US.KG 免费域名实战在 Nginx 上启用并验证 HTTPS——从域名解析到 ACME 证书自动续期的完整指南【免费下载链接】US.KGFree domain registration and practical DNS learning resources for everyone.项目地址: https://gitcode.com/GitHub_Trending/us/US.KG本篇指南基于 US.KGDigitalPlat FreeDomain官方教程网站部署章节讲解如何用 ACME 客户端为已解析到 Linux 服务器的免费域名签发证书、配置 HTTP 到 HTTPS 的强制跳转并用命令行逐层验证证书有效期、覆盖域名与自动续期机制。读完后你将能够为形如example.dpdns.org/www.example.dpdns.org的站点独立完成一套可运行、可验证、可持续维护的 HTTPS 部署方案。一、HTTPS 不是域名 端口的自动产物教程开篇给出了一个关键认知HTTPS 会对主机名进行身份认证并对客户端与服务器之间的流量进行加密。一个域名和开放的端口并不会自动产生 HTTPS。在 US.KG 的部署流程中HTTPS 位于整条链路的末端在注册平台领取免费域名如.dpdns.org后缀并记录服务器信息在外部权威 DNS 服务中创建A/AAAA/CNAME记录使域名指向你的服务器见 部署并连接域名准备 Nginx 虚拟主机并确认 TCP 80/443 入站放行见 准备 Linux Web 服务器最后才进入本章签发证书、配置跳转、验证与续期见 启用并验证 HTTPS。跳过任何前置步骤直接申请证书都会导致域名控制验证失败或证书与主机名不匹配。二、申请证书前的检查清单在请求证书之前文档要求逐项确认以下条件域名已解析到目标服务器dig查询的结果与预期服务器一致IPv4 和 IPv6 分别验证验证通道可用80 端口HTTP-01 验证常用的方式或证书工作流所需的其他验证方式可达Web 服务器接受证书上出现的所有主机名server_name中必须同时包含根域名和www子域没有残留的AAAA记录指向不可达的服务器过期的 IPv6 地址记录会让部分客户端验证失败CAA 记录如有允许你所用的证书颁发机构CA。关于 CAA教程的 DNS 记录类型 章节给出了完整定义与示例格式Name: Type: CAA Flag: 0 Tag: issue Value: ca.example TTL: 3600该章节特别警告错误的 CAA 记录会阻止证书签发只有在确认 HTTPS 配置中实际使用的证书机构后才应添加它并可用dig CAA example.dpdns.org验证。如果你的权威 DNS 中已经存在 CAA 记录务必核对issue标签中的 CA 与你要使用的 ACME 客户端背后的 CA 一致否则申请会直接被拒。三、使用 ACME 客户端签发并安装证书术语表 将 ACME 定义为用于自动化证书签发、验证与续期的协议。ACME 的完整能力链条是域名控制验证 → 证书签发 → 安装 → 续期全部自动化。教程的原则性建议是选择与你的操作系统和 Web 服务器兼容、且持续维护的客户端然后严格遵循其官方文档操作。对与 Nginx 集成的客户端典型命令会为两个主机名同时申请证书sudo acme-client --nginx -d example.dpdns.org -d www.example.dpdns.org这里有两点需要注意教程明确标注acme-client只是占位符请替换为你实际安装的客户端的真实命令与经过审阅的选项。不同发行版提供的 ACME 客户端及其参数不同不要照抄命令而不去核实-d参数出现两次分别对应根域名与www子域——这保证了证书同时覆盖两个公开主机名与第四章证书必须对每一个通过 HTTPS 服务的公开主机名有效的验证标准呼应。文档同时给出一条硬性安全红线永远不要把私有证书密钥粘贴到网站、问题报告、聊天窗口或 DNS 记录中。密钥一旦离开服务器即使立即更换 DNS TXT 验证记录泄露的密钥本身也应当视为已暴露需要吊销并重新签发。四、配置 HTTP 到 HTTPS 的强制跳转直接访问 HTTPS 正常之后再让 Web 服务器把 HTTP 请求重定向到规范的 HTTPS 地址。文档给出的 Nginx 示例server { listen 80; listen [::]:80; server_name example.dpdns.org www.example.dpdns.org; return 308 https://example.dpdns.org$request_uri; }这段配置有三个值得展开的细节listen [::]:80同时监听 IPv6与 准备服务器 中虚拟主机模板的双栈监听保持一致return 308使用 308永久重定向保持请求方法与 URI 不变而非 301。对同一 URI308 能保留POST等请求方法不被降级为GET语义上更精确https://example.dpdns.org$request_uri将跳转目标固定为根域名并携带原始请求路径——这就是 部署并连接域名 第 6 步选择规范主机名canonical hostname的落地无论用户访问根域名还是www最终都收敛到同一个规范 HTTPS 地址。