English
devexamples
← 中文资源

简体中文版本

用 DNS-01 挑战签发通配符证书

借 ACME 的 DNS-01 挑战与 DNS 服务商 API 令牌获取通配符证书，并在到期前自动续期。

阅读英文原文

概述

当主机在内网或代理之后，HTTP-01 无法完成，DNS-01 成为获取通配符证书的唯一可行路径。它用 DNS 区的 API 权限证明所有权，因此该令牌的保管尤为关键，续期失败还会造成静默过期。

关键步骤

  1. 为 ACME 客户端配置 DNS 服务商凭据与通配符域名。
  2. 运行签发流程，由客户端创建并清理挑战 TXT 记录。
  3. 安装证书并设置续期计时器。
  4. 校验证书同时覆盖通配符与基础域名。

验证

  • 挑战经 DNS 完成所有权证明。
  • 证书 SAN 同时包含通配符与基域。
  • 续期成功且有日志可查。
  • 到期前监控发出预警。

注意事项

  • DNS-01 需要 DNS 区的 API 权限，属于需严格保管的高权限凭据。
  • 通配符证书一个密钥覆盖多台主机，泄露的影响面较广。

适用范围

本条目围绕「用 DNS-01 挑战签发通配符证书」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。

certbot certonly --dns-cloudflare \
  --dns-cloudflare-credentials ~/.secrets/cf.ini \
  --dns-cloudflare-propagation-seconds 60 \
  -d "*.example.com" -d example.com