1. 为什么我决定干掉“90天手动续证书”这件事先说个真实的场景你搭了个网站配好了 HTTPS浏览器小锁头也亮了一切岁月静好。然后呢90 天之后证书过期用户访问直接报警“您的连接不是私密连接”。你赶紧登录服务器找到证书目录复制粘贴新证书再去宝塔面板里手动换一遍重启 Nginx刷新页面确认。这套流程我起码干过二十遍。一开始我还能忍毕竟 Let‘s Encrypt 免费证书量大管饱手动续也就几分钟的事。但后来服务器多了站点多了还有一堆子域名要一起续问题就来了你根本记不住每张证书什么时候到期总有那么一两张在你出差、休假、半夜睡觉的时候偷偷过期等你发现时已经被用户骂了一轮。所以这阵子我下决心做一件事把“手动换证书”彻底从工作流里删掉。目标很明确——证书到期前自动续期、自动部署、自动重载 Web 服务全程零人工干预。选型也很直接Windows Server 宝塔 Windows 版 win-acme 阿里云 DNS API。这篇文章就把我这次实践的完整过程写出来含踩坑记录、参数选择和排错思路。如果你也是 Windows 环境下跑宝塔、用阿里云 DNS 解析、被 Let’s Encrypt 90 天续期逼疯的人这篇应该能直接帮你省下好几个晚上的折腾时间。2. 方案选型为什么是 win-acme 而不是 Certbot2.1 先搞清楚 Windows 上证书续期的痛点Windows 环境下做 HTTPS 证书自动续期最大的难点不是“续期”本身而是“验证方式”和“证书部署”两个环节。Let‘s Encrypt 验证域名归属有两种主流方式HTTP-01 和 DNS-01。HTTP-01 需要在域名对应的站点根目录放一个临时验证文件或者让 CA 能通过 80 端口访问到你的服务器。这在 Linux Nginx 环境下很顺但在 Windows 宝塔环境里就有点烦了——宝塔的站点配置会覆盖 Nginx 配置你手动放的验证文件可能会被重写规则拦截或者多站点环境下验证路径根本对不上。再加上有的服务器在国内Let’s Encrypt 的验证请求有时候会不稳定HTTP-01 失败率并不低。DNS-01 就省心多了CA 要求你在域名的 DNS 解析记录里加一条 TXT 记录证明你确实控制这个域名验证通过后再删除。这个方式不依赖 80/443 端口也不依赖站点目录特别适合“站点本来就开着 CDN 或反代”“80 端口被占用”“多站点共用一张证书”这类场景。唯一的问题是你得能自动操作 DNS 解析记录。这时候就需要一个能跟阿里云 DNS API 对接的客户端。Certbot 在 Windows 上跑不是不行但对阿里云 DNS 的支持插件配置起来麻烦而且它跟宝塔 Windows 版的集成度并不好。win-acme 是 Windows 生态里公认做得比较顺的 ACME 客户端原生支持 DNS-01 验证可以对接阿里云 DNS还自带证书安装、计划任务、IIS 集成等一堆实用功能。2.2 win-acme 到底做了哪些事win-acme 是一个开源的 ACME v2 客户端专门为 Windows 环境设计支持从 Let‘s Encrypt、ZeroSSL、Buypass 等 CA 申请和续期证书。它最核心的能力是自动完成“验证域名 - 申请证书 - 安装证书到指定位置 - 重载 Web 服务”这一整条链路。它跟宝塔配合的关键点在于宝塔 Windows 版虽然内置了 Let’s Encrypt 申请功能但它是走 HTTP 验证的而且没有内置自动续期的可靠机制至少我用的版本是这样后来新版有没有改进我没细测。就算你手动申请成功到期前它也不会主动帮你换。win-acme 则是一个独立的计划任务可以精确控制续期时间、证书保存路径和部署动作比依赖宝塔自身的逻辑可控得多。2.3 这套方案的适用边界先打个预防钟这套方案不是万能的。如果你用的是纯 Linux 宝塔那直接装个 acme.sh 脚本配合阿里云 DNS API可能比 win-acme 更顺。但 Windows 宝塔用户的处境比较尴尬——很多 Linux 上的工具链在 Windows 上水土不服要么缺依赖要么跑不起来。win-acme 是 .NET 程序Windows 原生跑命令行交互也友好是这个环境下最稳妥的选项。另外如果你的域名不在阿里云你也可以用类似的逻辑对接其他 DNS 服务商win-acme 支持很多插件。我这篇主要讲阿里云 DNS因为这是国内用户最常见的解析服务商之一而且 API 文档清晰、权限模型也比较好控制。注意这套方案要求你必须能拿到阿里云域名解析的 API 密钥而且建议用一个最小权限的 RAM 子账号而不是直接用主账号 AccessKey避免泄露后被人删解析、改解析。3. 环境准备Windows 宝塔、win-acme、阿里云 DNS 的全套前置条件3.1 服务器与软件版本我实操的环境是这样Windows Server 2019Windows Server 2016 也可以核心步骤一致宝塔 Windows 版当前稳定版即可我用的是 7.x 的某个版本win-acme 最新稳定版我这边用的是 2.2.x阿里云云解析 DNS域名已托管到阿里云网站运行在宝塔自带的 Nginx 上PHP 版本无所谓跟证书续期无关先说一个容易踩的坑宝塔 Windows 版安装 Nginx 后默认站点配置文件路径在C:\BtSoft\nginx\conf\vhost或者C:\BtSoft\nginx\conf\vhosts下具体看你装的版本。我们的核心目标是让 win-acme 把新证书写到宝塔 Nginx 能读取的位置然后重载 Nginx 让新证书生效。所以你在动手之前最好先搞清楚自己服务器的站点配置文件在哪、证书目录在哪、Nginx 二进制在哪。3.2 安装 win-acme 并初始化win-acme 不需要安装下载解压就能用。官网 GitHub Releases 页面能找到最新版本下载 zip 包后解压到一个固定目录比如C:\win-acme。