（续）acme.sh 脚本使用新 cloudflare api 令牌申请证书 - 世界你好

> 本文由 [简悦 SimpRead](http://ksria.com/simpread/) 转码， 原文地址 [shiping.date](https://shiping.date/82.html)

前言：之前写过：[使用 acme.sh 脚本申请证书](https://shiping.date/18.html "点击访问")，这种方法使用的是`cloudflare global api`全局令牌，此令牌权限比较大，对于申请 ssl 证书来说有点大材小用，也存在一些不安全性，好在`acme.sh`脚本作者支持了使用局部令牌申请证书。

本文主要以`Debian10`为例，介绍使用新的`cloudflare api`令牌来申请证书，免费域名已不受`cloudflare`此种方式来申请证书，请使用付费域名。

以`root`用户 ssh 登陆到主机，使用下面命令安装配置脚本：

```
# 更新源并安装socat
apt update && apt -y install socat

# 安装脚本
wget -qO- get.acme.sh | bash

# 让脚本在.bashrc文件追加的一行环境变量生效，以后无论在哪里直接使用acme.sh，不用输绝对路径
source ~/.bashrc

# 由于最新acme.sh脚本默认ca变成了zerossl，现执行下面命令修改脚本默认ca为letsencrypt
acme.sh --set-default-ca --server letsencrypt
```

2.1 创建令牌
--------

根据`acme.sh`脚本作者提供的文档：[使用新的 cloudflare api 令牌](https://github.com/acmesh-official/acme.sh/wiki/dnsapi#using-the-new-cloudflare-api-token-you-will-get-this-after-normal-login-and--scroll-down-on-dashboard-and-copy-credentials "点击访问")，需要新创建此令牌方可使用：

![](https://shiping.date/usr/uploads/2022/06/1322266866.png)

![](https://shiping.date/usr/uploads/2022/06/898271926.png)

![](https://shiping.date/usr/uploads/2022/06/2792239848.png)

依照上述图片设置即可，添加`区域-DNS-编辑`和`区域-区域-读取`权限，区域资源里面选择`包括-账户的所有区域-你的账户`。

![](https://shiping.date/usr/uploads/2022/06/858478950.png)

配置好以后，点击`创建令牌`，注意此令牌`token`只会**出现一次，切记保存，切记保存，切记保存！！！**

2.2 获取账户 ID 和区域 ID
------------------

根据`acme.sh`文档，申请证书可能还需要提供两个 ID，其中账户 ID 必须，区域 ID 可有可无，根据下图方法获取此两个 ID：

![](https://shiping.date/usr/uploads/2022/06/1220396612.png)

下拉，找到 API 区域：

![](https://shiping.date/usr/uploads/2022/06/3762325133.png)

至此，即准备好了申请证书需要的材料：

```
# 上面第一步创建的令牌，即为token
CF_Token="xxxxxxx"

# 根据上图分别获取账户ID和区域ID
CF_Account_ID="aaaaaaaa"
CF_Zone_ID="bbbbbbbbb"   //此项非必须
```

3.1 申请证书
--------

假定你的域名是`example.com`，执行下面命令申请证书，非`root`用户也可执行：

```
# 执行此命令设置变量的值，acme.sh脚本执行过程会读取
export CF_Token="xxxxxxx"
export CF_Account_ID="aaaaaaa"
export CF_Zone_ID="bbbbbbbb"   //此项非必须，上面两项需要提供

# 申请证书
acme.sh --issue -d example.com -d *.example.com --dns dns_cf -k ec-256
```

3.2 安装证书到指定位置
-------------

假定 linux 主机里已有`/etc/ssl`目录，现在要把证书和 key 安装到此目录下，那么执行下面的命令即可：

```
acme.sh --installcert -d example.com -d *.example.com --fullchain-file /etc/ssl/web.crt --key-file /etc/ssl/web.key --ecc

# 用--reloadcmd指定安装证书后的命令
acme.sh --installcert -d example.com -d *.example.com --fullchain-file /etc/ssl/web.crt --key-file /etc/ssl/web.key --ecc --reloadcmd "systemctl restart webserver"
```

**说明**：脚本更新完证书后，会自动依据上面指定的绝对路径将证书和 key 安装到指定位置，并根据`--reloadcmd`执行相应的操作。

3.3 证书更新
--------

从`letsencrypt`申请到的证书有效期是 90 天，脚本每 60 天会对证书进行更新，你也可以手动强制更新：

```
# 查询域名申请证书信息
acme.sh --list

# 手动强制更新证书
acme.sh --renew -d example.com -d *.example.com --force --ecc
acme.sh --renew -d example.com -d *.example.com --force //非ECC证书使用此命令
```

参考链接：
-----

*   [acme.sh DNS 文档](https://github.com/acmesh-official/acme.sh/wiki/dnsapi "点击访问")