免费 HTTPS 证书-从 StartSSL 到 Let's Encrypt

在国内严峻的流量劫持情况下，为了避免网站、APP 中出现莫名其妙的广告，同时也为了保护用户隐私，从 HTTP 切换到 HTTPS 是很多网站不得不做出的选择。

随着技术的进步，还有一个同样重要的原因，那就是 HTTP/2 也建立在 SSL/TLS 基础之上，想充分利用 HTTP/2 的新特性也要求网站切换到 HTTPS。

从去年开始，我的个人站点就切换到了 HTTPS + HTTP/2 协议，通过 Nginx 实现协议切换是非常容易的事情，仅要求一个合法的证书即可完成配置。当时我选择的证书服务商是 StartCom，可以为有限个域名签发免费的有效期一年的 HTTPS 证书。虽然 HTTPS 增加了计算上的开销，但对于个人网站的流量来说，这点儿开销可以忽略不计了。

原来一直都好好的，前几天访问网站的时候，Chrome 忽然提示网站证书不可信任。想起来在公司听到的 Chrome 撤销对 Symantec 签发证书的信任，感觉不好！上网一搜，果然 Chrome 也撤销了对 StartCom 根证书和签发证书的信任：《Distrusting WoSign and StartCom Certificates》，而且快半年了。只是因为我的 Chrome 一直没升级到 56 版本以上，所以没有觉察到。于是没办法，只能寻找新的证书提供商了。

本来都打算花钱买个证书了，后来发现一个很值得信赖的证书提供商：Let’s Encrypt 。虽然是一个免费的服务，但后面有一堆知名组织和公司的支持：ISRG, Mozilla, Cisco, Chrome, Facebook 等，看起来比以前的一些免费证书服务靠谱多了，非常值得一用。

它家的证书有个局限，就是有效期只有 3 个月，然后就需要续签。这也很容易理解，一般免费都是有其它代价的。但是按照它给的安装步骤走下来，才发现它有着一套非常合理的设计。首先在你的服务器上安装一个软件 certbot，用参数指定你的网站根目录。这个证书机器人就会自动在你根目录下添加一个验证文件。远程证书服务器会访问你的网站，通过访问这个验证文件是否在你给定的域名路径下，自动验证你是否拥有域名的所有权。验证成功以后，证书就会自动签发到你服务器上的配置目录，只需要修改 Nginx 的配置，使用签发下来的证书就好了。

那每 3 个月的续签怎么办？ certbot 本身就支持更新证书的参数，而且可以配置服务器自动重启的 hook，只需要把更新指令添加到服务器的 crontab，每 3 个月或者每 1 个月运行一次即可，完全不需要人工操作。

最后感叹一下，Apple 和 Google 真是互联网安全的业界良心！虽然看似专制霸道，但有多少 APP、网站是因为 Apple 的 App Transport Security 的要求才全站切 HTTPS 的？有多少证书提供商是因为 Chrome 时不时就吊销证书的行为才控制住了干坏事的冲动？真心希望中国的互联网大公司在此类事情上，不仅独善其身，也能兼济天下。