如何使用 Certbot 申請免費的 SSL 憑證，並使用 DNS 驗證?

Mar 10, 2024 · 4 分鐘長 · DNS ·

分享到:

最近我一直在玩我的樹莓派，想要在上面架設一個檔案下載網站。但是沒有 SSL 憑證每次都會被瀏覽器警告說網站不安全，所以我決定使用 Certbot 申請一個免費的 SSL 憑證。在這篇文章中，我將分享如何使用 Certbot 申請免費的 SSL 憑證，並使用 DNS 驗證。

什麼是 Certbot？

Certbot 是一個由 Electronic Frontier Foundation (EFF) 開發的免費、開源的工具，它可以幫助你在網站上安裝 SSL 憑證。Certbot 支援的憑證類型有 Let's Encrypt 和 ACME (Automatic Certificate Management Environment)。

為什麼要使用 SSL 憑證？

**簡單來說就是讓你的網址從 http:// 變成 https://。**使用SSL 憑證可以幫助你的網站加密數據，保護用戶的隱私。此外，Google 也將使用 SSL 憑證作為搜索排名的一個指標，所以使用 SSL 憑證也有助於提高你的網站在搜索引擎上的排名。

如何使用 Certbot 申請免費的 SSL 憑證？

安裝 Certbot

Certbot 可以在大多數的 Linux 發行版上安裝，今天就都用我的樹莓派來示範，但是你也可以在 Ubuntu、Debian、CentOS、Fedora、Arch Linux 上安裝。

1sudo apt-get update
2sudo apt-get install certbot

申請 SSL 憑證

Certbot 支援多種驗證方式，包括 HTTP 驗證、DNS 驗證、TLS-ALPN-01 驗證等。在這裡我們使用 DNS 驗證，這是一種通過 DNS 記錄驗證你對域名的控制權的方式。這條命令中的 --manual 表示我們要手動驗證，--preferred-challenges dns 表示我們要使用 DNS 驗證，-d example.com -d *.example.com 表示我們要申請的域名。

1sudo certbot certonly --manual --preferred-challenges dns -d example.com -d *.example.com

這時的輸出如下:

1em@raspberrypi:/ssl $ sudo certbot certonly --manual --preferred-challenges dns -d '*.elvismao.com'
2Saving debug log to /var/log/letsencrypt/letsencrypt.log
3Enter email address (used for urgent renewal and security notices)
4 (Enter 'c' to cancel):

輸入你的郵箱地址，然後按下 Enter 鍵。

1- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
2Please read the Terms of Service at
3https://letsencrypt.org/documents/LE-SA-v1.3-September-21-2022.pdf. You must
4agree in order to register with the ACME server. Do you agree?
5- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
6(Y)es/(N)o: Y

Certbot 會提示你閱讀 Let's Encrypt 的服務條款，輸入 Y 表示你同意這些條款。(相信你一定有認真讀過對吧？)

1- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
2Would you be willing, once your first certificate is successfully issued, to
3share your email address with the Electronic Frontier Foundation, a founding
4partner of the Let's Encrypt project and the non-profit organization that
5develops Certbot? We'd like to send you email about our work encrypting the web,
6EFF news, campaigns, and ways to support digital freedom.
7- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
8(Y)es/(N)o: N

Certbot 會問你是否願意與 EFF 分享你的郵箱地址並訂閱電子報，這裡我是輸入 N 表示你不願意。

 1Account registered.
 2Requesting a certificate for *.elvismao.com
 3
 4- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
 5Please deploy a DNS TXT record under the name:
 6
 7_acme-challenge.elvismao.com.
 8
 9with the following value:
10
118rcxNKH2aeNdcghnnweypQ6lEYWSxVhEmrHKpetOT74
12
13Before continuing, verify the TXT record has been deployed. Depending on the DNS
14provider, this may take some time, from a few seconds to multiple minutes. You can
15check if it has finished deploying with aid of online tools, such as the Google
16Admin Toolbox: https://toolbox.googleapps.com/apps/dig/#TXT/_acme-challenge.elvismao.com.
17Look for one or more bolded line(s) below the line ';ANSWER'. It should show the
18value(s) you've just added.
19
20- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
21Press Enter to Continue

Certbot 會提示你在 DNS 記錄中添加一條 TXT 記錄，這條記錄的名稱是 _acme-challenge.elvismao.com，值是 8rcxNKH2aeNdcghnnweypQ6lEYWSxVhEmrHKpetOT74。你需要在你的 DNS 服務商的控制面板中添加這條記錄，然後按下 Enter 鍵。

這裡我使用 Cloudflare 作為我的 DNS 服務商，所以我在 Cloudflare 的控制面板中添加了一條 TXT 記錄。

1Successfully received certificate.
2Certificate is saved at: /etc/letsencrypt/live/elvismao.com/fullchain.pem
3Key is saved at:         /etc/letsencrypt/live/elvismao.com/privkey.pem
4This certificate expires on 2024-06-08.
5These files will be updated when the certificate renews.

當你在 DNS 服務商的控制面板中添加了 TXT 記錄後，按下 Enter 鍵，Certbot 會提示你成功接收到了 SSL 憑證，並告訴你憑證的保存位置。

檔案介紹

fullchain.pem：這是你的 SSL 憑證，它包含了你的域名和中間證書。
- chain.pem：這是中間證書。
- cert.pem：這是你的域名憑證。
privkey.pem：這是你的私鑰，它用來加密和解密數據。

通常只會需要用到 fullchain.pem 和 privkey.pem 這兩個檔案。

自動更新 SSL 憑證

Let's Encrypt 的 SSL 憑證有效期只有 90 天，所以你需要定期更新你的 SSL 憑證。你可以使用 Certbot 的 renew 命令來更新你的 SSL 憑證。

1sudo certbot renew

你可以使用 crontab 來設置定時任務，定期更新你的 SSL 憑證。

1sudo crontab -e

如果你是第一次開啟 crontab，它會提示你選擇一個編輯器，我選擇了 vim，你可以選擇你熟悉的編輯器。

然後添加一條定時任務。只需要在文件的最後添加一條定時任務即可。

10 0 1 * * certbot renew

這條定時任務表示每個月的 1 號 0 點 0 分更新 SSL 憑證。

下一步

當你成功申請到了 SSL 憑證後，你就可以在你的網站上使用這個憑證了。你可以在你的網站配置文件中添加 SSL 憑證的路徑，然後重啟你的網站服務。

希望這篇文章能夠幫助到你。如果你有任何問題都可以在 IG 留言，也歡迎在 Instagram 和 Google 新聞追蹤毛哥EM資訊密技。