解压后你会看到一堆 dll 和 exe其中核心可执行程序是wacs.exe。第一次运行建议直接在命令行里敲cd C:\win-acme wacs.exe第一次跑会走一遍交互式配置向导它会问你要不要升级到新版本、选择 ACME 服务器默认 Let‘s Encrypt、注册邮箱等等。如果你不想要交互式流程也可以直接用命令行参数非交互式执行后续我会给完整参数。实操心得win-acme 第一次交互式配置时它会生成一个默认的settings.json配置文件。这个文件很重要后面很多默认行为都从这里读取。建议把交互式配置先跑完一遍确认基本流程没问题再改成计划任务自动跑这样排错成本低很多。3.3 获取阿里云 DNS API 密钥登录阿里云控制台进入 RAM 访问控制创建一个子用户勾选“编程访问”然后给这个子用户授权。权限方面最小化原则只需要“AliyunDNSFullAccess”或者更细粒度的“云解析 DNS 的解析记录管理权限”就行。创建完成后会得到 AccessKey ID 和 AccessKey Secret这两串东西请你存好后续 win-acme 配置要用到。注意AccessKey Secret 只在创建时显示一次忘了就得重置。而且千万不要把这个密钥写进公网可见的代码仓库、博客、群聊里建议直接环境变量或者加密存储。我自己是把它写进 win-acme 的配置里但顺手把配置文件用 Windows 的权限管理限制成只有管理员可读。3.4 确认宝塔 Nginx 的证书加载方式在宝塔面板里进入“网站 - 你的站点 - SSL”可以看到当前证书的私钥和证书内容。宝塔会把证书文件放在某个固定目录下通常是C:\BtSoft\nginx\conf\ssl\你的域名之类的路径。这里我需要特别提醒一点宝塔的面板界面和底层配置之间是有“同步”关系的。如果你手动往 SSL 目录里扔证书文件但没通过宝塔接口更新面板上显示的证书信息不会自动变。win-acme 的续期流程有一个“部署到宝塔”的思路就是直接覆盖宝塔的证书文件然后重载 Nginx。这样面板上到时间去刷新看到的也是新证书但如果你去点“部署”按钮宝塔可能会用自己数据库里的旧信息覆盖回去。所以实际生产中我建议在 win-acme 部署动作里除了更新证书文件还要顺手更新宝塔的 SSL 配置数据这一点我后面细说。4. 核心细节解析win-acme 的配置逻辑与阿里云 DNS 插件4.1 理解 win-acme 的“验证器”和“安装器”win-acme 的逻辑可以拆成三步验证Validation、申请Renewal/Creation、安装Installation。验证阶段它通过你选的验证器去证明域名归你所有申请阶段它跟 CA 交互拿到证书文件安装阶段它把证书放到你指定的位置并执行后续动作比如重载 Web 服务。阿里云 DNS 对应的验证器官方插件叫Aliyun或者叫做AlibabaCloudDNS不同版本的 win-acme 插件名称略有差异要注意看你下载的版本里插件列表。你可以在 win-acme 的交互式界面里选择“DNS 验证”然后选择阿里云插件输入 AccessKey ID 和 Secret它就能自动添加/删除 TXT 记录。安装器这边win-acme 把证书写到指定目录后可以通过命令行执行重载动作。对于宝塔 Nginx 环境重载方式很简单宝塔面板里其实就有“重载配置”按钮但既然都要自动化了直接用命令行执行 Nginx 重载更靠谱。宝塔 Windows 版自带 Nginx它的 binary 路径一般在C:\BtSoft\nginx\nginx.exe支持-s reload参数。C:\BtSoft\nginx\nginx.exe -s reload如果你担心进程名称或路径不一致可以先在命令行里跑一下能正常重载就行。重载成功后新证书立刻生效不需要重启服务器。4.2 用推荐参数跑通非交互式续期win-acme 支持完全非交互式运行方式这是做成计划任务的前提。我的最终命令行大致长这样wacs.exe --renew --force --installation silent --validator aliyun --aliyun-access-key-id 你的AK --aliyun-access-key-secret 你的SK --certificatestore C:\BtSoft\nginx\conf\ssl\yourdomain --extra subjectyourdomain.com不过实际命令要稍微修正下win-acme 的安装器一般还要指定证书文件怎么输出。常用的方式是使用--installation fileserver指定证书保存目录和私钥保存目录同时指定输出格式为 PEM这样宝塔 Nginx 可以直接读取。另外win-acme 的--renew参数会自动遍历它自己记录过的证书只对需要续期的证书执行操作。你第一次需要先手动添加证书目标后续续期基本上一个定时任务就能搞定。实操心得不要在第一次跑非交互式命令时就把整个流程全部自动化。我建议先交互式跑通一遍确认申请证书成功、部署路径正确、Nginx 能正常重载之后再把这些参数固化到计划任务里。否则你面对的问题就是“一步错、步步错”排查起来反而更慢。4.3 证书文件格式和宝塔的兼容性宝塔 Nginx 用的是 PEM 格式证书文件证书链和私钥分别是两个文件。win-acme 默认输出的证书格式是 PFX/PEM 混合但如果你用--pem相关参数可以让它输出更适合 Nginx 的 PEM 文件。关键点证书文件一般叫cert.pem或fullchain.pem私钥文件叫key.pem或privkey.pem。宝塔默认加载的是fullchain.pem和privkey.pem但也有版本是yourdomain.pem、yourdomain.key。你最好先打开宝塔 SSL 设置页看一眼当前路径然后让 win-acme 的输出文件名跟宝塔读的完全一致直接覆盖即可。