修改配置后必须先测试再重载sudo nginx -t sudo systemctl reload nginxnginx -t是配置变更的强制关卡测试未通过前不应执行reload否则可能让正在运行的站点进入异常状态。五、命令行验证证书与重定向验证分两步先验证跳转链路与页面可达性再深入检查证书本体。1. 验证三个入口点curl -I http://example.dpdns.org curl -I https://example.dpdns.org curl -I https://www.example.dpdns.org预期结果第一个命令应返回 308 响应头Location指向规范 HTTPS 地址后两个命令都应返回 200 且内容一致HTTP 重定向恰好一次到预期的 HTTPS 主机名是最终检查项——重定向循环或二次跳转通常是server_name与跳转规则不一致导致的。2. 检查证书的日期与名称openssl s_client -connect example.dpdns.org:443 -servername example.dpdns.org /dev/null 2/dev/null \ | openssl x509 -noout -subject -issuer -dates -ext subjectAltName该命令通过管道组合了两个工具openssl s_client与服务器 443 端口建立 TLS 握手-servername指定 SNI让服务器在虚拟主机间选中正确的证书随后openssl x509 -noout只打印证书字段而不输出 PEM 内容。你需要逐项核对四个输出输出字段检查标准subject证书主体与你的域名相关常见为 CA 标识issuer签发机构是你的 ACME 客户端所用 CAnotBefore/notAfter当前时间在有效期内notAfter通常为签发日起 90 天左右短周期证书正是自动续期存在的理由subjectAltName必须包含每一个通过 HTTPS 公开服务的主机名即DNS:example.dpdns.org与DNS:www.example.dpdns.org两条都要在列subjectAltName是最常见的疏漏点只申请了根域名却在浏览器里访问www就会报证书不匹配。六、测试续期第一张证书成功 ≠ 自动续期成立教程在此处给出一个常被忽视的论断自动续期不能仅凭第一张证书成功就被证明。续期是一条独立于首次签发的通路定时器、HTTP 验证通道、证书写入路径、Web 服务器重载必须在部署当天就主动验证执行客户端文档提供的 dry-run 或 test-renewal 命令模拟一次完整续期而不替换现有证书检查监控四要素续期定时器或计划任务是否存在且最近一次状态正常如 systemd timer 或 cron 条目的最新运行状态当前证书的过期时间续期日志中有没有失败记录近期是否发生过可能破坏验证流程的端口或 DNS 变更比如防火墙收紧 80 端口、A记录换 IP 后残留旧地址。US.KG 教程的 结业项目安全与运维章节 对同一要求做了呼应运行所安装 ACME 客户端文档记载的 dry-run 或 test-renewal 命令确认计划定时器或任务并检查其最近状态。七、安全响应头先稳后加应用稳定之后教程建议在 Nginx 中添加保守、低副作用的响应头add_header X-Content-Type-Options nosniff always; add_header Referrer-Policy strict-origin-when-cross-origin always;X-Content-Type-Options: nosniff禁止浏览器对Content-Type进行猜测式嗅探Referrer-Policy: strict-origin-when-cross-origin在跨站请求时只传递源协议 主机名同站请求保留完整 URL是兼顾隐私与可用性的默认策略。always参数确保这些头对 404、500 等非 2xx 响应同样生效。教程同时警告两条重型策略需要站点级规划内容安全策略CSP与 HTTP 严格传输安全HSTS。理由是照抄一份别人的 CSP 可能拦截你自己站点加载的资源脚本、样式、字体、第三方组件HSTS 一旦下发浏览器会在有效期内拒绝非 HTTPS 访问——如果此时你的 HTTPS 部署存在错误证书即将过期、DNS 抖动用户端将很难快速回退到 HTTP 排错。因此建议先在灰度环境或短有效期下测试这两项策略确认不破坏资源加载后再长期强制启用。八、排障当 HTTPS 失败时的诊断路径教程附录的 排障决策树 提供了HTTPS Fails的完整判定顺序与本节的验证手段一一对应Does HTTP reach the intended server? |-- No - Fix DNS, routing, firewall, or web server first. -- Yes | Is port 443 listening? |-- No - Configure the HTTPS virtual host. -- Yes | Does the certificate cover the requested hostname? |-- No - Issue or select the correct certificate. -- Yes | Is the certificate current and chain trusted? |-- No - Repair renewal or chain configuration. -- Yes - Check redirect loops, application errors, and mixed content.