手把手教你用acme.sh申请Google免费SSL证书（含Cloudflare DNS验证）-Seo优化-合肥市网站建设公司

从零开始：使用acme.sh获取Google免费SSL证书全攻略

在当今互联网环境中，SSL证书已成为网站安全的基础配置。对于个人开发者和小型企业而言，获取可靠且免费的SSL证书解决方案至关重要。本文将详细介绍如何利用acme.sh这一轻量级工具，结合Google Public CA服务，为您的网站获取完全免费的SSL证书，特别针对Cloudflare DNS验证场景提供详细操作指南。

1. 准备工作与环境配置

在开始申请证书之前，我们需要完成一些必要的准备工作。首先确保您拥有以下资源：

一个有效的Google Cloud Platform(GCP)账号
已注册的域名及Cloudflare DNS管理权限
具备SSH访问权限的Linux服务器（推荐Ubuntu 20.04+）

关键工具安装：

# 安装必备工具 sudo apt update && sudo apt install -y curl git

对于acme.sh的安装，我们推荐使用以下命令：

# 安装acme.sh curl https://get.acme.sh | sh source ~/.bashrc

注意：如果系统提示命令未找到，请检查是否已正确加载环境变量，或尝试重新登录SSH会话。

2. 获取Google Public CA API权限

Google Public CA要求使用External Account Binding(EAB)进行身份验证。以下是获取EAB密钥的详细步骤：

登录GCP控制台，导航至API库页面
搜索并启用"Public Certificate Authority API"
在Cloud Shell中执行以下命令：

# 设置GCP项目（替换为您的项目ID） gcloud config set project YOUR_PROJECT_ID # 创建EAB密钥 gcloud publicca external-account-keys create

命令执行后将返回类似以下格式的信息：

Created an external account key [b64MacKey: xxxxxxxxxxxxxxxxxxxxxxx keyId: xxxxxxxxxxxxxxx]

请妥善保存这些信息，它们将在后续步骤中使用。重要提示：EAB密钥的有效期仅为7天，务必在获取后尽快使用。

3. Cloudflare API配置最佳实践

使用Cloudflare DNS验证方式申请证书，需要配置API访问权限。我们推荐采用最小权限原则：

登录Cloudflare控制台，进入"我的个人资料"→"API令牌"
点击"创建令牌"，选择"编辑区域DNS"模板
限制令牌权限仅适用于特定域名
可选：添加IP限制以增强安全性

获取API令牌后，在服务器上设置环境变量：

export CF_Token="your_api_token_here" export CF_Account_ID="your_account_id" export CF_Zone_ID="your_zone_id"

安全提示：建议将这些敏感信息存储在安全位置，或使用.env文件管理，避免直接在命令行历史中暴露。

4. 证书申请与签发全流程

4.1 注册ACME账户

使用之前获取的EAB信息注册ACME账户：

acme.sh --register-account -m your@email.com \ --server google \ --eab-kid your_key_id \ --eab-hmac-key your_b64MacKey

若遇到连接问题，可尝试指定完整服务器地址：

acme.sh --register-account -m your@email.com \ --server https://dv.acme-v02.api.pki.goog/directory \ --eab-kid your_key_id \ --eab-hmac-key your_b64MacKey

4.2 设置默认CA并签发证书

将Google Public CA设为默认颁发机构：

acme.sh --set-default-ca --server google

现在可以申请证书了。我们提供RSA和ECC两种密钥类型的签发命令：

RSA证书（兼容性更好）：

acme.sh --issue --dns dns_cf \ -d example.com \ -d *.example.com \ --keylength 2048

ECC证书（安全性更高）：

acme.sh --issue --dns dns_cf \ -d example.com \ -d *.example.com \ --keylength ec-256

5. 证书安装与自动化管理

5.1 Nginx证书安装

将签发好的证书安装到Nginx配置目录：

# RSA证书安装 acme.sh --install-cert -d example.com \ --key-file /etc/nginx/ssl/private.key \ --fullchain-file /etc/nginx/ssl/fullchain.pem \ --reloadcmd "systemctl reload nginx" # ECC证书安装 acme.sh --install-cert -d example.com --ecc \ --key-file /etc/nginx/ssl/ecc_private.key \ --fullchain-file /etc/nginx/ssl/ecc_fullchain.pem \ --reloadcmd "systemctl reload nginx"

5.2 自动续期配置

acme.sh默认会自动创建cron任务处理证书续期。您可以通过以下命令检查：

crontab -l | grep acme.sh

如需手动强制续期：

acme.sh --renew -d example.com --force

6. 常见问题排查指南

在实际操作中可能会遇到以下典型问题：

问题1：acme.sh: command not found

解决方案：执行source ~/.bashrc或重新登录SSH会话

问题2：DNS记录验证失败

检查Cloudflare API权限是否足够
确认环境变量(CF_Token等)设置正确
等待DNS传播（有时需要几分钟）

问题3：证书签发后浏览器仍显示不安全

确认Nginx配置正确引用了证书路径
检查证书链是否完整
使用SSL检测工具如SSL Labs进行诊断

问题4：EAB密钥过期

解决方案：重新生成EAB密钥并重新注册ACME账户

7. 进阶配置与优化建议

7.1 多域名证书管理

对于需要管理多个域名的情况，可以创建脚本批量处理：

#!/bin/bash DOMAINS=("example.com" "example2.com" "example3.com") for domain in "${DOMAINS[@]}"; do acme.sh --issue --dns dns_cf -d "$domain" -d "*.$domain" --keylength ec-256 acme.sh --install-cert -d "$domain" --ecc \ --key-file "/etc/nginx/ssl/${domain}/ecc_private.key" \ --fullchain-file "/etc/nginx/ssl/${domain}/ecc_fullchain.pem" \ --reloadcmd "systemctl reload nginx" done

7.2 证书备份策略

建议定期备份证书和私钥：

# 创建备份目录 mkdir -p ~/ssl_backups/$(date +%Y%m%d) # 备份证书文件 cp -r /etc/nginx/ssl ~/ssl_backups/$(date +%Y%m%d) # 可选：加密备份 tar -czvf - ~/ssl_backups/$(date +%Y%m%d) | gpg -c > ssl_backup_$(date +%Y%m%d).tar.gz.gpg

7.3 性能优化配置

对于高流量网站，考虑以下Nginx优化参数：

ssl_session_cache shared:SSL:10m; ssl_session_timeout 1d; ssl_session_tickets off; ssl_buffer_size 4k; ssl_early_data on;

在实际项目中，我发现ECC证书相比RSA证书不仅能提供更好的安全性，还能显著减少TLS握手时间。特别是在移动设备上，这种性能差异更为明显。一个常见的误区是认为ECC证书兼容性差，但根据我的实测，现代浏览器和操作系统几乎都已支持ECC算法。

手把手教你用acme.sh申请Google免费SSL证书（含Cloudflare DNS验证）