zerossl/client

镜像概述

基于Alpine Linux的轻量级ACME协议客户端Docker镜像，用于从Let's Encrypt、Buypass及其他ACME兼容的证书颁发机构（CA）获取和管理SSL证书。当前基础版本为0.39，容器内以非root用户（'ssl'）运行。注意：此仓库已被https://hub.docker.com/repository/docker/doknow/crypt-le%E5%8F%96%E4%BB%A3%E3%80%82

核心功能和特性

• 协议支持：默认使用ACME v2协议，也兼容ACME v1（如需指定API版本可显式设置）
• 证书类型：支持通配符证书颁发及国际化域名（IDN）
• 安全性：以非root用户（'ssl'）运行，降低权限风险
• 加密算法：默认使用RSA加密，可通过--curve选项指定ECC加密（如--curve default使用prime256v1）
• 操作便捷：支持自动生成缺失文件（私钥、CSR等），提供静默运行模式（--quiet）

使用场景和适用范围

适用于需要自动获取、更新SSL/TLS证书的场景，如：

• Web服务器（Nginx、Apache等）的HTTPS配置
• 反向代理、负载均衡器的证书管理
• 需要通配符证书保护多子域名的环境
• 定期自动续期证书的自动化流程（如crontab任务）

使用方法和配置说明

1. 拉取镜像

bash
docker pull zerossl/client

如需获取旧版本，可使用previous标签：docker pull zerossl/client:previous

2. 目录映射准备

需映射两个主机目录至容器：

• 证书文件存储目录（如/home/my_user/keys_and_certs）：用于存放账户密钥、域名密钥、证书等
• ACME验证目录（如/home/my_user/public_html/.well-known/acme-challenge）：Web服务器的验证文件目录，需确保当前用户可写

3. 创建命令别名（推荐）

为简化操作，可创建别名（可添加至.bashrc永久生效）：

bash
alias le.pl='docker run -it -v /home/my_user/keys_and_certs:/data -v /home/my_user/public_html/.well-known/acme-challenge:/webroot -u $(id -u) --rm zerossl/client'

4. 基本使用

• 查看帮助：

  bash
  le.pl          # 基本帮助
  le.pl --help   # 扩展帮助（含示例）
  

• 获取证书（Webroot验证）：

  bash
  le.pl --key account.key --csr domain.csr --csr-key domain.key --crt domain.crt --domains "my.domain1.com,my.domain2.com" --generate-missing --path /webroot --unlink
  

  说明：--generate-missing自动生成缺失的密钥/CSR；--path /webroot指定容器内验证目录（对应主机映射的ACME验证目录）；--unlink验证后删除临时文件

• 多域名不同Webroot： 先通过-v映射多个验证目录，再在--path中按域名顺序指定对应容器内路径（逗号分隔）

5. 通配符证书（DNS验证）

需使用DNS验证方式，域名格式为*.domain.com，并添加--handle-as dns参数：

bash
le.pl --key account.key --csr domain.csr --csr-key domain.key --crt domain.crt --domains "*.domain.com" --generate-missing --handle-as dns

若需同时包含裸域（如domain.com），需在--domains中同时列出：--domains "*.domain.com,domain.com"，此时需创建两个同名TXT记录（值不同）

6. 生成正式证书

默认生成测试证书，需添加--live选项生成受信任的正式证书：

bash
le.pl --key account.key --csr domain.csr --csr-key domain.key --crt domain.crt --domains "my.domain.com" --generate-missing --path /webroot --unlink --live

7. ECC加密

指定曲线名称启用ECC加密：

bash
le.pl --key account.key --csr domain.csr --csr-key domain.key --crt domain.crt --domains "my.domain.com" --generate-missing --path /webroot --unlink --live --curve prime256v1

使用--curve default等效于prime256v1

8. 更新联系信息（证书过期通知）

• 设置联系***：

  bash
  le.pl --key account.key --update-contacts "one@email.address,another@email.address" --live
  

• 移除联系信息：

  bash
  le.pl --key account.key --update-contacts "none" --live
  

9. 静默运行（适合crontab）

使用--quiet选项仅输出错误信息：

bash
le.pl --key account.key --csr domain.csr --csr-key domain.key --crt domain.crt --domains "my.domain.com" --generate-missing --path /webroot --unlink --live --quiet

注意事项

• 避免显式指定--api 2（默认已启用ACME v2），以确保未来兼容性
• 通配符证书仅支持DNS验证方式
• 目录映射需确保主机目录可写，避免权限问题

更多详情请访问https://github.com/do-know/Crypt-LE%E3%80%82%E9%97%AE%E9%A2%98%E5%8F%8D%E9%A6%88%E5%8F%AF%E9%80%9A%E8%BF%87https://github.com/do-know/Crypt-LE%E6%88%96Do-Know.com%E8%81%94%E7%B3%BB%E3%80%82