按该路径翻译成本章工具判定节点对应命令HTTP 是否到达目标服务器curl -I http://example.dpdns.org443 是否在监听sudo ss -lntp证书是否覆盖请求的主机名openssl s_client ... \| openssl x509 -noout -ext subjectAltName证书是否有效、链是否可信openssl x509 -noout -dates与续期日志以上都正常仍失败检查重定向循环、应用错误与浏览器控制台的混合内容mixed content另一个高频场景www通但根域名不通在该附录中有独立决策树排查顺序是根域名在外部 DNS 中是否有预期的A/AAAA记录 → 虚拟主机是否接受根主机名 → 证书是否覆盖根主机名 → 规范跳转配置。这四问正好覆盖了本章检查清单的前三项。九、网站最终验收清单完成全部配置后教程给出七项最终验收标准逐项通过才算 HTTPS 部署闭环DNS 应答对 IPv4 与 IPv6 均正确HTTP 重定向恰好一次到预期的 HTTPS 主机名HTTPS 返回预期页面证书覆盖所有主机名并能够自动续期dry-run 已验证;浏览器控制台没有混合 HTTP 内容页面中引用http://资源的脚本、图片或样式会触发告警服务器日志中无反复出现的应用错误网站存在外部备份备份副本存放在服务器之外的位置。全部通过后即可继续 动态应用与反向代理 一章——在那一章中TLS 终止、代理头信任与 502 诊断会建立在本章的 HTTPS 基础之上。十、参考文件启用并验证 HTTPS本文主体章节准备 Linux Web 服务器部署并连接域名DNS 记录类型CAA 记录定义排障决策树HTTPS Fails / www Works but Root Fails结业项目安全与运维续期测试要求术语表ACME / HTTPS / CAA 定义【免费下载链接】US.KGFree domain registration and practical DNS learning resources for everyone.项目地址: https://gitcode.com/GitHub_Trending/us/US.KG创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 US.KG 免费域名实战：在 Nginx 上启用并验证 HTTPS——从域名解析到 ACME 证书自动续期的完整指南
US.KG 免费域名实战在 Nginx 上启用并验证 HTTPS——从域名解析到 ACME 证书自动续期的完整指南【免费下载链接】US.KGFree domain registration and practical DNS learning resources for everyone.项目地址: https://gitcode.com/GitHub_Trending/us/US.KG本篇指南基于 US.KGDigitalPlat FreeDomain官方教程网站部署章节讲解如何用 ACME 客户端为已解析到 Linux 服务器的免费域名签发证书、配置 HTTP 到 HTTPS 的强制跳转并用命令行逐层验证证书有效期、覆盖域名与自动续期机制。读完后你将能够为形如example.dpdns.org/www.example.dpdns.org的站点独立完成一套可运行、可验证、可持续维护的 HTTPS 部署方案。一、HTTPS 不是域名 端口的自动产物教程开篇给出了一个关键认知HTTPS 会对主机名进行身份认证并对客户端与服务器之间的流量进行加密。一个域名和开放的端口并不会自动产生 HTTPS。在 US.KG 的部署流程中HTTPS 位于整条链路的末端在注册平台领取免费域名如.dpdns.org后缀并记录服务器信息在外部权威 DNS 服务中创建A/AAAA/CNAME记录使域名指向你的服务器见 部署并连接域名准备 Nginx 虚拟主机并确认 TCP 80/443 入站放行见 准备 Linux Web 服务器最后才进入本章签发证书、配置跳转、验证与续期见 启用并验证 HTTPS。跳过任何前置步骤直接申请证书都会导致域名控制验证失败或证书与主机名不匹配。二、申请证书前的检查清单在请求证书之前文档要求逐项确认以下条件域名已解析到目标服务器dig查询的结果与预期服务器一致IPv4 和 IPv6 分别验证验证通道可用80 端口HTTP-01 验证常用的方式或证书工作流所需的其他验证方式可达Web 服务器接受证书上出现的所有主机名server_name中必须同时包含根域名和www子域没有残留的AAAA记录指向不可达的服务器过期的 IPv6 地址记录会让部分客户端验证失败CAA 记录如有允许你所用的证书颁发机构CA。关于 CAA教程的 DNS 记录类型 章节给出了完整定义与示例格式Name: Type: CAA Flag: 0 Tag: issue Value: ca.example TTL: 3600该章节特别警告错误的 CAA 记录会阻止证书签发只有在确认 HTTPS 配置中实际使用的证书机构后才应添加它并可用dig CAA example.dpdns.org验证。