5. 实操过程与核心环节实现5.1 第一步创建阿里云 RAM 子账号并授权进入 RAM 控制台创建用户名字随意比如acme-dns勾选“OpenAPI 调用访问”。创建好后在用户列表里进入“权限管理”添加权限策略搜索“AliyunDNSFullAccess”授权即可。这里插一句为什么不建议直接给主账号的 AccessKey因为主账号的 AccessKey 权限太大了一旦泄露攻击者可以操作你账号下所有资源不只是解析记录。子账号加最小权限的话就算泄露也就是被拿去加几条解析发现后删掉重置密钥就行损失完全可控。5.2 第二步win-acme 交互式添加证书目标先跑一遍wacs.exe交互式流程选择 N 创建新证书New Certificate。输入域名支持通配符比如*.yourdomain.com。选择验证方式选“DNS 验证 (DNS-01)”再选阿里云插件。输入 AccessKey ID / Secret。选择安装方式选“文件系统”或“自定义命令”。指定证书输出目录例如C:\BtSoft\nginx\conf\ssl\yourdomain。选择证书格式尽量选 PEM。确认完成。完成之后win-acme 会在它的配置目录里记录这个证书的“注册信息”包括域名、验证方式、安装方式、文件路径等。后面跑--renew的时候它就会基于这些记录自动续期。如果你有多个域名可以一次性都加进来win-acme 支持一张证书包含多个域名也可以每站点一张证书。我这边实践下来建议每个站点单独一张证书别搞“一张证书挂所有域名”不然续期的时候一次把所有站点都“绑在一起”任何一步出错会影响所有站点排查和回滚都不方便。5.3 第三步验证申请流程跑通交互式创建完成后win-acme 会立刻执行一次申请。这跟续期逻辑不同第一次是干跑它需要真去阿里云 DNS 添加 TXT 记录、等生效、然后申请证书。运维过的人应该知道DNS 验证有一个“生效时间”问题。阿里云 DNS 解析记录添加后通常几十秒到几分钟内能生效但不同地区、不同递归 DNS 的缓存时间不一样。win-acme 默认会等待一段时间再验证。如果验证失败它会报错告诉你 TXT 记录没有查到。我这边第一次跑 AWS 的时候犯了个低级错误域名是www.example.com但我在阿里云 DNS 里手动加 TXT 记录时加错了位置。win-acme 自动加记录是没问题的但那次我是想测试插件到底有没有用对账号结果发现插件自动加的记录名和手动理解的记录名不一样。这里提醒一下DNS-01 验证时 TXT 记录的 name 一般是_acme-challenge.yourdomain.com别漏了前缀。5.4 第四步把续期动作固化到 Windows 计划任务这是整个方案里最关键的一步。win-acme 本身不会自己“到点干活”它需要你给它一个触发机制。Windows 计划任务是最常规的方式。在“任务计划程序”中创建新任务触发器设为每天凌晨固定时间比如 3 点操作设为运行wacs.exe参数为--renew --installation silent --force注意--force不是必要的。win-acme 会自动判断证书剩余有效期如果剩余时间大于阈值它不会重复申请。我建议保留默认行为不要强制续期除非你想手动测试。加--force只是我调试时用的。运行计划任务的账号建议用SYSTEM或者一个有本地管理员权限的账号。同时勾选“不管用户是否登录都要运行”这样可以保证你人不在服务器前它也能跑。5.5 第五步确认续期后 Nginx 重载win-acme 执行完成续期后默认会把证书文件写到目标目录。但如果你用的是“文件系统安装器”它不会主动去重载 Nginx。所以我们要在 win-acme 的安装环节里配置“后置命令”也就是安装证书完成后执行 Nginx reload。在 win-acme 交互式配置里选择“自定义安装命令”填入C:\BtSoft\nginx\nginx.exe -s reload如果 Nginx 路径里有空格记得加引号。如果你是 IIS 环境可以直接用 win-acme 自带的 IIS 安装器它会自动替换绑定证书不用自己写重载命令。实操心得一定要在“安装后重载”这步亲自测试一遍。我之前以为-s reload只是重新读配置不会影响现有连接所以一直没当回事。后来有一次证书文件被写了一半时触发了重载其实是 win-acme 写文件顺序的问题Nginx 直接启动失败客户端访问全部 502。排查半天才发现是证书不完整。所以后来我把证书写文件和重载拆开先让 win-acme 把新证书写到临时目录再用自定义脚本把证书和私钥复制到宝塔目录、确认文件都存在且非空最后才执行 reload。虽然多了一步但安全系数高很多。6. 常见问题与排查技巧实录6.1 win-acme 提示“DNS TXT 记录未生效”这个报错很常见。原因无外乎几种阿里云 DNS 解析记录还没同步到公共 DNS。TXT 记录名前缀写错比如_acme-challenge没加。AccessKey 权限不够导致 win-acme 添加记录失败但没明显报错。域名有多级比如sub.yourdomain.com要在正确的解析层级上加记录。排查思路先用nslookup -typeTXT _acme-challenge.yourdomain.com 8.8.8.8或dig命令查一下公共 DNS 是否已经看到记录。如果公共 DNS 能看到但 win-acme 还报失败那就是它内部的验证服务网络问题多试几次。如果公共 DNS 看不到优先检查阿里云控制台的解析记录是否真的加上了、记录名是否正确、解析线路是否设置成“默认”。6.2 证书文件更新了但浏览器还是旧证书这种情况一般不是 win-acme 的问题而是证书文件路径搞错了。win-acme 把新证书写到了 A 目录宝塔 Nginx 却读的是 B 目录。