三亩地 三亩地SAN MU DI · CODE DIARY
交流投稿
ARTICLE DETAIL

日记详情

真实记录编程学习的某一天，欢迎挑你感兴趣的翻一翻。

首页/学习日记/日记详情

IIS站点HTTPS自动化部署指南：使用Certify The Web免费获取与管理SSL证书

发布时间：2026/8/8 7:17:06 三亩地 编程学习日记
IIS站点HTTPS自动化部署指南：使用Certify The Web免费获取与管理SSL证书

1. 为什么我们需要为IIS站点配置HTTPS证书？

如果你在Windows Server上跑着IIS，不管是内部系统还是对外服务，现在不给网站上个HTTPS，感觉都有点说不过去了。这倒不是为了赶时髦，而是实打实的安全和体验需求。HTTP协议下，数据在网络上裸奔，账号密码、会话信息、表单数据，对中间人来说一览无余。HTTPS通过SSL/TLS协议加密了这层通信，相当于给你的数据装上了防弹玻璃。

除了安全，HTTPS现在还是很多现代Web API和浏览器功能的“入场券”。比如，Service Worker、地理位置API、甚至是一些前端缓存策略，都要求站点运行在安全上下文中。更别提搜索引擎优化了，Google等主流搜索引擎明确表示，HTTPS是排名的一个正面因素。对于企业内部系统，虽然不对外，但使用HTTPS也能有效防止内网嗅探，提升整体安全基线。

那么，给IIS配置HTTPS，核心就是一张受信任的SSL证书。证书从哪里来？传统路径是向证书颁发机构购买，流程涉及生成证书签名请求、验证域名所有权、支付费用、然后下载安装。对于个人开发者、测试环境或者预算有限的小型项目，这笔开销和流程的复杂度是个门槛。这时，免费的自动化证书管理方案就成了“救命稻草”，而Certify The Web正是为Windows和IIS量身打造的一款神器。

2. Certify The Web：你的自动化证书管家

在深入操作之前，我们得先搞清楚Certify The Web（后面简称Certify）到底是什么，以及它凭什么能成为“最简单方法”的核心。

Certify本质上是一个运行在Windows上的应用程序和服务。它的核心使命是自动化整个SSL证书的生命周期管理，特别专注于与Let‘s Encrypt这类免费证书颁发机构的集成。Let‘s Encrypt提供了免费的DV（域名验证）证书，有效期90天，其理念是推动全网HTTPS化。Certify的作用，就是帮你自动完成向Let‘s Encrypt申请证书、验证域名所有权、获取证书、并安装配置到IIS的整个流程，更重要的是，它会在证书到期前自动续期，让你一劳永逸。

为什么说它适合IIS和Windows环境？

  1. 原生集成：它直接与IIS管理器交互，能读取你的站点绑定信息，自动为选中的站点创建HTTPS绑定并安装证书，无需手动操作IIS控制台或敲命令。
  2. 验证方式灵活：支持HTTP-01、DNS-01等多种ACME协议验证方式。对于有公网IP、80/443端口可访问的服务器，HTTP-01是最简单的；对于某些特殊网络环境或需要泛域名证书时，DNS-01方式通过配置DNS解析记录来完成验证，Certify支持与众多DNS服务商API集成。
  3. 集中管理面板：提供了一个图形化界面，所有证书的申请状态、到期时间、关联站点一目了然，管理和排查问题非常直观。
  4. 后台服务：安装后会注册一个Windows服务，定期检查证书有效期并自动续期，确保服务不间断。

与手动操作或使用其他跨平台工具相比，Certify降低了在Windows生态下的使用门槛，将一系列命令行操作封装成了点击和配置，这才是“最简单”的底气所在。

3. 手把手部署：从零开始配置Certify与获取首张证书

理论清楚了，我们进入实战环节。假设你有一台Windows Server（或Windows 10/11专业版/企业版），上面已经安装了IIS并配置好了一个HTTP站点。

