如何申请SSL证书？

得益于 Google 等大厂的消灭 HTTP 运动和 Let’s Encrypt 非盈利组织的努力，越来越多的站点开始迁移到 HTTPS，下图是 Let’s Encrypt 的统计数据。

什么是 Let’s Encrypt

部署 HTTPS 网站的时候需要证书，证书由 CA 机构签发。大部分传统 CA 机构签发证书是需要收费的，这不利于推动 HTTPS 协议的使用。

Let’s Encrypt 是一个国外的非盈利的 CA 证书机构，旨在以自动化流程消除手动创建和安装证书的复杂流程，并推广使万维网服务器的加密连接无所不在，为安全网站提供免费的 SSL/TLS 证书。

由 Linux 基金会托管，许多国内外互联网大厂都对其进行赞助，目前主流浏览器均已信任 Let’s Encrypt 发放的证书。

注意：Let’s Encrypt 颁发的都是 DV 证书，不提供 OV、EV 证书。

本文主要讲解如何免费申请和使用 Let’s Encrypt 颁发支持通配符的 SSL 证书。

通配符证书

通配符 SSL 证书旨在保护主域名以及旗下不限数量的子域，即用户可通过单个通配符 SSL 证书可保护任意数量的子域名。如果用户拥有多个子域名平台，可通过通配符 SSL 证书保护这些子域名。

但是目前 Let’s Encrypt 只支持同级子域名通配符。例如 *.demo.com 只支持 xx.demo.com 这类的，而不支持 xx.xx.demo.com。而要支持二级通配符需要再次颁发二级通配符证书，类似*.demo.demo.com。

注意：这种的二级通配符，要求一级域名是固定的。意思是不支持 *.*.demo.com。

使用 acme.sh 简化证书颁发操作

官方建议使用 Certbot 来申请证书 ，但是很长一段时期 Certbot 并不支持通配符证书申请（现在已经支持），而且对于证书自动续期支持的也不是很友好。

• 安装 acme.sh