通配型SSL证书因其可以保护一个域名及其所有下一级子域名，在网站管理和安全性方面具有很大的优势。Let's Encrypt作为一个知名的免费证书颁发机构，为广大网站所有者提供了获取通配型SSL证书的机会。本文将详细介绍Let's Encrypt免费申请通配型SSL证书的配置方法。
一、准备工作
（一）域名准备
你需要拥有一个自己的域名，并且对该域名具有管理权限。确保域名已经正确解析到你的服务器IP地址。
（二）服务器环境
1.操作系统：支持常见的Linux发行版（如Ubuntu、CentOS等）和Windows Server系统。
2.安装Web服务器软件，如Apache或Nginx。本文以Apache为例进行说明。
（三）安装必要的工具
1.在服务器上安装Certbot工具。Certbot是一个用于获取和管理Let's Encrypt证书的开源客户端软件。
（1） 对于Ubuntu系统，可以通过以下命令安装：
plaintext sudo apt-get update sudo apt-get install certbot python3-certbot-apache
（2）对于CentOS系统，可以使用以下命令安装：
plaintext sudo yum install epel-release sudo yum install certbot python3-certbot-apache
（一）运行Certbot命令
打开终端，输入以下命令申请通配型SSL证书：
plaintext sudo certbot certonly --manual --preferred-challenges dns -d *.yourdomain.com
这里的*.yourdomain.com是你要申请证书的通配域名，将其替换为你自己的域名。--manual表示手动模式，--preferred-challenges dns指定使用DNS验证方式。
（二）DNS验证
1.执行上述命令后，Certbot会提示你需要在域名的DNS记录中添加一条TXT记录来进行验证。记录的具体内容会显示在终端中，例如：
plaintext Please create a TXT record with the following value: _<random-string>.acme-challenge.yourdomain.com TXT <verification-code>
其中<random-string>和<verification-code>是Certbot生成的随机字符串和验证码，你需要将其准确地添加到域名的DNS管理面板中。
2.登录你的域名注册商或DNS服务提供商的管理控制台，找到域名的DNS设置页面。添加一条新的TXT记录，将主机记录设置为_<random-string>.acme-challenge（完整的主机记录名称会在Certbot提示中给出），记录值设置为<verification-code>。
3.添加完成后，等待DNS记录生效。这个过程可能需要几分钟到几小时不等，具体时间取决于DNS服务提供商的缓存更新策略。你可以通过在终端中运行以下命令来检查DNS记录是否已经生效：
plaintext dig -t txt _<random-string>.acme-challenge.yourdomain.com
如果查询结果显示的记录值与Certbot提示的验证码一致，说明DNS记录已经生效。
（三）完成证书申请
当DNS记录生效后，回到服务器终端，按回车键继续证书申请过程。Certbot会与Let's Encrypt服务器进行通信，验证DNS记录的正确性。如果验证通过，证书将被成功颁发并存储在服务器上。你可以在终端中看到证书的存储路径等相关信息。
三、配置Apache服务器使用SSL证书
（一）找到证书文件
证书颁发后，通常会存储在以下路径之一（具体路径可能因操作系统和安装设置而有所不同）：
（1）/etc/letsencrypt/live/*.yourdomain.com/（Ubuntu系统）
（2）/etc/letsencrypt/archive/*.yourdomain.com/（CentOS系统）
在这些目录中，你会找到以下几个文件：
（1）fullchain.pem：包含了证书链，包括你的域名证书和Let's Encrypt的中间证书。
（2）privkey.pem：你的域名证书的私钥。
（二）修改Apache配置文件
1.打开Apache的虚拟主机配置文件（通常位于/etc/apache2/sites-available/目录下，文件名与你的网站配置相关）。例如，对于一个名为yourdomain.com.conf的配置文件，使用文本编辑器打开它。
2.在配置文件中找到VirtualHost部分，添加以下内容来配置SSL：
plaintext <VirtualHost *:80> ServerName yourdomain.com ServerAlias *.yourdomain.com Redirect permanent / https://yourdomain.com/ </VirtualHost> <VirtualHost *:443> ServerName yourdomain.com ServerAlias *.yourdomain.com SSLEngine on SSLCertificateFile /etc/letsencrypt/live/*.yourdomain.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/*.yourdomain.com/privkey.pem # 其他的Apache配置选项，如网站目录、日志设置等 </VirtualHost>
确保将上述路径中的*.yourdomain.com替换为你实际的域名，并且根据你的服务器环境和网站配置进行适当的调整。
（三）重启Apache服务器
使配置生效，在终端中输入以下命令重启Apache服务器：
plaintext sudo service apache2 restart
（如果是CentOS系统，命令可能是sudo service httpd restart）
四、验证SSL证书是否正确配置
1.在浏览器中输入你的域名（例如https://yourdomain.com），如果浏览器显示一个安全锁图标，并且地址栏显示为https开头，说明SSL证书已经成功配置。
2.你可以点击安全锁图标，查看证书的详细信息，确认证书是否为你申请的通配型证书，并且证书的颁发机构是否为Let's Encrypt。
五、证书更新
Let's Encrypt颁发的证书有效期通常为90天。为了确保持续的安全性，你需要定期更新证书。可以通过以下命令进行证书更新：
plaintext sudo certbot renew
建议将证书更新任务设置为定期自动执行，例如可以使用cronjob（在Linux系统中）来定期运行证书更新命令，以确保证书始终保持有效。
六、注意事项
（一）备份证书和私钥
在申请和配置证书后，务必妥善备份证书文件（fullchain.pem）和私钥文件（privkey.pem）。这些文件是保障网站安全加密的关键，如果丢失可能会导致网站无法正常使用SSL证书，需要重新申请和配置。
（二）域名所有权和控制权
确保你对申请证书的域名具有完全的所有权和控制权。只有这样，你才能在域名的DNS记录中进行必要的配置来完成证书的验证过程。如果域名所有权存在问题，可能会导致证书申请失败或后续出现安全隐患。
（三）服务器安全
虽然Let's Encrypt证书本身是安全的，但服务器的整体安全性也非常重要。确保你的服务器操作系统、Web服务器软件以及其他相关的软件和服务都保持最新的安全补丁更新，以防止潜在的安全漏洞被攻击者利用。同时，合理设置服务器的访问权限和防火墙规则，限制不必要的网络访问，进一步增强服务器的安全性。
（四）了解Let's Encrypt的政策和限制
Let's Encrypt有其自身的使用政策和限制，例如证书的有效期、申请频率等。在使用Let's Encrypt证书的过程中，要遵守其相关规定，以免影响证书的正常使用。同时，关注Let's Encrypt的官方文档和公告，了解其政策的变化和更新，以便及时调整你的证书管理策略。
通过以上步骤，你可以成功地从Let's Encrypt免费申请通配型SSL证书并在Apache服务器上进行配置，为你的网站提供安全的加密连接，增强用户数据的安全性和信任度。在实际操作过程中，如果遇到问题，可以参考Let's Encrypt的官方文档和相关的技术论坛获取帮助。