3.1 环境准备与Certify安装

首先，确保你的服务器满足基本条件：

  • 操作系统：Windows Server 2008 R2及以上，或Windows 8/10/11。
  • IIS：已安装，且至少有一个网站运行在HTTP（80端口）上。
  • 网络：服务器拥有公网IP，并且80端口（用于HTTP-01验证）和/或443端口可以从互联网访问。这是Let‘s Encrypt验证你拥有该域名控制权的前提。如果你是在内网测试，需要确保这些端口能通过防火墙并映射到公网。
  • 域名：你拥有一个有效的域名（例如yourdomain.com），并且该域名的A记录已经指向了你服务器的公网IP。

安装Certify：

  1. 访问Certify The Web的官方网站或其在GitHub的发布页面，下载最新的安装程序（通常是.msi文件）。
  2. 以管理员身份运行安装程序。安装过程很简单，基本上一直点击“Next”即可。它会自动安装所需的.NET运行环境（如果尚未安装）并注册后台服务。
  3. 安装完成后，你可以在开始菜单找到“Certify The Web”应用程序，同样以管理员身份运行它。

3.2 首次运行与基础配置

首次启动Certify，它会引导你进行一些初始设置。

  1. 注册账户：在“Settings”或“Account”标签页，你需要添加一个ACME账户。这里其实就是关联到Let‘s Encrypt。通常点击“Add ACME Account”或类似按钮，它会自动使用默认的Let‘s Encrypt生产环境API端点。你需要提供一个邮箱地址，这个邮箱用于接收证书到期提醒（虽然Certify会自动续期）和与CA的重要通信。

    注意：Let‘s Encrypt有“生产环境”和“测试环境”之分。测试环境（Staging）有更高的申请频率限制，用于调试你的配置，但其颁发的证书不被浏览器信任。初次配置强烈建议先用测试环境跑通流程，确认无误后再切换到生产环境。

  2. 配置联系人邮箱：在账户设置中填入你的邮箱。这步很重要。

3.3. 为IIS站点申请并安装证书

这是最核心的一步，Certify的自动化优势在这里体现得淋漓尽致。

  1. 进入“Certificates”标签页：点击“New Certificate”或“Request Certificate”。
  2. 选择目标网站：Certify会自动扫描你本地IIS中的网站，并以下拉列表形式呈现。选择你想要为其启用HTTPS的那个网站。
  3. 域名设置：通常，Certify会根据你选中的网站的主机名（绑定）自动填充“Primary Domain”。例如，你的站点绑定是yourdomain.com，这里就会自动填好。你还可以在“Subject Alternative Names (SANs)”中添加额外的域名或子域名，比如www.yourdomain.com、api.yourdomain.com，这样一张证书可以保护多个域名。
  4. 选择验证方式：
    • HTTP-01（推荐用于有公网80端口的服务器）：这是最常用的方式。Certify会指示Let‘s Encrypt的验证服务器访问你网站上一个特定的临时文件（例如http://yourdomain.com/.well-known/acme-challenge/某个令牌）。Certify会自动在IIS的网站根目录下创建这个路径和文件。你几乎不需要做任何事，只需确保你的网站80端口对外可访问。
    • DNS-01（用于无公网80端口或需要泛域名*.yourdomain.com证书）：选择此方式，你需要提前在Certify的“Settings”中配置你的DNS服务商API密钥（如阿里云、Cloudflare等）。申请时，Certify会生成一个特定的TXT记录值，你需要（或Certify通过API自动）将其添加到你的域名DNS解析中。验证通过后即可删除。这种方式更灵活，但配置稍复杂。
  5. 执行申请：配置完成后，点击“Request”或“Apply”。Certify会开始执行以下自动化流程：
    • 与Let‘s Encrypt通信，发起证书申请。
    • 根据你选择的验证方式，完成域名所有权验证（自动创建文件或等待DNS记录生效）。
    • 验证通过后，从Let‘s Encrypt获取证书文件（.crt, .key）。
    • 自动将证书导入到Windows的证书存储（个人存储区）。
    • 自动为你选中的IIS网站创建或修改一个HTTPS（端口443）绑定，并关联刚刚导入的证书。
  6. 检查结果：申请过程通常在一两分钟内完成。成功后，你会在Certify的主界面看到新证书，状态为“Valid”，并显示到期日期。同时，打开IIS管理器，找到你的网站，在“绑定”中应该能看到新增了一条类型为https、端口为443的绑定，并且SSL证书已经选好。

