方式

优点

缺点

适用场景

自动申请

一键部署、自动写配置、自动跳转、零门槛

会自动修改Apache配置，复杂站点易冲突

新手、简单单站点、快速上线、标准环境

手动申请

完全可控、不改配置、支持通配符、适配端口被封场景

需要自己写虚拟主机配置，操作繁琐

生产环境、复杂多站点、80端口占用、通配符证书、严谨运维

bash
sudo firewall-cmd --add-service=http --permanent   # 永久放行http
sudo firewall-cmd --add-service=https --permanent  # 永久放行https
sudo firewall-cmd --reload                         # 重载防火墙生效

bash
# CentOS 8/9 / Rocky Linux / AlmaLinux 系统（使用 dnf）
sudo dnf install -y epel-release         # 安装扩展源
sudo dnf install -y certbot python3-certbot-apache # 安装Certbot
certbot --version # 检查安装是否成功

# CentOS 7 系统（不支持 dnf，使用 yum）
sudo yum install -y epel-release
sudo yum install -y python3  #安装 Python3
sudo yum install -y certbot python3-certbot-apache
certbot --version

Bash
# CentOS8+/Rocky/AlmaLinux安装Apache的SSL模块
sudo dnf install -y mod_ssl

# CentOS 7 系统（不支持 dnf，使用 yum）
sudo yum install -y mod_ssl

sudo systemctl restart httpd            # 重启Apache命令（服务名是 httpd）

Bash
sudo cp -a /etc/httpd/conf.d /etc/httpd/conf.d.bak.$(date +%Y%m%d)

bash
# 自动申请证书、自动修改apache配置、自动配置http强制跳转https
# -d 绑定域名，可绑定多个域名，example.com换成自己的域名
sudo certbot --apache -d example.com -d www.example.com

bash
# certonly：仅获取证书，不配置网站
sudo certbot certonly --apache -d example.com -d www.example.com

bash
# 手动DNS验证 TXT 记录，支持通配符域名 *.example.com
# 执行后会提示你在域名解析商处添加 TXT 记录，按提示操作即可
sudo certbot certonly --manual --preferred-challenges=dns -d *.example.com -d example.com

Apache

# 确保 Apache 已监听 443 端口（通常在 /etc/httpd/conf.d/ssl.conf 中已配置）

# 如未配置，请在 httpd.conf 或 ssl.conf 中添加：Listen 443

# Listen 443     # 监听 443 端口（httpd.conf 或 ssl.conf 已有则切勿重复添加，我写的已注释）

# OCSP Stapling 缓存（全局配置，所有虚拟主机共享）

SSLStaplingCache "shmcb:/var/run/httpd/ssl_stapling(32768)"

<VirtualHost *:443>

    ServerName example.com

    ServerAlias www.example.com

    DocumentRoot /var/www/html

    # 开启SSL加密

    SSLEngine on

    # ============================================

    # Mozilla SSL Configuration Generator 推荐配置

    # 配置级别：Intermediate（兼容性佳，推荐绝大多数系统使用）

    # 生成地址：https://ssl-config.mozilla.org/

    # ============================================

    # 禁用不安全的 SSL/TLS 版本，仅保留 TLS 1.2 和 TLS 1.3
    # TLS 1.3 在 CentOS 7 可能不支持

    SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1

    # Mozilla 推荐的加密套件（Intermediate 配置）

 SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305

    # 优先使用服务器端配置的加密套件顺序

    SSLHonorCipherOrder on

    # 启用 OCSP Stapling（启用缓存、提升性能，减少客户端验证延迟）

    SSLUseStapling on

    # 证书公钥链路径（fullchain.pem 包含服务器证书+中间证书）

    SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem

    # 证书私钥路径

    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

    # 可选：开启 HSTS（生产环境推荐，首次配置建议先测试无误后再启用）

    # Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"

</VirtualHost>

# HTTP 强制跳转 HTTPS（避免重复跳转）

<VirtualHost *:80>

    ServerName example.com

    ServerAlias www.example.com

    RewriteEngine on

    # 仅当未使用 HTTPS 时才跳转，防止循环重定向

    RewriteCond %{HTTPS} off

    RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

</VirtualHost>

bash

httpd -M | grep ssl     # 校验Apache SSL模块是否加载成功

httpd -t         # 校验Apache配置文件语法是否无误

# 验证 OCSP Stapling 是否生效，正常应显示：OCSP Response Status: successful

openssl s_client -connect example.com:443 -servername example.com -status | grep -i "OCSP Response Status"

|
# 访问 https://www.ssllabs.com/ssltest/ 输入域名检测，在线检测 SSL 配置评分（推荐）

bash                                                                                                                                                         
# --dry-run：模拟续期，不真正更新证书，仅测试
sudo certbot renew --dry-run

bash
# 检测所有证书，到期前30天自动续期
sudo certbot renew

bash                                                                                                                                                
sudo touch /var/log/certbot-renew.log   # 创建日志文件

sudo chmod 644 /var/log/certbot-renew.log # 设置权限

crontab -e  # 编辑定时任务

which certbot   # 先确认 certbot 实际安装路径， 案例路径/usr/bin/certbot

#每天凌晨2点检测续期，成功重载httpd

SHELL=/bin/bash

PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

# 每天凌晨2点检测续期，证书更新成功后自动重载 Apache

0 2 * * * /usr/bin/certbot renew --quiet --deploy-hook "systemctl reload httpd" >> /var/log/certbot-renew.log 2>&1

bash

certbot certificates   # 查看本机所有SSL证书、有效期、域名、状态
certbot delete -d example.com    # 删除指定证书，example.com换成自己的实际域名
systemctl reload httpd         # 重载Apache（httpd），使新证书/新配置生效
systemctl restart httpd         # 重启Apache（httpd）服务
systemctl list-timers | grep certbot         # 查看certbot自动定时任务状态
crontab -l | grep certbot                               # 如未找到，也可用 crontab 检查
sudo ls -lh /var/log/certbot-renew.log  # 查看日志文件大小（避免长期运行后过大）
sudo tail -f /var/log/certbot-renew.log  # 查看最近续期日志
sudo grep -iE "error|fail|unsuccessful" /var/log/certbot-renew.log  # 查看是否有续期失败记录