SSL证书自动化

自动化SSL证书：套餐比较

我们提供六种自动化SSL证书，分为两组：四种RapidSSL和GeoTrust套餐，可同时支持AutoInstall SSL®和ACME；两种Sectigo和DigiCert证书，适用于您自己的ACME客户端。

同时支持两种自动化方式的套餐

您可以根据服务器的实际情况选择合适的方式。每个套餐均为年度订阅，并提供免费、无限次重新签发，因此证书有效期越短，意味着自动重新签发的次数越多，而不是需要您购买更多次。

适用于您自己自动化客户端的证书

这些证书仅支持ACME，因此您需要将其与ACME客户端（如Certbot、acme.sh或win-acme）连接使用。

哪种SSL自动化方式适合您的服务器？

SSL证书自动化有四种方式：适用于您自己的Apache、NGINX或IIS服务器的AutoInstall SSL®；适用于任何配备ACME客户端环境的ACME；适用于大规模证书集群的证书生命周期管理平台；以及适用于共享主机的主机内置SSL。合适的SSL证书自动化工具取决于您网站运行的环境以及您对服务器的访问权限。请在下表中找到适合您的配置方式。

使用共享主机？ 大多数共享主机都提供免费证书。在cPanel中，它被称为AutoSSL，这与AutoInstall SSL®是不同的东西。您仍然可以在共享主机上安装付费证书，但需要手动续期和重新安装：从2027年起每年至少4次，到2029年将增加到8次或更多。如果您的主机提供SSH访问权限，使用acme.sh等ACME客户端或许可行；请参阅我们的 cPanel ACME指南，并先与您的主机确认。Wix、Shopify和Squarespace等网站建站工具通常只支持自家的证书。

不确定哪种方式适合您？ 联系我们的24/7支持团队，告知您的服务器类型，我们会为您推荐合适的方案。

为何SSL自动化如今已不可或缺

2025年4月，CA/浏览器论坛通过了 提案SC-081v3，该提案分三步削减公共SSL/TLS证书的最长有效期。Apple、Google、Microsoft和Mozilla均投票支持该提案。第一步已于2026年3月15日起生效，此后每一步都使SSL证书自动化变得愈发不可或缺。

SSL有效期时间表（2026年至2029年）

以AutoInstall SSL®目前28天的续期窗口计算。支持ARI的ACME客户端会按照证书颁发机构建议的时间续期，因此具体次数会有所不同。

SSL证书需要多久续期一次？

根据提案SC-081v3的规定，目前每年至少需续期两次（自2026年3月15日起，最长有效期为200天），自2027年3月15日起每年4次（100天），自2029年3月15日起每年8次（47天）。由于自动续期会提前启动，实际续期频率会稍高一些：以目前28天的续期窗口计算，大约每年分别为2次、5次和20次。

续期量会迅速累积。以目前28天的续期窗口为例，50张有效期为47天的证书，每年大约需要进行1,000次续期，这显然无法通过人工方式来追踪管理。

SSL续期一旦遗漏，后果也非常明显。浏览器会显示整页安全警告，访客会离开网站，在线结账功能也会失效，直到证书被更换为止。

域验证的重用期限也在不断缩短。自2029年3月15日起，一次成功的域验证仅可重用10天，这意味着几乎每次续期都需要重新进行验证。这一步骤同样可以由自动化流程来完成。

199天还是200天？

199天和200天两种说法都是正确的。CA/B论坛的规则规定，证书有效期不得超过200天，且最好不要超过199天。作为RapidSSL和GeoTrust背后的证书颁发机构，DigiCert签发的证书有效期为199天，以确保在限制范围之内。

自动化SSL证书管理的运作方式

一旦设置完成，自动化SSL证书管理会针对每张证书重复执行同样的周期流程：

这一设置每台服务器只需完成一次。您的私钥会一直保存在您自己的服务器上，只要您的订阅处于有效状态，之后的每一次重新签发（包括因有效期缩短而增加的那些额外重新签发）都会通过同一套流程自动完成。这正是自动化SSL证书续期在实践中的体现：无需提醒，无需手动复制文件。

续期并不等同于部署

续期后的证书只有在安装完成并且服务器重新加载后，才能真正保护您的访客。优质的SSL证书续期自动化方案应涵盖全部三个步骤：续期、安装与重新加载。AutoInstall SSL®能够完成这全部三个步骤。而使用ACME时，情况则取决于所用的客户端：Certbot的Apache和NGINX插件可以处理安装环节，而其他客户端可能需要借助部署钩子（deploy hook）来完成。

面向Apache、NGINX和IIS的免操作自动化方案

AutoInstall SSL®是DigiCert面向Web服务器推出的自动化代理程序。如果您运营自己的服务器，并且不希望在设置完成后再进行任何配置操作，这将是最简便的选择。

• 支持的服务器：Windows Server 2016、2019、2022和2025上的IIS；Ubuntu、Debian、CentOS及其他主流Linux发行版上的Apache和NGINX。
• 所需条件：服务器的root或管理员访问权限。
• 验证方式：通过文件或DNS验证。
• 续期时间：到期前28天自动续期，每日进行检查，如遇失败会通过电子邮件发出提醒。

它适用于上述所有RapidSSL和GeoTrust套餐。但它不支持共享主机、Wix或Squarespace等网站建站工具，也不支持没有root访问权限的托管式cPanel或Plesk账户，因为该代理程序需要在服务器本身上安装软件。

自带客户端：Certbot、Caddy、cert-manager及其他

ACME，即“自动证书管理环境”，是一种被广泛使用的开放式证书自动化标准，定义于 RFC 8555 （2019年）。本页面上的每一种证书都支持该标准：四种RapidSSL和GeoTrust套餐、Sectigo ACME CaaS以及DigiCert ACME。购买支持ACME的付费证书后，您将获得专属的自动化凭证。您的客户端会通过外部账户绑定（EAB）与您的账户连接：只需输入一次密钥ID和密钥（HMAC密钥）即可。此后，客户端会自动申请证书、完成验证并进行续期，而您的私钥始终不会离开您的服务器。

ACME兼容Certbot、acme.sh、win-acme、cert-manager和Caddy，同时也支持众多防火墙和NAS设备。较新的客户端还支持ACME续期信息（ARI， RFC 9773），该功能可让支持此标准的证书颁发机构告知您的客户端何时应进行续期。

第一次设置客户端？我们提供13篇分步ACME客户端指南，涵盖从Apache和NGINX到Kubernetes、邮件服务器以及远程桌面等多种场景，其中包括适用于IIS的 win-acme、 FortiGate、 pfSense 以及 Synology NAS。

免费与付费自动化SSL证书对比

Let’s Encrypt是免费的，且完全可以实现自动化。只要续期实现了自动化，较短的有效期本身就不再是问题。真正的差异体现在验证类型、保障金额、技术支持以及提醒机制上。

有效期一行显示的是DigiCert实际签发的数值；域验证一行则显示CA/B论坛规定的最长期限，具体证书颁发机构可能会采用更短的周期。

两种选项对流量的加密方式完全相同，因此选择的关键在于证书所附带的其他服务。DV证书只能证明对域名的控制权。而OV和EV证书还会对网站背后的组织机构进行核实，这正是部分企业、合作伙伴以及采购团队所要求的。

如果您的网站只需要基本的加密功能，并且您能够熟练使用Certbot，那么Let’s Encrypt是一个不错的选择。如果您需要保障金额、OV或EV验证、失败提醒或24/7全天候支持，则应选择付费的自动化证书。如需更深入的了解，请阅读Let’s Encrypt对比SSL Dragon。