簽發憑證

總覽

在 AutoSSL 中簽發新的 SSL 憑證分為兩個階段：

1. 設定憑證申請（網域、續期政策和密碼學設定）。
2. 透過 DNS（CNAME 記錄）驗證網域所有權，授權憑證頒發機構簽發憑證。

憑證申請

步驟 1：申請新憑證

先開啟 憑證 頁面，點選 建立憑證。隨後會看到設定表單。

1. 選擇憑證頒發機構（CA）

選擇將要簽發 SSL 憑證的憑證頒發機構。目前 AutoSSL 支援：

• Let's Encrypt：免費、自動化、開放的憑證頒發機構。

2. 網域設定

輸入希望由該憑證保護的網域。

• 點選 新增網域 可新增多個網域。
• 完整支援 萬用字元網域（例如 *.example.com）。
• 注意：網域不能重疊或重複。例如，同一份憑證申請不能同時包含 www.autossl.dev 和 *.autossl.dev，因為萬用字元已經覆蓋該子網域。

3. 基本設定

設定 AutoSSL 如何長期管理這張憑證：

• 憑證名稱：（選填）填寫便於識別的自訂名稱。留空時，AutoSSL 會根據主網域自動產生。
• 自動續期：開啟後，AutoSSL 會在憑證到期前自動續期，避免停機。
• 到期前續期天數：開啟自動續期後，可以指定到期前多少天觸發續期（15 到 45 天）。建議使用 21 天，以便有足夠時間處理續期問題。

4. 進階設定（密碼學）

可以自訂憑證簽章請求（CSR）的技術參數：

• 簽章演算法：
  • RSA：與舊系統的相容性更好。金鑰長度可選 2048 位（建議）、3072 位或 4096 位。
  • ECDSA：效能更好，金鑰更短。曲線可選 P-256（相容性最好）、P-384（安全性更高）或 P-521。
• 雜湊演算法：憑證簽章可選 SHA-256、SHA-384 或 SHA-512。

設定完成後，點選 下一步：設定 DNS 驗證，建立憑證群組並進入驗證步驟。

步驟 2：驗證網域所有權

憑證頒發機構簽發憑證之前，你必須證明自己控制所申請的網域。AutoSSL 使用基於 DNS 的質詢驗證。

1. 設定 CNAME 記錄

AutoSSL 會為申請中的每個網域產生對應的 CNAME 記錄。

• 登入網域註冊商或 DNS 託管供應商（例如 Cloudflare、Route 53、GoDaddy）。
• 把提供的 CNAME 記錄新增到 DNS 設定。各供應商的新增方法見 如何新增 DNS 記錄。

2. 檢查狀態

新增 DNS 記錄後，返回 AutoSSL。

• DNS 傳播可能需要幾分鐘。
• AutoSSL 會檢查 CNAME 記錄的狀態。你也可以手動觸發檢查來重新整理狀態。

3. 開始簽發憑證

所有網域都標記為 已驗證 後，開始簽發憑證 按鈕會變為可用。

• 點選該按鈕，讓憑證頒發機構完成驗證並簽發憑證。
• 稍等片刻後，新的 SSL 憑證即可使用。接下來可以設定 部署，把它推送到你的基礎設施。

自動續期與部署

在步驟 1 設定憑證時，如果開啟 自動續期，AutoSSL 會按 到期前續期天數 的設定，在憑證到期前自動嘗試續期。

自動續期與部署配合時，AutoSSL 才能真正減少人工操作：

1. 自動續期憑證：到達續期閾值後（例如到期前 21 天），只要 DNS 驗證記錄（CNAME）仍然有效，AutoSSL 就會向憑證頒發機構自動簽發新憑證，無需手動操作。
2. 觸發自動部署：新憑證簽發成功後，AutoSSL 會自動觸發該憑證下所有已開啟 自動部署 的 部署。
3. 無需停機：新簽發的憑證會自動推送並應用到基礎設施（例如 CDN、負載平衡器和 Serverless 函式），讓應用持續使用安全的 HTTPS 連線，無需停機，也無需手動處理。

自動續期退避與暫停政策

為了減少重複通知，並避免在問題持續存在時無意義地重試，AutoSSL 會對失敗的自動續期使用退避政策。

• 每次連續續期失敗後，AutoSSL 會按遞增間隔安排下一次重試：1、2、4、8、16 天。
• 在此期間，尚未到重試時間的憑證群組會被跳過。
• 如果失敗次數超過該退避計劃（連續失敗 5 次），AutoSSL 會為該憑證群組 暫停自動續期。

自動續期暫停後：

• AutoSSL 會發送 “自動續期已暫停” 通知郵件（這次失敗不再發送常規失敗郵件），方便你處理問題，同時避免每天重複收到失敗通知。
• 在你明確還原之前，該憑證群組不會再進入後續的自動續期。

如何還原自動續期

1. 先修復根本問題（最常見的是 DNS/CNAME 設定錯誤）。
2. 開啟該憑證的 設定 頁面。
3. 開啟 自動續期 並點選 儲存。

此操作會清除暫停和退避狀態，讓憑證群組在後續計劃任務中重新進入自動續期流程。