是放任不管，而是把人工巡检转化为前置校验和日志反馈。
- 启用 HSTS 和 OCSP Stapling 提升 TLS 安全等级，在 Nginx SSL 配置中加入：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 1.1.1.1 valid=300s;
- 通过 cron 日志或 systemd timer unit 记录每次执行结果，例如：
15 2 * * * /usr/local/bin/renew-nginx.sh >> /var/log/certbot-renew.log 2>&1 - 定期用
openssl x509 -in /etc/letsencrypt/live/example.com/fullchain.pem -noout -dates手动抽检证书状态，验证流程有效性
