证书与 PKI30 条

certbot 实战：签发与续期

certbot 是常用 ACME 客户端：支持 nginx/apache 插件自动配置，也支持 webroot 与手动模式；续期由定时任务或 systemd timer 触发。

webroot	certbot certonly --webroot -w /var/www/html -d example.com
nginx 插件	certbot --nginx -d example.com（自动改配置并重载）
dry-run	certbot renew --dry-run 验证续期链路
钩子	--deploy-hook 在续期成功后执行重载命令

签发与续期验证

certbot certonly --webroot -w /var/www/html -d example.com
certbot renew --dry-run
systemctl list-timers | grep certbot

certonly 只签发不安装：适合证书要分发到多台后端或负载均衡的场景，避免单机插件改动线上配置。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