Let's Encrypt作為一個公共且免費SSL的項目逐漸被廣大用戶傳播和使用，是由Mozilla、Cisco、Akamai、IdenTrust、EFF等組織人員發起，主要的目的也是為了推進網站從HTTP向HTTPS過度的進程，目前已經有越來越多的商家加入和贊助支持。
Let's Encrypt免費SSL證書的出現，也會對傳統提供付費SSL證書服務的商家有不小的打擊。到目前為止，Let's Encrypt獲得IdenTrust交叉簽名，這就是說可以應用且支持包括FireFox、Chrome在內的主流瀏覽器的兼容和支持，雖然目前是公測階段，但是也有不少的用戶在自有網站項目中正式使用起來。
雖然目前Let's Encrypt免費SSL證書默認是90天有效期，但是我們也可以到期自動續約，不影響我們的嘗試和使用。
第一、安裝Let's Encrypt前的准備工作
根據官方的要求，我們在VPS、服務器上部署Let's Encrypt免費SSL證書之前，需要系統支持Python2.7以上版本以及支持GIT工具。這個需要根據我們不同的系統版本進行安裝和升級，因為有些服務商提供的版本兼容是完善的，尤其是debian環境兼容性比CentOS好一些。
第二、快速獲取Let's Encrypt免費SSL證書
PS：在獲取某個站點證書文件的時候，我們需要在安裝PYTHON2.7以及GIT，更需要將域名解析到當前主機IP中。
git clone https://github.com/letsencrypt/letsencrypt cd letsencrypt ./letsencrypt-auto certonly --standalone --email admin@laozuo.org -d laozuo.org -d www.laozuo.org
然后執行上面的腳本，我們需要根據自己的實際站點情況將域名更換成自己需要的。
第三、Let's Encrypt免費SSL證書獲取與應用
在完成Let's Encrypt證書的生成之后，我們會在"/etc/letsencrypt/live/laozuo.org/"域名目錄下有4個文件就是生成的密鑰證書文件。
cert.pem - Apache服務器端證書
chain.pem - Apache根證書和中繼證書
fullchain.pem - Nginx所需要ssl_certificate文件
privkey.pem - 安全證書KEY文件
如果我們使用的Nginx環境，那就需要用到fullchain.pem和privkey.pem兩個證書文件，在部署Nginx的時候需要用到。
ssl_certificate /etc/letsencrypt/live/laozuo.org/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/laozuo.org/privkey.pem;
比如我們在Nginx環境中，只要將對應的ssl_certificate和ssl_certificate_key路徑設置成我們生成的2個文件就可以，最好不要移動和復制文件，因為續期的時候直接續期生成的目錄文件就可以，不需要再手工復制。
第四、解決Let's Encrypt免費SSL證書有效期問題
我們從生成的文件中可以看到，Let's Encrypt證書是有效期90天的，需要我們自己手工更新續期才可以。
./letsencrypt-auto certonly --renew-by-default --email admin@laozuo.org -d laozuo.org -d www.laozuo.org
這樣我們在90天內再去執行一次就可以解決續期問題，這樣又可以繼續使用90天。如果我們怕忘記的話也可以制作成定時執行任務，比如每個月執行一次。
第五、關於Let's Encrypt免費SSL證書總結
通過以上幾個步驟的學習和應用，我們肯定學會了利用Let's Encrypt免費生成和獲取SSL證書文件，隨着Let's Encrypt的應用普及，SSL以后直接免費不需要購買，因為大部分主流瀏覽器都支持且有更多的主流商家的支持和贊助，HTTPS以后看來也是趨勢。在Let's Encrypt執行過程在中我們需要解決幾個問題。
A - 域名DNS和解析問題。在配置Let's Encrypt免費SSL證書的時候域名一定要解析到當前VPS服務器，而且DNS必須用到海外域名DNS，如果用國內免費DNS可能會導致獲取不到錯誤。
B - 安裝Let's Encrypt部署之前需要服務器支持PYTHON2.7以及GIT環境，要不無法部署。
C - Let's Encrypt默認是90天免費，需要手工或者自動續期才可以繼續使用。
Let's Encrypt 發布的 ACME v2 現已正式支持通配符證書，接下來將為大家介紹怎樣申請
一、acme.sh的方式
1.獲取acme.sh
curl https://get.acme.sh | sh
如下所示安裝成功
注：我在centos 7上遇到問題，安裝完后執行acme.sh，提示命令沒找到，如果遇到跟我一樣的問題，請關掉終端然后再登陸，或者執行以下指令：
source ~/.bashrc
2.開始獲取證書
acme.sh強大之處在於，可以自動配置DNS，不用去域名后台操作解析記錄了，我的域名是在阿里注冊的，下面給出阿里雲解析的例子，其他地方注冊的請參考這里自行修改：傳送門
