分享美国服务器 SSL/TLS 证书部署与自动续期的完整实战，包括 Nginx 配置和证书管理。
HTTPS 是网站的标配。本文分享美国服务器 SSL/TLS 证书部署与自动续期实战。
为什么需要 HTTPS 1) 数据加密：防止中间人攻击和数据窃取 2) 身份验证：确认网站身份，防止钓鱼 3) 数据完整性：防止数据被篡改 4) SEO 排名：Google 优先收录 HTTPS 网站 5) 浏览器信任：HTTP 网站被标记为不安全
证书类型 1) DV（域名验证）：只验证域名所有权，免费，几分钟签发 2) OV（组织验证）：验证组织身份，需要企业资料 3) EV（扩展验证）：最高级别验证，浏览器显示公司名 4) 通配符证书：保护域名和所有子域名 5) 多域名证书：保护多个不同域名
Let's Encrypt 免费证书 1) 免费、自动化、受信任 2) 90 天有效期，自动续期 3) 支持通配符证书 4) ACME 协议自动化管理 5) 适合大多数网站
部署步骤（Nginx） 1) 安装 certbot：apt install certbot python3-certbot-nginx 2) 获取证书：certbot --nginx -d example.com -d www.example.com 3) 自动配置：certbot 自动修改 Nginx 配置 4) 测试续期：certbot renew --dry-run 5) 自动续期：cron 定时任务
Nginx SSL 配置优化 ```nginx server { listen 443 ssl http2; ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256; ssl_prefer_server_ciphers off; ssl_session_cache shared:SSL:10m; ssl_session_timeout 1d; add_header Strict-Transport-Security "max-age=63072000" always; } ```
自动续期配置 1) cron 任务：每天两次检查续期 ``` 0 3,15 * * * certbot renew --quiet ``` 2) systemd timer：certbot 自带的自动续期 timer 3) 续期钩子：续期后重载 Nginx 4) 监控：证书过期前告警
证书管理最佳实践 1) 集中管理：用 certbot 或统一平台管理 2) 监控：证书过期前 30 天告警 3) 自动续期：不要手动续期，容易忘 4) 备份：备份证书和私钥 5) 轮换：定期更换证书和密钥
HTTPS 性能优化 1) HTTP/2：多路复用，减少延迟 2) TLS 1.3：更快的握手，更安全 3) OCSP Stapling：减少证书验证时间 4) Session Resumption：减少握手次数 5) 证书链：完整的证书链
常见问题 问题一：证书过期 原因：忘记续期。 解决：自动续期 + 监控告警。
问题二：混合内容 表现：HTTPS 页面加载 HTTP 资源。 解决：全站 HTTPS，用相对协议或 //。
问题三：证书不匹配 表现：域名和证书不匹配。 解决：申请正确的域名证书，包含 www 和非 www。
问题四：续期失败 原因：80 端口被占用；DNS 验证失败。 解决：使用 webroot 或 DNS 验证方式。
问题五：性能下降 原因：TLS 握手开销。 解决：开启 Session Resumption、OCSP Stapling、TLS 1.3。
安全加固 1) 禁用旧协议：TLS 1.0/1.1 禁用 2) 强加密套件：只使用前向保密的套件 3) HSTS：强制 HTTPS 4) 证书透明度：CT 日志 5) CAA 记录：限制可签发证书的 CA
总结：HTTPS 部署不难，关键是自动续期和安全配置。Let's Encrypt + certbot 可以自动化大部分工作，配合监控告警，确保证书永不过期。