如果你的权威 DNS 中已经存在 CAA 记录务必核对issue标签中的 CA 与你要使用的 ACME 客户端背后的 CA 一致否则申请会直接被拒。三、使用 ACME 客户端签发并安装证书术语表 将 ACME 定义为用于自动化证书签发、验证与续期的协议。ACME 的完整能力链条是域名控制验证 → 证书签发 → 安装 → 续期全部自动化。教程的原则性建议是选择与你的操作系统和 Web 服务器兼容、且持续维护的客户端然后严格遵循其官方文档操作。对与 Nginx 集成的客户端典型命令会为两个主机名同时申请证书sudo acme-client --nginx -d example.dpdns.org -d www.example.dpdns.org这里有两点需要注意教程明确标注acme-client只是占位符请替换为你实际安装的客户端的真实命令与经过审阅的选项。不同发行版提供的 ACME 客户端及其参数不同不要照抄命令而不去核实-d参数出现两次分别对应根域名与www子域——这保证了证书同时覆盖两个公开主机名与第四章证书必须对每一个通过 HTTPS 服务的公开主机名有效的验证标准呼应。文档同时给出一条硬性安全红线永远不要把私有证书密钥粘贴到网站、问题报告、聊天窗口或 DNS 记录中。密钥一旦离开服务器即使立即更换 DNS TXT 验证记录泄露的密钥本身也应当视为已暴露需要吊销并重新签发。四、配置 HTTP 到 HTTPS 的强制跳转直接访问 HTTPS 正常之后再让 Web 服务器把 HTTP 请求重定向到规范的 HTTPS 地址。文档给出的 Nginx 示例server { listen 80; listen [::]:80; server_name example.dpdns.org www.example.dpdns.org; return 308 https://example.dpdns.org$request_uri; }这段配置有三个值得展开的细节listen [::]:80同时监听 IPv6与 准备服务器 中虚拟主机模板的双栈监听保持一致return 308使用 308永久重定向保持请求方法与 URI 不变而非 301。对同一 URI308 能保留POST等请求方法不被降级为GET语义上更精确https://example.dpdns.org$request_uri将跳转目标固定为根域名并携带原始请求路径——这就是 部署并连接域名 第 6 步选择规范主机名canonical hostname的落地无论用户访问根域名还是www最终都收敛到同一个规范 HTTPS 地址。修改配置后必须先测试再重载sudo nginx -t sudo systemctl reload nginxnginx -t是配置变更的强制关卡测试未通过前不应执行reload否则可能让正在运行的站点进入异常状态。五、命令行验证证书与重定向验证分两步先验证跳转链路与页面可达性再深入检查证书本体。1. 验证三个入口点curl -I http://example.dpdns.org curl -I https://example.dpdns.org curl -I https://www.example.dpdns.org预期结果第一个命令应返回 308 响应头Location指向规范 HTTPS 地址后两个命令都应返回 200 且内容一致HTTP 重定向恰好一次到预期的 HTTPS 主机名是最终检查项——重定向循环或二次跳转通常是server_name与跳转规则不一致导致的。2. 检查证书的日期与名称openssl s_client -connect example.dpdns.org:443 -servername example.dpdns.org /dev/null 2/dev/null \ | openssl x509 -noout -subject -issuer -dates -ext subjectAltName该命令通过管道组合了两个工具openssl s_client与服务器 443 端口建立 TLS 握手-servername指定 SNI让服务器在虚拟主机间选中正确的证书随后openssl x509 -noout只打印证书字段而不输出 PEM 内容。你需要逐项核对四个输出输出字段检查标准subject证书主体与你的域名相关常见为 CA 标识issuer签发机构是你的 ACME 客户端所用 CAnotBefore/notAfter当前时间在有效期内notAfter通常为签发日起 90 天左右短周期证书正是自动续期存在的理由subjectAltName必须包含每一个通过 HTTPS 公开服务的主机名即DNS:example.dpdns.org与DNS:www.example.dpdns.org两条都要在列subjectAltName是最常见的疏漏点只申请了根域名却在浏览器里访问www就会报证书不匹配。六、测试续期第一张证书成功 ≠ 自动续期成立教程在此处给出一个常被忽视的论断自动续期不能仅凭第一张证书成功就被证明。