你可以在命令行里用curl -v https://你的域名查看实际的证书指纹跟 win-acme 日志里显示的指纹比对。如果指纹不一样就是路径问题。另外还有一种情况Nginx 是master process读证书但 worker 进程缓存了旧证书。执行-s reload是会让 worker 重新读证书的但如果 reload 没成功就还是旧证书。这时候记得检查 Nginx 的错误日志看 reload 是不是报错了。6.3 宝塔面板显示证书过期但实际证书有效说白了这就是面板缓存跟实际文件不同步。win-acme 更新了证书文件但宝塔面板的数据库里存的是旧证书信息。你可以在宝塔 SSL 页面手动重新部署一次或者走宝塔的 API 把新证书内容写进去。不过更省事的办法是在 win-acme 的自定义安装命令里再加一个 Python 或 PowerShell 脚本用来调用宝塔面板的 API 更新证书数据这样面板显示和实际文件就一致了。我自己用的脚本逻辑很简单解析 win-acme 生成的 cert.pem 和 key.pem请求宝塔的ssl/SetSSL接口把证书内容和私钥填进去。这个操作比较繁琐但一劳永逸。如果你不想写脚本那就每天打开宝塔面板看一次发现面板显示过期但浏览器正常就别慌。6.4 计划任务跑了但没生成新证书先看 win-acme 日志。win-acme 会在程序目录下生成日志文件路径一般在C:\win-acme\logs日志里会写清楚为什么没申请比如“证书剩余有效期大于阈值跳过”。这不是报错是正常的幂等行为。如果你的目的是“强制续期测试”那在命令行里加--force参数即可。但生产环境不要一直加--force否则每个计划任务周期都会重新申请证书白白浪费 Let‘s Encrypt 的申请频率限制。6.5 阿里云 AccessKey 泄露了怎么办万一 Key 泄露第一时间去 RAM 控制台禁用或删除该 AccessKey然后创建新 Key替换 win-acme 配置和环境变量里的旧 Key。整个替换过程不需要重新申请证书因为证书已经签发了验证只发生在申请阶段。你只需要让后续的续期流程能用新 Key 完成 DNS 验证即可。7. 从“能跑”到“稳定跑”的几点经验补充7.1 证书监控要双保险自动续期不等于不用监控。我还是建议在计划任务里加一个“健康检查”动作比如续期完成后脚本去解析你的域名检查证书剩余天数。如果低于 30 天说明续期失败了发个邮件或者推送通知到钉钉/企业微信。我这边实现方式很简单用 PowerShell 写一个脚本调用certutil或者 .NET 的X509Certificate2读取线上证书的过期时间然后通过 webhook 发告警。脚本挂在计划任务的“完成后操作”里不管成功失败都会触发一次检查。7.2 备份和回滚自动化做得越好越要留一条“回滚”的路。我建议每次续期前把上一版证书备份到一个带日期的目录保留最近 5 份就够C:\cert-backup\2025-01-01\ C:\cert-backup\2025-04-01\ ...win-acme 本身不提供这个能力但你可以把它写进自定义安装命令脚本在复制新证书进去之前先把旧证书压缩或复制到备份目录。万一新证书有问题几秒内就能切回去。7.3 频率和时机的选择Let‘s Encrypt 证书有效期是 90 天一般建议在剩余 30 天左右去续期。win-acme 默认的续期策略是“剩余天数小于 30 天就去续”这个设置比较合理。如果你设成“剩余 60 天就续”理论上也行但会导致频繁跟 CA 通信。而如果你是在国内网络环境 Let’s Encrypt 的 ACME 服务偶发不稳定所以计划任务每天跑一次也没关系因为不是每天都真去申请只有当剩余天数低于阈值时才会触发真实申请。我个人的“标准答案”是计划任务每天凌晨 3 点跑一次阈值用默认证书自动写入宝塔目录然后 Nginx reload。三个月里真正触发申请的其实只有一次到两次其余时间都是“检查一下还不够时间续跳过”。这样既保证了及时续期又不会对 CA 服务造成压力。8. 最后分享一个我后来加上的“小优化”如果你有多台服务器或者同一个域名在多个环境里都要用证书那你可能会想能不能申请完证书之后直接推送到好几台机器win-acme 本身不做这个事但你可以用“部署脚本”实现。我后来的做法是win-acme 完成续期后额外触发一个 PowerShell 脚本把证书文件通过内网共享或 FTP 推到另一台服务器上再远程执行一次 Nginx reload。这样就不用在每台机器上都跑一套 ACME 客户端。不过要注意如果你的域名解析是走多区域的每台机器拉的证书必须跟域名匹配别搞混了。还有一个容易被忽略的细节win-acme 默认生成的证书是 RSA 还是 ECDSA取决于你的配置。宝塔 Nginx 对这两种证书都支持但 ECDSA 证书在某些老旧的 Windows 客户端兼容性上不如 RSA。如果你想兼容性最大化就选 RSA如果你更看重性能就选 ECDSA。我主要是 To C 业务兼容性优先所以一直用 RSA。再补一个 Windows 环境特有的坑win-acme 跑计划任务时如果任务设置里“使用最高权限运行”没勾可能没权限写证书目录或者调用 Nginx reload。我在第一次配计划任务时就踩过这个坑最后把任务改为“使用最高权限运行”且在“系统账户”下跑才彻底解决。整套方案跑起来之后我已经连续三个续期周期没有手动碰过证书了。到期前一周它会自动续好Nginx 自动重载用户感知不到任何变化。唯一需要你操心的就是偶尔看一眼监控告警确认一切正常。我在这个过程中最大的体会是自动化不是把“手动点按钮”换成“定时跑脚本”就完事了而是要把“出错了怎么发现、怎么快速恢复”也一起设计进去。证书续期这件事看起来就是个简单的小工具但真正把它做稳定需要你把验证、申请、部署、重载、告警、回滚这一串动作全部打通。希望这篇记录能帮你少走点弯路。