至此，你的网站应该已经可以通过https://yourdomain.com访问了，并且浏览器地址栏会显示安全锁标志。

4. 关键配置详解与高级场景处理

一次成功申请只是开始，要让这套体系稳定可靠地运行，还需要理解一些关键配置和应对边界情况。

4.1 证书存储与自动续期机制

Certify默认将证书存储在Windows的“个人”证书存储区（Cert:\LocalMachine\My）。你可以通过运行certlm.msc打开证书管理器查看。自动续期服务会定期（默认每天）检查所有由它管理的证书，当证书剩余有效期小于某个阈值（例如30天）时，它会自动重新执行申请流程，获取新证书并更新IIS绑定。

这个机制的核心可靠性在于Windows服务的稳定性。安装Certify时注册的“Certify Service”必须保持运行状态。你可以在“服务”管理工具中确认其启动类型为“自动”。

4.2 多域名（SAN）与泛域名证书申请

  • SAN证书：在申请时，在“Subject Alternative Names”框中，每行输入一个额外的域名。例如主域是yourdomain.com，你可以添加www.yourdomain.com和app.yourdomain.com。这样，一个证书同时保护三个域名。所有域名都必须通过相同的验证方式（全部用HTTP-01或全部用DNS-01）完成所有权验证。
  • 泛域名证书（*.yourdomain.com）：这非常有用，可以保护所有同级子域名。关键点：Let‘s Encrypt只支持通过DNS-01方式来验证泛域名。这意味着你必须使用DNS-01验证，并且配置好DNS服务商的API。申请时，主域名填写*.yourdomain.com即可。

4.3 内网服务器或端口受限环境的配置

这是最常见的坑点。如果你的服务器位于公司内网，没有独立的公网IP，或者80/443端口被防火墙封锁、被上级路由器占用，那么标准的HTTP-01验证会失败。

解决方案如下：

  1. 端口映射（如果有网络控制权）：这是最理想的方案。在边界路由器或防火墙上，将公网IP的80端口和443端口，通过端口转发（NAT）规则，映射到内网服务器的内网IP和对应端口。这样从互联网看，你的服务器就像拥有公网IP一样。
  2. 使用DNS-01验证（如果拥有域名DNS解析权）：这是解决无公网端口问题的最佳实践。即使服务器完全在内网，只要你能通过API（或手动）修改该域名的DNS TXT记录，就能完成验证。在Certify中配置你的DNS服务商（如阿里云、腾讯云DNSPod、Cloudflare）的API密钥，选择DNS-01方式即可。
  3. 使用验证代理（高级）：如果既无公网端口，又无法使用DNS API（例如域名解析管理非常封闭），可以考虑在另一台有公网IP的服务器上运行一个验证代理，将ACME验证请求反向代理到内网服务器。但这需要额外的配置和运维成本，超出了“最简单方法”的范畴。

