方式

优点

缺点

适用场景

自动申请

一键部署、自动写配置、自动跳转、零门槛

会自动修改Apache配置，复杂站点易冲突

新手、简单单站点、快速上线、标准环境

手动申请

完全可控、不改配置、支持通配符、适配端口被封场景

需要自己写虚拟主机配置，操作繁琐

生产环境、复杂多站点、80端口占用、通配符证书、严谨运维

bash
sudo ufw allow 80/tcp     # 放行HTTP验证端口，证书申请必须
sudo ufw allow 443/tcp    # 放行HTTPS加密访问端口
sudo ufw status  # 检查防火墙状态

Bash
sudo apt update         #更新软件源列表
# certbot：证书核心工具  python3-certbot-apache：apache自动适配插件
sudo apt install -y certbot python3-certbot-apache

Bash
sudo a2enmod ssl                   # 开启ssl加密模块
sudo a2enmod rewrite          # 开启rewrite跳转模块
sudo systemctl restart apache2      # 重启apache使模块生效
sudo a2enmod headers   #启用 Apache 的 ‌mod_headers‌ 模块

Bash
sudo cp -a /etc/apache2 /etc/apache2.bak.$(date +%Y%m%d)

bash
# 自动申请证书、自动修改apache配置、自动配置http强制跳转https
# -d 绑定域名，可绑定多个域名，example.com换成自己的域名
sudo certbot --apache -d example.com -d www.example.com

bash
# certonly：仅获取证书，不配置网站
sudo certbot certonly --apache -d example.com -d www.example.com

bash
# 手动DNS验证 TXT 记录，支持通配符域名 *.example.com
# 执行后会提示你在域名解析商处添加 TXT 记录，按提示操作即可
sudo certbot certonly --manual --preferred-challenges=dns -d *.example.com -d example.com

Apache

# 确保 Apache 已监听 443 端口

# 默认在 /etc/apache2/ports.conf 中配置

# Listen 443     # 监听 443 端口（ports.conf中已有则切勿重复添加，我写的已注释）

# OCSP Stapling 缓存（全局配置，所有虚拟主机共享）

SSLStaplingCache "shmcb:/run/apache2/ssl_stapling(32768)"

<VirtualHost *:443>

    ServerName example.com

    ServerAlias www.example.com

    DocumentRoot /var/www/html

    # 开启SSL加密

    SSLEngine on

    # ============================================

    # Mozilla SSL Configuration Generator 推荐配置

    # 配置级别：Intermediate（兼容性佳，推荐绝大多数系统使用）

    # 生成地址：https://ssl-config.mozilla.org/

    # ============================================

    # 禁用不安全的 SSL/TLS 版本，仅保留 TLS 1.2 和 TLS 1.3

    SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1

    # Mozilla 推荐的加密套件（Intermediate 配置）

    SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305

    # 优先使用服务器端配置的加密套件顺序

    SSLHonorCipherOrder on

    # 启用 OCSP Stapling（启用缓存、提升性能，减少客户端验证延迟）

    SSLUseStapling on

    # 证书公钥链路径（fullchain.pem 包含服务器证书+中间证书）

    SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem

    # 证书私钥路径

    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

    # 可选：开启 HSTS（生产环境推荐，首次配置建议先测试无误后再启用）

    # Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"

</VirtualHost>

# HTTP 强制跳转 HTTPS（避免重复跳转）

<VirtualHost *:80>

    ServerName example.com

    ServerAlias www.example.com

    RewriteEngine on

    # 仅当未使用 HTTPS 时才跳转，防止循环重定向

    RewriteCond %{HTTPS} off

    RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

</VirtualHost>

bash       
sudo a2ensite 你的域名.conf  # 启用站点配置

sudo a2dissite 000-default.conf    # 如有默认站点冲突，禁用默认站点

sudo apache2ctl -t         # 校验Apache配置文件语法是否无误

sudo systemctl reload apache2   # 重载Apache使配置生效

bash
sudo  grep -r "Listen 443" /etc/apache2/    # 先检查是否443端口是否存在
sudo apache2ctl -M | grep ssl     # 校验Apache SSL模块是否加载成功

# 验证 OCSP Stapling 是否生效，正常应显示：OCSP Response Status: successful

openssl s_client -connect example.com:443 -servername example.com -status | grep -i "OCSP Response Status"

# 访问 https://www.ssllabs.com/ssltest/ 输入域名检测，在线检测 SSL 配置评分（推荐）

bash                                                                                                                                                         
# --dry-run：模拟续期，不真正更新证书，仅测试
sudo certbot renew --dry-run

bash
# 检测所有证书，到期前30天自动续期
sudo certbot renew

bash                                                                                                                                                
sudo touch /var/log/certbot-renew.log  # 创建日志文件

sudo chmod 644 /var/log/certbot-renew.log # 设置权限

which certbot   # 先确认 certbot 实际安装路径， 案例路径/usr/bin/certbot

sudo crontab -e  # 编辑定时任务

#每天凌晨2点检测续期，成功重载apache2

SHELL=/bin/bash

PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

# 每天凌晨2点检测续期，证书更新成功后自动重载 apache2

0 2 * * * /usr/bin/certbot renew --quiet --deploy-hook "systemctl reload apache2" >> /var/log/certbot-renew.log 2>&1

bash

sudo certbot certificates   # 查看本机所有SSL证书、有效期、域名、状态
sudo certbot delete -d example.com    # 删除指定证书，example.com换成自己的实际域名
sudo systemctl reload apache2         # 重载Apache（apache2），使新证书/新配置生效
sudo systemctl restart apache2         # 重启Apache（apache2）服务
sudo systemctl list-timers | grep certbot         # 查看certbot自动定时任务状态
crontab -l | grep certbot                               # 如未找到，也可用 crontab 检查
sudo ls -lh /var/log/certbot-renew.log  # 查看日志文件大小（避免长期运行后过大）
sudo tail -f /var/log/certbot-renew.log  # 查看最近续期日志
sudo grep -iE "error|fail|unsuccessful" /var/log/certbot-renew.log  # 查看是否有续期失败记录