Windows宝塔环境Let‘s Encrypt证书自动续期方案
1. 为什么我决定干掉“90天手动续证书”这件事先说个真实的场景你搭了个网站配好了 HTTPS浏览器小锁头也亮了一切岁月静好。然后呢90 天之后证书过期用户访问直接报警“您的连接不是私密连接”。你赶紧登录服务器找到证书目录复制粘贴新证书再去宝塔面板里手动换一遍重启 Nginx刷新页面确认。这套流程我起码干过二十遍。一开始我还能忍毕竟 Let‘s Encrypt 免费证书量大管饱手动续也就几分钟的事。但后来服务器多了站点多了还有一堆子域名要一起续问题就来了你根本记不住每张证书什么时候到期总有那么一两张在你出差、休假、半夜睡觉的时候偷偷过期等你发现时已经被用户骂了一轮。所以这阵子我下决心做一件事把“手动换证书”彻底从工作流里删掉。目标很明确——证书到期前自动续期、自动部署、自动重载 Web 服务全程零人工干预。选型也很直接Windows Server 宝塔 Windows 版 win-acme 阿里云 DNS API。这篇文章就把我这次实践的完整过程写出来含踩坑记录、参数选择和排错思路。如果你也是 Windows 环境下跑宝塔、用阿里云 DNS 解析、被 Let’s Encrypt 90 天续期逼疯的人这篇应该能直接帮你省下好几个晚上的折腾时间。2. 方案选型为什么是 win-acme 而不是 Certbot2.1 先搞清楚 Windows 上证书续期的痛点Windows 环境下做 HTTPS 证书自动续期最大的难点不是“续期”本身而是“验证方式”和“证书部署”两个环节。Let‘s Encrypt 验证域名归属有两种主流方式HTTP-01 和 DNS-01。HTTP-01 需要在域名对应的站点根目录放一个临时验证文件或者让 CA 能通过 80 端口访问到你的服务器。这在 Linux Nginx 环境下很顺但在 Windows 宝塔环境里就有点烦了——宝塔的站点配置会覆盖 Nginx 配置你手动放的验证文件可能会被重写规则拦截或者多站点环境下验证路径根本对不上。再加上有的服务器在国内Let’s Encrypt 的验证请求有时候会不稳定HTTP-01 失败率并不低。DNS-01 就省心多了CA 要求你在域名的 DNS 解析记录里加一条 TXT 记录证明你确实控制这个域名验证通过后再删除。这个方式不依赖 80/443 端口也不依赖站点目录特别适合“站点本来就开着 CDN 或反代”“80 端口被占用”“多站点共用一张证书”这类场景。唯一的问题是你得能自动操作 DNS 解析记录。这时候就需要一个能跟阿里云 DNS API 对接的客户端。Certbot 在 Windows 上跑不是不行但对阿里云 DNS 的支持插件配置起来麻烦而且它跟宝塔 Windows 版的集成度并不好。win-acme 是 Windows 生态里公认做得比较顺的 ACME 客户端原生支持 DNS-01 验证可以对接阿里云 DNS还自带证书安装、计划任务、IIS 集成等一堆实用功能。2.2 win-acme 到底做了哪些事win-acme 是一个开源的 ACME v2 客户端专门为 Windows 环境设计支持从 Let‘s Encrypt、ZeroSSL、Buypass 等 CA 申请和续期证书。它最核心的能力是自动完成“验证域名 - 申请证书 - 安装证书到指定位置 - 重载 Web 服务”这一整条链路。它跟宝塔配合的关键点在于宝塔 Windows 版虽然内置了 Let’s Encrypt 申请功能但它是走 HTTP 验证的而且没有内置自动续期的可靠机制至少我用的版本是这样后来新版有没有改进我没细测。就算你手动申请成功到期前它也不会主动帮你换。win-acme 则是一个独立的计划任务可以精确控制续期时间、证书保存路径和部署动作比依赖宝塔自身的逻辑可控得多。2.3 这套方案的适用边界先打个预防钟这套方案不是万能的。如果你用的是纯 Linux 宝塔那直接装个 acme.sh 脚本配合阿里云 DNS API可能比 win-acme 更顺。但 Windows 宝塔用户的处境比较尴尬——很多 Linux 上的工具链在 Windows 上水土不服要么缺依赖要么跑不起来。win-acme 是 .NET 程序Windows 原生跑命令行交互也友好是这个环境下最稳妥的选项。另外如果你的域名不在阿里云你也可以用类似的逻辑对接其他 DNS 服务商win-acme 支持很多插件。我这篇主要讲阿里云 DNS因为这是国内用户最常见的解析服务商之一而且 API 文档清晰、权限模型也比较好控制。注意这套方案要求你必须能拿到阿里云域名解析的 API 密钥而且建议用一个最小权限的 RAM 子账号而不是直接用主账号 AccessKey避免泄露后被人删解析、改解析。3. 环境准备Windows 宝塔、win-acme、阿里云 DNS 的全套前置条件3.1 服务器与软件版本我实操的环境是这样Windows Server 2019Windows Server 2016 也可以核心步骤一致宝塔 Windows 版当前稳定版即可我用的是 7.x 的某个版本win-acme 最新稳定版我这边用的是 2.2.x阿里云云解析 DNS域名已托管到阿里云网站运行在宝塔自带的 Nginx 上PHP 版本无所谓跟证书续期无关先说一个容易踩的坑宝塔 Windows 版安装 Nginx 后默认站点配置文件路径在C:\BtSoft\nginx\conf\vhost或者C:\BtSoft\nginx\conf\vhosts下具体看你装的版本。我们的核心目标是让 win-acme 把新证书写到宝塔 Nginx 能读取的位置然后重载 Nginx 让新证书生效。所以你在动手之前最好先搞清楚自己服务器的站点配置文件在哪、证书目录在哪、Nginx 二进制在哪。3.2 安装 win-acme 并初始化win-acme 不需要安装下载解压就能用。