使用acme.sh申请ZeroSSL泛域名证书

ZeroSSL在2016年就已经推出，和Let’s Encrypt一样，证书有效期只有90天，支持泛域名SSL证书。和Let’s Encrypt不同的是，ZeroSSL API没有速率限制，不存在同一IP多次申请SSL证书被限制的问题,ZeroSSL还提供了WEB界面可在后台管理SSL证书,相比Let’s Encrypt功能更加丰富。

 

在acme.sh的文档中提到，acme.sh默认server使用Let’s Encrypt，将在2021/08/01发布v3版本，默认server将更改为ZeroSSL（参考：https://github.com/acmesh-official/acme.sh/wiki/Change-default-CA-to-ZeroSSL），可以看出ZeroSSL越来越流行，acme.sh也在向ZeroSSL靠拢。

 

acme.sh 实现了 acme 协议,可以帮助你快速申请SSL证书，自动更新证书等操作，极大简化操作步骤。在使用之前，我们需要先安装，以下命令均在Linux系统完成。

curl  https://get.acme.sh | sh

是的，只需要简单一行命令即可安装，安装完成后，可输入acme.sh -v查看当前版本。

[root@qcloud-cd ~]# acme.sh -v
https://github.com/acmesh-official/acme.sh
v2.9.0

acme.sh 2.x版本默认使用Let’s Encrypt作为服务提供商，我们可以通过以下命令，将其更换为ZeroSSL：

#更换默认服务商为ZeroSSL
acme.sh --set-default-ca  --server zerossl

配置DNS API

SSL证书验证可通过DNS验证、文件验证等多种方式，为了方便多个域名申请以及后续证书更新，推荐使用DNS API方式，不过在使用前需要先进行设置。

 

如果使用的DNSPOD（国内版），命令为：

export DP_Id="1234"
export DP_Key="sADDsdasdgdsf"

密钥可通过：https://console.dnspod.cn/account/token/apikey 获取。

acme.sh支持多个DNS服务商，这里不在一一列举，可通过官方文档：https://github.com/acmesh-official/acme.sh/wiki/dnsapi进行查看设置。

 

申请证书之前，建议先在ZeroSSL官方网站：https://zerossl.com/注册账号，方便与acme.sh申请的证书进行绑定于关联。

 

另外注意，如果您通过ZeroSSL官网在线申请SSL证书,免费账户是有3个域的额度限制的，但通过acme.sh申请则没有这个限制，所以建议使用acme.sh进行申请，简单方便。

 

acme.sh申请ZeroSSL泛域名SSL证书

首次使用需要先注册ZeroSSL账户（参考上一步），如果已经注册，下面的命令会自动关联账户，命令如下（myemail@example.com改成你自己的ZeroSSL邮箱，不要乱填）：

acme.sh  --register-account  -m myemail@example.com --server zerossl

以xiaoz.me域名为例，该域名使用华为云解析，我已经在上一个步骤中设置好华为云解析DNS API，现在可以输入命令直接申请：

 

acme.sh --dns dns_huaweicloud --issue -d xiaoz.me -d *.xiaoz.me

如果申请过程中没有报错，就可以将SSL证书拷贝到任何想要的位置进行使用，命令如下：

acme.sh  --installcert  -d  xiaoz.me   \
        --key-file   /etc/nginx/ssl/xiaoz.me.key \
        --fullchain-file /etc/nginx/ssl/xiaoz.me.crt

上述命令将xiaoz.me SSL证书导出到了/etc/nginx/ssl目录。

 

export CF_Token="UJBH4C3C2zX8ifOJxxxxxxxxxlfWHZPLuHe9t"
export CF_Account_ID="d4776d7f8xxxxxx09784b44d1b8de0"


/root/.acme.sh/acme.sh --issue -d qsk.app --nginx
/root/.acme.sh/acme.sh --issue --dns dns_cf -d nas.qsk.app -d *.qsk.app --keylength 2048


/root/.acme.sh/acme.sh --install-cert -d nas.qsk.app \
--key-file        /etc/ssl/nginx/nas.qsk.app.key \
--fullchain-file /etc/ssl/nginx/nas.qsk.app.crt \
--reloadcmd     "nginx -s reload"

 

> 来自于[使用acme.sh申请ZeroSSL泛域名证书，Let’s Encrypt替代品]