续期是一条独立于首次签发的通路定时器、HTTP 验证通道、证书写入路径、Web 服务器重载必须在部署当天就主动验证执行客户端文档提供的 dry-run 或 test-renewal 命令模拟一次完整续期而不替换现有证书检查监控四要素续期定时器或计划任务是否存在且最近一次状态正常如 systemd timer 或 cron 条目的最新运行状态当前证书的过期时间续期日志中有没有失败记录近期是否发生过可能破坏验证流程的端口或 DNS 变更比如防火墙收紧 80 端口、A记录换 IP 后残留旧地址。US.KG 教程的 结业项目安全与运维章节 对同一要求做了呼应运行所安装 ACME 客户端文档记载的 dry-run 或 test-renewal 命令确认计划定时器或任务并检查其最近状态。七、安全响应头先稳后加应用稳定之后教程建议在 Nginx 中添加保守、低副作用的响应头add_header X-Content-Type-Options nosniff always; add_header Referrer-Policy strict-origin-when-cross-origin always;X-Content-Type-Options: nosniff禁止浏览器对Content-Type进行猜测式嗅探Referrer-Policy: strict-origin-when-cross-origin在跨站请求时只传递源协议 主机名同站请求保留完整 URL是兼顾隐私与可用性的默认策略。always参数确保这些头对 404、500 等非 2xx 响应同样生效。教程同时警告两条重型策略需要站点级规划内容安全策略CSP与 HTTP 严格传输安全HSTS。理由是照抄一份别人的 CSP 可能拦截你自己站点加载的资源脚本、样式、字体、第三方组件HSTS 一旦下发浏览器会在有效期内拒绝非 HTTPS 访问——如果此时你的 HTTPS 部署存在错误证书即将过期、DNS 抖动用户端将很难快速回退到 HTTP 排错。因此建议先在灰度环境或短有效期下测试这两项策略确认不破坏资源加载后再长期强制启用。八、排障当 HTTPS 失败时的诊断路径教程附录的 排障决策树 提供了HTTPS Fails的完整判定顺序与本节的验证手段一一对应Does HTTP reach the intended server? |-- No - Fix DNS, routing, firewall, or web server first. -- Yes | Is port 443 listening? |-- No - Configure the HTTPS virtual host. -- Yes | Does the certificate cover the requested hostname? |-- No - Issue or select the correct certificate. -- Yes | Is the certificate current and chain trusted? |-- No - Repair renewal or chain configuration. -- Yes - Check redirect loops, application errors, and mixed content.按该路径翻译成本章工具判定节点对应命令HTTP 是否到达目标服务器curl -I http://example.dpdns.org443 是否在监听sudo ss -lntp证书是否覆盖请求的主机名openssl s_client ... \| openssl x509 -noout -ext subjectAltName证书是否有效、链是否可信openssl x509 -noout -dates与续期日志以上都正常仍失败检查重定向循环、应用错误与浏览器控制台的混合内容mixed content另一个高频场景www通但根域名不通在该附录中有独立决策树排查顺序是根域名在外部 DNS 中是否有预期的A/AAAA记录 → 虚拟主机是否接受根主机名 → 证书是否覆盖根主机名 → 规范跳转配置。这四问正好覆盖了本章检查清单的前三项。九、网站最终验收清单完成全部配置后教程给出七项最终验收标准逐项通过才算 HTTPS 部署闭环DNS 应答对 IPv4 与 IPv6 均正确HTTP 重定向恰好一次到预期的 HTTPS 主机名HTTPS 返回预期页面证书覆盖所有主机名并能够自动续期dry-run 已验证;浏览器控制台没有混合 HTTP 内容页面中引用http://资源的脚本、图片或样式会触发告警服务器日志中无反复出现的应用错误网站存在外部备份备份副本存放在服务器之外的位置。全部通过后即可继续 动态应用与反向代理 一章——在那一章中TLS 终止、代理头信任与 502 诊断会建立在本章的 HTTPS 基础之上。十、参考文件启用并验证 HTTPS本文主体章节准备 Linux Web 服务器部署并连接域名DNS 记录类型CAA 记录定义排障决策树HTTPS Fails / www Works but Root Fails结业项目安全与运维续期测试要求术语表ACME / HTTPS / CAA 定义【免费下载链接】US.KGFree domain registration and practical DNS learning resources for everyone.项目地址: https://gitcode.com/GitHub_Trending/us/US.KG创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考