官网 GitHub Releases 页面能找到最新版本下载 zip 包后解压到一个固定目录比如C:\win-acme。解压后你会看到一堆 dll 和 exe其中核心可执行程序是wacs.exe。第一次运行建议直接在命令行里敲cd C:\win-acme wacs.exe第一次跑会走一遍交互式配置向导它会问你要不要升级到新版本、选择 ACME 服务器默认 Let‘s Encrypt、注册邮箱等等。如果你不想要交互式流程也可以直接用命令行参数非交互式执行后续我会给完整参数。实操心得win-acme 第一次交互式配置时它会生成一个默认的settings.json配置文件。这个文件很重要后面很多默认行为都从这里读取。建议把交互式配置先跑完一遍确认基本流程没问题再改成计划任务自动跑这样排错成本低很多。3.3 获取阿里云 DNS API 密钥登录阿里云控制台进入 RAM 访问控制创建一个子用户勾选“编程访问”然后给这个子用户授权。权限方面最小化原则只需要“AliyunDNSFullAccess”或者更细粒度的“云解析 DNS 的解析记录管理权限”就行。创建完成后会得到 AccessKey ID 和 AccessKey Secret这两串东西请你存好后续 win-acme 配置要用到。注意AccessKey Secret 只在创建时显示一次忘了就得重置。而且千万不要把这个密钥写进公网可见的代码仓库、博客、群聊里建议直接环境变量或者加密存储。我自己是把它写进 win-acme 的配置里但顺手把配置文件用 Windows 的权限管理限制成只有管理员可读。3.4 确认宝塔 Nginx 的证书加载方式在宝塔面板里进入“网站 - 你的站点 - SSL”可以看到当前证书的私钥和证书内容。宝塔会把证书文件放在某个固定目录下通常是C:\BtSoft\nginx\conf\ssl\你的域名之类的路径。这里我需要特别提醒一点宝塔的面板界面和底层配置之间是有“同步”关系的。如果你手动往 SSL 目录里扔证书文件但没通过宝塔接口更新面板上显示的证书信息不会自动变。win-acme 的续期流程有一个“部署到宝塔”的思路就是直接覆盖宝塔的证书文件然后重载 Nginx。这样面板上到时间去刷新看到的也是新证书但如果你去点“部署”按钮宝塔可能会用自己数据库里的旧信息覆盖回去。所以实际生产中我建议在 win-acme 部署动作里除了更新证书文件还要顺手更新宝塔的 SSL 配置数据这一点我后面细说。4. 核心细节解析win-acme 的配置逻辑与阿里云 DNS 插件4.1 理解 win-acme 的“验证器”和“安装器”win-acme 的逻辑可以拆成三步验证Validation、申请Renewal/Creation、安装Installation。验证阶段它通过你选的验证器去证明域名归你所有申请阶段它跟 CA 交互拿到证书文件安装阶段它把证书放到你指定的位置并执行后续动作比如重载 Web 服务。阿里云 DNS 对应的验证器官方插件叫Aliyun或者叫做AlibabaCloudDNS不同版本的 win-acme 插件名称略有差异要注意看你下载的版本里插件列表。你可以在 win-acme 的交互式界面里选择“DNS 验证”然后选择阿里云插件输入 AccessKey ID 和 Secret它就能自动添加/删除 TXT 记录。安装器这边win-acme 把证书写到指定目录后可以通过命令行执行重载动作。对于宝塔 Nginx 环境重载方式很简单宝塔面板里其实就有“重载配置”按钮但既然都要自动化了直接用命令行执行 Nginx 重载更靠谱。宝塔 Windows 版自带 Nginx它的 binary 路径一般在C:\BtSoft\nginx\nginx.exe支持-s reload参数。C:\BtSoft\nginx\nginx.exe -s reload如果你担心进程名称或路径不一致可以先在命令行里跑一下能正常重载就行。重载成功后新证书立刻生效不需要重启服务器。4.2 用推荐参数跑通非交互式续期win-acme 支持完全非交互式运行方式这是做成计划任务的前提。我的最终命令行大致长这样wacs.exe --renew --force --installation silent --validator aliyun --aliyun-access-key-id 你的AK --aliyun-access-key-secret 你的SK --certificatestore C:\BtSoft\nginx\conf\ssl\yourdomain --extra subjectyourdomain.com不过实际命令要稍微修正下win-acme 的安装器一般还要指定证书文件怎么输出。常用的方式是使用--installation fileserver指定证书保存目录和私钥保存目录同时指定输出格式为 PEM这样宝塔 Nginx 可以直接读取。另外win-acme 的--renew参数会自动遍历它自己记录过的证书只对需要续期的证书执行操作。你第一次需要先手动添加证书目标后续续期基本上一个定时任务就能搞定。实操心得不要在第一次跑非交互式命令时就把整个流程全部自动化。我建议先交互式跑通一遍确认申请证书成功、部署路径正确、Nginx 能正常重载之后再把这些参数固化到计划任务里。否则你面对的问题就是“一步错、步步错”排查起来反而更慢。4.3 证书文件格式和宝塔的兼容性宝塔 Nginx 用的是 PEM 格式证书文件证书链和私钥分别是两个文件。win-acme 默认输出的证书格式是 PFX/PEM 混合但如果你用--pem相关参数可以让它输出更适合 Nginx 的 PEM 文件。关键点证书文件一般叫cert.pem或fullchain.pem私钥文件叫key.pem或privkey.pem。宝塔默认加载的是fullchain.pem和privkey.pem但也有版本是yourdomain.pem、yourdomain.key。