說在前面
本文僅記錄給自己的網站添加“小綠鎖”的動手操作過程，不涉及 HTTPS 工作原理等內容的講解，感興趣的同學可以參考篇尾的文章自行了解。
簡單了解下我的實驗環境：
- 雲服務器：CentOS 7.4
- 網站宿主：Nginx 1.12.2
- 備案域名：www.esofar.cn
這里以
www.esofar.cn作為演示域名，屆時一定要修改為自己的域名。
什么是 Let's Encrypt
Let's Encrypt 是一個由非營利性組織 互聯網安全研究小組（ISRG）提供的免費、自動化和開放的證書頒發機構（CA）。
簡單的說，借助 Let's Encrypt 頒發的證書可以為我們的網站免費啟用 HTTPS(SSL/TLS) 。
Let's Encrypt免費證書的簽發/續簽都是腳本自動化的，官方提供了幾種證書的申請方式方法，點擊此處 快速瀏覽。
官方推薦使用 Certbot 客戶端來簽發證書，這種方式可參考文檔自行嘗試，不做評價。
我這里直接使用第三方客戶端 acme.sh 申請，據了解這種方式可能是目前 Let's Encrypt 免費證書客戶端最簡單、最智能的 shell 腳本，可以自動發布和續訂 Let's Encrypt 中的免費證書。
安裝 acme.sh
安裝很簡單，一條命令：
curl https://get.acme.sh | sh
整個安裝過程進行了以下幾步，了解一下即可：
- 把 acme.sh 安裝到當前用戶的主目錄
$HOME下的.acme.sh文件夾中，即~/.acme.sh/，之后所有生成的證書也會放在這個目錄下； - 創建了一個指令別名
alias acme.sh=~/.acme.sh/acme.sh，這樣我們可以通過acme.sh命令方便快速地使用 acme.sh 腳本； - 自動創建
cronjob定時任務, 每天 0:00 點自動檢測所有的證書，如果快過期了，則會自動更新證書。
安裝命令執行完畢后，執行acme.sh --version確認是否能正常使用acme.sh命令。
https://github.com/Neilpang/acme.sh
v2.7.9
如有版本信息輸出則表示環境正常；如果提示命令未找到，執行source ~/.bashrc命令重載一下環境配置文件。
整個安裝過程不會污染已有的系統任何功能和文件，所有的修改都限制在安裝目錄~/.acme.sh/中。
生成證書
據 acme.sh 官方文檔介紹，其實現了 acme 協議支持的所有驗證協議，一般有兩種方式驗證：http 和 dns 驗證。
也就是我們有兩種選擇簽發證書，這里我直接選擇 http 驗證方式，另外一種方式本篇不做介紹，可參考文檔自行嘗試。
簽發證書也很簡單，一條命令：
acme.sh --issue -d esofar.cn -d www.esofar.cn -w /home/wwwroot/esofar.cn
簡單解釋下這條命令涉及的幾個參數：
--issue是 acme.sh 腳本用來頒發證書的指令；-d是--domain的簡稱，其后面須填寫已備案的域名；-w是--webroot的簡稱，其后面須填寫網站的根目錄。
證書簽發成功會有如下輸出：
從截圖看出，生成的證書放在了/root/.acme.sh/esofar.cn目錄。
另外，可以通過下面兩個常用acme.sh命令查看和刪除證書：
# 查看證書列表
acme.sh --list
# 刪除證書
acme.sh remove <SAN_Domains>
至此，證書就下載成功。
安裝證書
我的站點是由 Nginx 承載的，所以本節內容重點記錄如何將證書安裝到 Nginx，其他 webserver 請參考 acme.sh 文檔自行實踐。廢話不多說，進入本節正題。
上一小節，生成的證書放在了/root/.acme.sh/esofar.cn目錄，因為這是 acme.sh 腳本的內部使用目錄，而且目錄結構可能會變化，所以我們不能讓 Nginx 的配置文件直接讀取該目錄下的證書文件。
正確的做法就是使用--installcert命令，指定目標位置，然后證書文件會被 copy 到相應的位置。
一條命令即可解決：
acme.sh --installcert -d esofar.cn \
--key-file /etc/nginx/ssl/esofar.cn.key \
--fullchain-file /etc/nginx/ssl/fullchain.cer \
--reloadcmd "service nginx force-reload"
這里我將證書放到了/etc/nginx/ssl/目錄下。
輸出如下信息，則操作成功：
最后一步就是，修改 Nginx 配置文件啟用 ssl，修改完成后需要重啟下 Nginx，這一塊不再詳述。Nginx 配置請參考：
server {
listen 443 ssl;
server_name esofar.cn;
ssl on;
ssl_certificate /etc/nginx/ssl/fullchain.cer;
ssl_certificate_key /etc/nginx/ssl/esofar.cn.key;
root /home/wwwroot/esofar.cn;
index index.html;
location / {
try_files $uri $uri/ @router;
index index.html;
}
location @router {
rewrite ^.*$ /index.html last;
}
}
server {
listen 80;
server_name esofar.cn;
return 301 https://$server_name$request_uri;
}
完成證書部署后可以通過如下站點檢測網站的安全級別：
更新證書
目前 Let's Encrypt 的證書有效期是90天，時間到了會自動更新，您無需任何操作。 今后有可能會縮短這個時間， 不過都是自動的，不需要您關心。
但是，您也可以強制續簽證書：
acme.sh --renew -d example.com --force
更新 acme.sh
目前由於 acme 協議和 letsencrypt CA 都在頻繁的更新, 因此 acme.sh 也經常更新以保持同步。
升級 acme.sh 到最新版：
acme.sh --upgrade
如果您不想手動升級,，可以開啟自動升級：
acme.sh --upgrade --auto-upgrade
您也可以隨時關閉自動更新：
acme.sh --upgrade --auto-upgrade 0