签发证书

概览

在 AutoSSL 中签发新的 SSL 证书分为两个阶段：

1. 配置证书申请（域名、续期策略和密码学设置）。
2. 通过 DNS（CNAME 记录）验证域名所有权，授权证书颁发机构签发证书。

证书申请

步骤 1：申请新证书

先打开 证书 页面，点击 创建证书。随后会看到配置表单。

1. 选择证书颁发机构（CA）

选择将要签发 SSL 证书的证书颁发机构。目前 AutoSSL 支持：

• Let's Encrypt：免费、自动化、开放的证书颁发机构。

2. 域名配置

输入希望由该证书保护的域名。

• 点击 添加域名 可添加多个域名。
• 完整支持 通配符域名（例如 *.example.com）。
• 注意：域名不能重叠或重复。例如，同一份证书申请不能同时包含 www.autossl.dev 和 *.autossl.dev，因为通配符已经覆盖该子域名。

3. 基本设置

配置 AutoSSL 如何长期管理这张证书：

• 证书名称：（可选）填写便于识别的自定义名称。留空时，AutoSSL 会根据主域名自动生成。
• 自动续期：开启后，AutoSSL 会在证书到期前自动续期，避免停机。
• 到期前续期天数：开启自动续期后，可以指定到期前多少天触发续期（15 到 45 天）。建议使用 21 天，以便有足够时间处理续期问题。

4. 高级设置（密码学）

可以自定义证书签名请求（CSR）的技术参数：

• 签名算法：
  • RSA：与旧系统的兼容性更好。密钥长度可选 2048 位（建议）、3072 位或 4096 位。
  • ECDSA：性能更好，密钥更短。曲线可选 P-256（兼容性最好）、P-384（安全性更高）或 P-521。
• 哈希算法：证书签名可选 SHA-256、SHA-384 或 SHA-512。

配置完成后，点击 下一步：配置 DNS 验证，创建证书组并进入验证步骤。

步骤 2：验证域名所有权

证书颁发机构签发证书之前，你必须证明自己控制所申请的域名。AutoSSL 使用基于 DNS 的质询验证。

1. 配置 CNAME 记录

AutoSSL 会为申请中的每个域名生成对应的 CNAME 记录。

• 登录域名注册商或 DNS 托管服务商（例如 Cloudflare、Route 53、GoDaddy）。
• 把提供的 CNAME 记录添加到 DNS 设置。各服务商的添加方法见 如何添加 DNS 记录。

2. 检查状态

添加 DNS 记录后，返回 AutoSSL。

• DNS 传播可能需要几分钟。
• AutoSSL 会检查 CNAME 记录的状态。你也可以手动触发检查来刷新状态。

3. 开始签发证书

所有域名都标记为 已验证 后，开始签发证书 按钮会变为可用。

• 点击该按钮，让证书颁发机构完成验证并签发证书。
• 稍等片刻后，新的 SSL 证书即可使用。接下来可以配置 部署，把它推送到你的基础设施。

自动续期与部署

在步骤 1 配置证书时，如果开启 自动续期，AutoSSL 会按 到期前续期天数 的设置，在证书到期前自动尝试续期。

自动续期与部署配合时，AutoSSL 才能真正减少人工操作：

1. 自动续期证书：到达续期阈值后（例如到期前 21 天），只要 DNS 验证记录（CNAME）仍然有效，AutoSSL 就会向证书颁发机构自动签发新证书，无需手动操作。
2. 触发自动部署：新证书签发成功后，AutoSSL 会自动触发该证书下所有已开启 自动部署 的 部署。
3. 无需停机：新签发的证书会自动推送并应用到基础设施（例如 CDN、负载均衡器和 Serverless 函数），让应用持续使用安全的 HTTPS 连接，无需停机，也无需手动处理。

自动续期退避与暂停策略

为了减少重复通知，并避免在问题持续存在时无意义地重试，AutoSSL 会对失败的自动续期使用退避策略。

• 每次连续续期失败后，AutoSSL 会按递增间隔安排下一次重试：1、2、4、8、16 天。
• 在此期间，尚未到重试时间的证书组会被跳过。
• 如果失败次数超过该退避计划（连续失败 5 次），AutoSSL 会为该证书组 暂停自动续期。

自动续期暂停后：

• AutoSSL 会发送 “自动续期已暂停” 通知邮件（这次失败不再发送常规失败邮件），方便你处理问题，同时避免每天重复收到失败通知。
• 在你明确恢复之前，该证书组不会再进入后续的自动续期。

如何恢复自动续期

1. 先修复根本问题（最常见的是 DNS/CNAME 配置错误）。
2. 打开该证书的 设置 页面。
3. 打开 自动续期 并点击 保存。

此操作会清除暂停和退避状态，让证书组在后续计划任务中重新进入自动续期流程。