你最好先打开宝塔 SSL 设置页看一眼当前路径然后让 win-acme 的输出文件名跟宝塔读的完全一致直接覆盖即可。5. 实操过程与核心环节实现5.1 第一步创建阿里云 RAM 子账号并授权进入 RAM 控制台创建用户名字随意比如acme-dns勾选“OpenAPI 调用访问”。创建好后在用户列表里进入“权限管理”添加权限策略搜索“AliyunDNSFullAccess”授权即可。这里插一句为什么不建议直接给主账号的 AccessKey因为主账号的 AccessKey 权限太大了一旦泄露攻击者可以操作你账号下所有资源不只是解析记录。子账号加最小权限的话就算泄露也就是被拿去加几条解析发现后删掉重置密钥就行损失完全可控。5.2 第二步win-acme 交互式添加证书目标先跑一遍wacs.exe交互式流程选择 N 创建新证书New Certificate。输入域名支持通配符比如*.yourdomain.com。选择验证方式选“DNS 验证 (DNS-01)”再选阿里云插件。输入 AccessKey ID / Secret。选择安装方式选“文件系统”或“自定义命令”。指定证书输出目录例如C:\BtSoft\nginx\conf\ssl\yourdomain。选择证书格式尽量选 PEM。确认完成。完成之后win-acme 会在它的配置目录里记录这个证书的“注册信息”包括域名、验证方式、安装方式、文件路径等。后面跑--renew的时候它就会基于这些记录自动续期。如果你有多个域名可以一次性都加进来win-acme 支持一张证书包含多个域名也可以每站点一张证书。我这边实践下来建议每个站点单独一张证书别搞“一张证书挂所有域名”不然续期的时候一次把所有站点都“绑在一起”任何一步出错会影响所有站点排查和回滚都不方便。5.3 第三步验证申请流程跑通交互式创建完成后win-acme 会立刻执行一次申请。这跟续期逻辑不同第一次是干跑它需要真去阿里云 DNS 添加 TXT 记录、等生效、然后申请证书。运维过的人应该知道DNS 验证有一个“生效时间”问题。阿里云 DNS 解析记录添加后通常几十秒到几分钟内能生效但不同地区、不同递归 DNS 的缓存时间不一样。win-acme 默认会等待一段时间再验证。如果验证失败它会报错告诉你 TXT 记录没有查到。我这边第一次跑 AWS 的时候犯了个低级错误域名是www.example.com但我在阿里云 DNS 里手动加 TXT 记录时加错了位置。win-acme 自动加记录是没问题的但那次我是想测试插件到底有没有用对账号结果发现插件自动加的记录名和手动理解的记录名不一样。这里提醒一下DNS-01 验证时 TXT 记录的 name 一般是_acme-challenge.yourdomain.com别漏了前缀。5.4 第四步把续期动作固化到 Windows 计划任务这是整个方案里最关键的一步。win-acme 本身不会自己“到点干活”它需要你给它一个触发机制。Windows 计划任务是最常规的方式。在“任务计划程序”中创建新任务触发器设为每天凌晨固定时间比如 3 点操作设为运行wacs.exe参数为--renew --installation silent --force注意--force不是必要的。win-acme 会自动判断证书剩余有效期如果剩余时间大于阈值它不会重复申请。我建议保留默认行为不要强制续期除非你想手动测试。加--force只是我调试时用的。运行计划任务的账号建议用SYSTEM或者一个有本地管理员权限的账号。同时勾选“不管用户是否登录都要运行”这样可以保证你人不在服务器前它也能跑。5.5 第五步确认续期后 Nginx 重载win-acme 执行完成续期后默认会把证书文件写到目标目录。但如果你用的是“文件系统安装器”它不会主动去重载 Nginx。所以我们要在 win-acme 的安装环节里配置“后置命令”也就是安装证书完成后执行 Nginx reload。在 win-acme 交互式配置里选择“自定义安装命令”填入C:\BtSoft\nginx\nginx.exe -s reload如果 Nginx 路径里有空格记得加引号。如果你是 IIS 环境可以直接用 win-acme 自带的 IIS 安装器它会自动替换绑定证书不用自己写重载命令。实操心得一定要在“安装后重载”这步亲自测试一遍。我之前以为-s reload只是重新读配置不会影响现有连接所以一直没当回事。后来有一次证书文件被写了一半时触发了重载其实是 win-acme 写文件顺序的问题Nginx 直接启动失败客户端访问全部 502。排查半天才发现是证书不完整。所以后来我把证书写文件和重载拆开先让 win-acme 把新证书写到临时目录再用自定义脚本把证书和私钥复制到宝塔目录、确认文件都存在且非空最后才执行 reload。虽然多了一步但安全系数高很多。6. 常见问题与排查技巧实录6.1 win-acme 提示“DNS TXT 记录未生效”这个报错很常见。原因无外乎几种阿里云 DNS 解析记录还没同步到公共 DNS。TXT 记录名前缀写错比如_acme-challenge没加。AccessKey 权限不够导致 win-acme 添加记录失败但没明显报错。域名有多级比如sub.yourdomain.com要在正确的解析层级上加记录。排查思路先用nslookup -typeTXT _acme-challenge.yourdomain.com 8.8.8.8或dig命令查一下公共 DNS 是否已经看到记录。如果公共 DNS 能看到但 win-acme 还报失败那就是它内部的验证服务网络问题多试几次。如果公共 DNS 看不到优先检查阿里云控制台的解析记录是否真的加上了、记录名是否正确、解析线路是否设置成“默认”。6.2 证书文件更新了但浏览器还是旧证书这种情况一般不是 win-acme 的问题而是证书文件路径搞错了。win-acme 把新证书写到了 A 目录宝塔 Nginx 却读的是 B 目录。