Let's Encrypt,启用 HTTPS

let's encrypt banner

如今的网站,HTTPS也已经逐渐成为了标配了。Let's Encrypt 作为个人用户最好的免费证书的选择,也关注了一段时间了,这次就抽空将网站强制到HTTPS。这里主要记录一下过程和遇到的问题。

Let's Encrypt作为新的证书颁发机构,免费,自动,开放,这三点对于个人用户来说尤为重要。免费自不用说,自动更是免去了很多过程和麻烦。官网目前推荐的获取和安装方式是certbot,只需要简单运行一些命令并作一些配置即可。我的环境是nginx以及ubuntu 14.04。

下载certbot-auto并设置为可执行

wget https://dl.eff.org/certbot-auto  
chmod a+x certbot-auto  

这里我遇到了python安装卡住不动的问题,等了很长的时间,貌似一直到超时为止。原因似乎是某些文件下载失败。这也是国内服务器的可悲之处。我使用的是阿里云主机,参考 no response "Installing Python packages" ,最终是通过修改pip.conf解决:

[global]
index-url = http://mirrors.aliyun.com/pypi/simple/

[install]
trusted-host=mirrors.aliyun.com  

在安装python时依旧卡了小会,但最终成功,提示信息:Installation succeeded.

之后运行certbot-auto

$ ./certbot-auto

出现交互界面,填写邮箱,域名,并验证域名所有权。这里需要填写包含子域名,比如swordair.com, www.swordair.com,空格分隔。为了验证域名,其会在网站根目录生成一个文件并访问。由于我的主要博客内容由ghost驱动,用nginx做反向代理,所以事先需要做好配置不然会验证失败。报错信息类似:

Failed authorization procedure. swordair.com (http-01): urn:acme:error:unauthorized :: The client lacks sufficient authorization :: Invalid response from http://swordair.com/.well-known/acme-challenge/...:  

如果验证通过则会显示恭喜的信息:

Congratulations! Your certificate and chain have been saved at  
   /etc/letsencrypt/live/swordair.com/fullchain.pem. Your cert will
   expire on 2016-10-05. To obtain a new or tweaked version of this
   certificate in the future, simply run certbot-auto again. To
   non-interactively renew *all* of your certificates, run
   "certbot-auto renew"

信息提示成功,并说明有效期为3个月,之后需要手动续约或者配置自动脚本或任务来自动续约。

最后将配置添加到nginx的配置文件中:

ssl_certificate /etc/letsencrypt/live/swordair.com/fullchain.pem;  
ssl_certificate_key /etc/letsencrypt/live/swordair.com/privkey.pem;  

HTTPS使用的是端口是443而非80,由于我强制使用HTTPS,所以还需要对80端口的HTTP做跳转。并且我prefer的是无www的域名,所以还不能忘了对HTTPS额外做无www的跳转。做完这些后验证一下跳转和证书状态,在手机上也试了下,证书的兼容性还是非常不错的。

对于站点来说,转向HTTPS如果内容都能HTTPS自然最好,不过可能总难免出现偶然的混合。这点Ghost的支持还算是不错,只需要修改主配置文件config.js即可(其他配置参考How to setup SSL for self-hosted Ghost),需要注意到只是连接的外部资源文件。比如我在about页面引用了一张boinc分布式计算排名图,好在其同时支持HTTP和HTTPS。最后,不能忘了要用disqus的迁移工具将所有HTTP的url映射到HTTPS,不然评论就全丢了~

很多大型网站目前都是HTTP和HTTPS并存的形式,而对于个人博客而言,保留一种足矣。


评论加载中...

Disqus提供评论支持,如果评论长时间未加载,请飞跃长城。