debian怎么申请nginxssl证书

在 Debian 上给 Nginx 申请 SSL 证书，最常用、最简单、免费的方式是使用 Let’s Encrypt + Certbot。下面给你一套完整、可操作的步骤。

一、环境前提

• 系统：Debian 10 / 11 / 12
• 已安装 Nginx
• 域名已解析到服务器 IP（A 记录）
• 服务器 80 / 443 端口可访问

二、安装 Certbot（Let’s Encrypt 官方工具）

1. 更新系统

sudo apt update
sudo apt upgrade -y

2. 安装 Certbot 和 Nginx 插件

sudo apt install certbot python3-certbot-nginx -y

三、申请 SSL 证书（自动配置 Nginx）

方式一（推荐）：自动修改 Nginx 配置

sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com

替换 yourdomain.com 为你自己的域名

申请过程中会：

• 自动验证域名
• 自动修改 Nginx 配置
• 自动开启 HTTPS

方式二：只申请证书，不自动改配置

sudo certbot certonly --nginx -d yourdomain.com

证书路径：

/etc/letsencrypt/live/yourdomain.com/

四、手动配置 Nginx（如果你没用自动模式）

示例 Nginx 配置：

server {
    listen 443 ssl;
    server_name yourdomain.com;

    ssl_certificate     /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

    location / {
        root /var/www/html;
        index index.html;
    }
}

server {
    listen 80;
    server_name yourdomain.com;
    return 301 https://$host$request_uri;
}

重载 Nginx：

sudo nginx -t
sudo systemctl reload nginx

五、自动续期（非常重要）

Let’s Encrypt 证书 90 天 有效，Certbot 已自带续期：

测试续期：

sudo certbot renew --dry-run

系统已自动添加定时任务（无需手动）：

systemctl list-timers | grep certbot

六、常见问题

1. 端口未开放

确保：

sudo ufw allow 80
sudo ufw allow 443

2. 域名未解析

ping yourdomain.com

3. 宝塔 / Docker 用户

• 宝塔：直接在面板申请
• Docker：在宿主机申请，再挂载证书

七、总结

✅ 最简单方案：

apt install certbot python3-certbot-nginx
certbot --nginx -d 域名

如果你愿意，可以告诉我：

• Debian 版本
• 是否用 Docker / 宝塔
• 单域名还是多域名

我可以给你更精准的配置。