你可以在命令行里用curl -v https://你的域名查看实际的证书指纹跟 win-acme 日志里显示的指纹比对。如果指纹不一样就是路径问题。另外还有一种情况Nginx 是master process读证书但 worker 进程缓存了旧证书。执行-s reload是会让 worker 重新读证书的但如果 reload 没成功就还是旧证书。这时候记得检查 Nginx 的错误日志看 reload 是不是报错了。6.3 宝塔面板显示证书过期但实际证书有效说白了这就是面板缓存跟实际文件不同步。win-acme 更新了证书文件但宝塔面板的数据库里存的是旧证书信息。你可以在宝塔 SSL 页面手动重新部署一次或者走宝塔的 API 把新证书内容写进去。不过更省事的办法是在 win-acme 的自定义安装命令里再加一个 Python 或 PowerShell 脚本用来调用宝塔面板的 API 更新证书数据这样面板显示和实际文件就一致了。我自己用的脚本逻辑很简单解析 win-acme 生成的 cert.pem 和 key.pem请求宝塔的ssl/SetSSL接口把证书内容和私钥填进去。这个操作比较繁琐但一劳永逸。如果你不想写脚本那就每天打开宝塔面板看一次发现面板显示过期但浏览器正常就别慌。6.4 计划任务跑了但没生成新证书先看 win-acme 日志。win-acme 会在程序目录下生成日志文件路径一般在C:\win-acme\logs日志里会写清楚为什么没申请比如“证书剩余有效期大于阈值跳过”。这不是报错是正常的幂等行为。如果你的目的是“强制续期测试”那在命令行里加--force参数即可。但生产环境不要一直加--force否则每个计划任务周期都会重新申请证书白白浪费 Let‘s Encrypt 的申请频率限制。6.5 阿里云 AccessKey 泄露了怎么办万一 Key 泄露第一时间去 RAM 控制台禁用或删除该 AccessKey然后创建新 Key替换 win-acme 配置和环境变量里的旧 Key。整个替换过程不需要重新申请证书因为证书已经签发了验证只发生在申请阶段。你只需要让后续的续期流程能用新 Key 完成 DNS 验证即可。7. 从“能跑”到“稳定跑”的几点经验补充7.1 证书监控要双保险自动续期不等于不用监控。我还是建议在计划任务里加一个“健康检查”动作比如续期完成后脚本去解析你的域名检查证书剩余天数。如果低于 30 天说明续期失败了发个邮件或者推送通知到钉钉/企业微信。我这边实现方式很简单用 PowerShell 写一个脚本调用certutil或者 .NET 的X509Certificate2读取线上证书的过期时间然后通过 webhook 发告警。脚本挂在计划任务的“完成后操作”里不管成功失败都会触发一次检查。7.2 备份和回滚自动化做得越好越要留一条“回滚”的路。我建议每次续期前把上一版证书备份到一个带日期的目录保留最近 5 份就够C:\cert-backup\2025-01-01\ C:\cert-backup\2025-04-01\ ...win-acme 本身不提供这个能力但你可以把它写进自定义安装命令脚本在复制新证书进去之前先把旧证书压缩或复制到备份目录。万一新证书有问题几秒内就能切回去。7.3 频率和时机的选择Let‘s Encrypt 证书有效期是 90 天一般建议在剩余 30 天左右去续期。win-acme 默认的续期策略是“剩余天数小于 30 天就去续”这个设置比较合理。如果你设成“剩余 60 天就续”理论上也行但会导致频繁跟 CA 通信。而如果你是在国内网络环境 Let’s Encrypt 的 ACME 服务偶发不稳定所以计划任务每天跑一次也没关系因为不是每天都真去申请只有当剩余天数低于阈值时才会触发真实申请。我个人的“标准答案”是计划任务每天凌晨 3 点跑一次阈值用默认证书自动写入宝塔目录然后 Nginx reload。三个月里真正触发申请的其实只有一次到两次其余时间都是“检查一下还不够时间续跳过”。这样既保证了及时续期又不会对 CA 服务造成压力。8. 最后分享一个我后来加上的“小优化”如果你有多台服务器或者同一个域名在多个环境里都要用证书那你可能会想能不能申请完证书之后直接推送到好几台机器win-acme 本身不做这个事但你可以用“部署脚本”实现。我后来的做法是win-acme 完成续期后额外触发一个 PowerShell 脚本把证书文件通过内网共享或 FTP 推到另一台服务器上再远程执行一次 Nginx reload。这样就不用在每台机器上都跑一套 ACME 客户端。不过要注意如果你的域名解析是走多区域的每台机器拉的证书必须跟域名匹配别搞混了。还有一个容易被忽略的细节win-acme 默认生成的证书是 RSA 还是 ECDSA取决于你的配置。宝塔 Nginx 对这两种证书都支持但 ECDSA 证书在某些老旧的 Windows 客户端兼容性上不如 RSA。如果你想兼容性最大化就选 RSA如果你更看重性能就选 ECDSA。我主要是 To C 业务兼容性优先所以一直用 RSA。再补一个 Windows 环境特有的坑win-acme 跑计划任务时如果任务设置里“使用最高权限运行”没勾可能没权限写证书目录或者调用 Nginx reload。我在第一次配计划任务时就踩过这个坑最后把任务改为“使用最高权限运行”且在“系统账户”下跑才彻底解决。整套方案跑起来之后我已经连续三个续期周期没有手动碰过证书了。到期前一周它会自动续好Nginx 自动重载用户感知不到任何变化。唯一需要你操心的就是偶尔看一眼监控告警确认一切正常。我在这个过程中最大的体会是自动化不是把“手动点按钮”换成“定时跑脚本”就完事了而是要把“出错了怎么发现、怎么快速恢复”也一起设计进去。证书续期这件事看起来就是个简单的小工具但真正把它做稳定需要你把验证、申请、部署、重载、告警、回滚这一串动作全部打通。希望这篇记录能帮你少走点弯路。