請先前往阿里雲后台獲取App_Key跟App_Secret 傳送門，然后執行以下腳本
# 替換成從阿里雲后台獲取的密鑰 export Ali_Key="sdfsdfsdfljlbjkljlkjsdfoiwje" export Ali_Secret="jlsdflanljkljlfdsaklkjflsa" # 換成自己的域名 acme.sh --issue --dns dns_ali -d zhuziyu.cn -d *.zhuziyu.cn
這里是通過線程休眠120秒等待DNS生效的方式，所以至少需要等待兩分鍾
到了這一步大功告成，撒花
生成的證書放在該目錄下: ~/acme.sh/domain/
下面是一個Nginx應用該證書的例子:
# domain自行替換成自己的域名 server { server_name xx.domain.com; listen 443 http2 ssl; ssl_certificate /path/.acme.sh/domain/fullchain.cer; ssl_certificate_key /path/.acme.sh/domain/domain.key; ssl_trusted_certificate /path/.acme.sh/domain/ca.cer; location / { proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header Host $host; proxy_pass http://127.0.0.1:10086; } }
acme.sh比certbot的方式更加自動化，省去了手動去域名后台改DNS記錄的步驟，而且不用依賴Python，牆裂推薦
第一次成功之后，acme.sh會記錄下App_Key跟App_Secret，並且生成一個定時任務，每天凌晨0：00自動檢測過期域名並且自動續期。對這種方式有顧慮的，請慎重，不過也可以自行刪掉用戶級的定時任務，並且清理掉~/.acme.sh文件夾就行
二、 docker 鏡像獲取
如果裝有docker環境的話，也可以用docker鏡像來獲取證書，只需一行命令即可
docker run --rm -it \ -v "$(pwd)/out":/acme.sh \ -e Ali_Key="xxxxxx" \ -e Ali_Secret="xxxx" \ neilpang/acme.sh --issue --dns dns_ali -d domain.cn -d *.domain.cn
成功之后，證書會保存在當前目錄下的out文件夾，也可以指定路徑，修改上面第一行 "$(pwd)/out"，改為你想要保存的路徑即可。
詳細用法，可以參考：傳送門
獲取下來的證書跟方式一 獲取的一模一樣，其他信息請參考方式一。
三、 certbot方式獲取證書[不推薦]
1.獲取certbot-auto
# 下載 wget https://dl.eff.org/certbot-auto # 設為可執行權限 chmod a+x certbot-auto
2.開始申請證書
# 注xxx.com請根據自己的域名自行更改 ./certbot-auto --server https://acme-v02.api.letsencrypt.org/directory -d "*.xxx.com" --manual --preferred-challenges dns-01 certonly
執行完這一步之后，會下載一些需要的依賴，稍等片刻之后，會提示輸入郵箱，隨便輸入都行【該郵箱用於安全提醒以及續期提醒】
注意，申請通配符證書是要經過DNS認證的，按照提示，前往域名后台添加對應的DNS TXT記錄。添加之后，不要心急着按回車，先執行dig xxxx.xxx.com txt確認解析記錄是否生效，生效之后再回去按回車確認
到了這一步后，大功告成！！！ 證書存放在/etc/letsencrypt/live/xxx.com/里面
要續期的話，執行certbot-auto renew就可以了
注：經評論區 ddatsh 的指點，這樣的證書無法應用到主域名xxx.com上，如需把主域名也增加到證書的覆蓋范圍，請在開始申請證書步驟的那個指令把主域名也加上，如下： 需要注意的是，這樣的話需要修改兩次解析記錄
./certbot-auto --server https://acme-v02.api.letsencrypt.org/directory -d "*.xxx.com" -d "xxx.com" --manual --preferred-challenges dns-01 certonly
下面是一個nginx應用該證書的一個例子
server { server_name xxx.com; listen 443 http2 ssl; ssl on; ssl_certificate /etc/cert/xxx.cn/fullchain.pem; ssl_certificate_key /etc/cert/xxx.cn/privkey.pem; ssl_trusted_certificate /etc/cert/xxx.cn/chain.pem; location / { proxy_pass http://127.0.0.1:6666; } }