4.4 IIS绑定与证书的匹配问题

有时申请成功，但HTTPS访问时浏览器提示证书错误（如证书与域名不匹配）。请按以下步骤排查：

  1. 检查IIS绑定：在IIS管理器中，右键点击网站 -> “编辑绑定”。找到443端口的https绑定，双击查看。“主机名”字段应该为空，或者与你证书的域名完全一致。对于SAN证书，主机名留空通常更通用，IIS会使用请求中的主机头来匹配证书。
  2. 检查证书详情：在Certify界面或通过certlm.msc找到证书，双击查看“详细信息”->“主题”或“使用者可选名称”，确认里面包含了你要访问的域名。
  3. 清除绑定并让Certify重配：在Certify中，可以尝试对证书执行“Reapply Certificate Bindings”操作。这会强制Certify重新配置IIS绑定。

5. 实战中的常见问题与排查心法

即使流程再自动化，在实际部署中依然可能遇到各种“意外”。下面是我在多次部署中总结出的常见问题排查清单。

5.1 申请失败：验证超时或失败

这是最高频的问题，几乎都出在“验证”环节。

  • 症状：Certify日志显示“Challenge failed”或“Validation timeout”。
  • 排查思路：
    1. 确认网络连通性：从你的服务器上，尝试用浏览器或curl命令访问http://你的域名/.well-known/acme-challenge/一个测试文件。如果无法访问，说明80端口不通。
    2. 检查防火墙：确保服务器本身的Windows防火墙以及任何主机安全软件放行了80端口的入站连接。命令netsh advfirewall firewall show rule name=all可以查看规则，或者直接在“高级安全Windows Defender防火墙”中查看入站规则。
    3. 检查IIS配置：确保对应的网站在IIS中确实绑定在80端口，并且运行正常。检查网站根目录的权限，Certify服务账户（默认是NETWORK SERVICE或Local System）需要有在该目录创建文件和文件夹的写入权限。
    4. 对于DNS-01：检查Certify中配置的DNS API密钥是否正确，是否有足够的权限添加/删除TXT记录。申请过程中，去你的域名控制台查看是否真的生成了那条_acme-challenge子域名的TXT记录，并且值是否正确。DNS记录全球同步需要时间（TTL），有时需要等待几分钟。

5.2 证书已安装但网站无法通过HTTPS访问

  • 症状：HTTP访问正常，HTTPS访问连接被拒绝、超时或重置。
  • 排查思路：
    1. 检查443端口监听：在服务器上以管理员身份运行命令提示符，输入netstat -ano | findstr :443。查看是否有进程在监听0.0.0.0:443或你的服务器IP:443。如果没有，说明IIS的HTTPS绑定可能未生效。
    2. 检查端口冲突：是否有其他程序（如Skype、VMware、其他Web服务器）占用了443端口？netstat命令可以显示占用端口的进程ID（PID），再用任务管理器查看对应进程。
    3. 检查防火墙（出站/入站）：确保防火墙允许443端口的入站连接。同时，如果服务器有安全组（如云服务器），必须在安全组规则中放行443端口。
    4. 重启IIS：有时绑定更改需要完全重启IIS才能生效。运行iisreset命令。

5.3 自动续期失败

这是另一个需要警惕的问题，因为证书过期会导致服务中断。

  • 症状：证书临近过期，但Certify没有自动续期，或者续期任务失败。
  • 排查思路：
    1. 检查Certify服务状态：确保“Certify Service”正在运行，并且启动类型为“自动”。
    2. 查看任务计划：Certify也会创建Windows计划任务来执行续期检查。运行taskschd.msc，查看“任务计划程序库”中是否存在Certify相关的任务，并检查其最后一次运行结果。
    3. 检查日志：Certify应用程序界面有详细的日志窗口。查看在计划续期时间点附近的日志，寻找错误信息。常见原因可能是之前成功申请后，服务器网络环境或DNS配置发生了变化，导致验证无法再次通过。
    4. 手动测试续期：在Certify界面，找到即将过期的证书，尝试手动点击“Renew”或“Request Certificate”（选择相同的配置）。手动操作的错误信息通常更直观，可以定位根本原因。

5.4 证书在客户端浏览器显示“不安全”

  • 症状：HTTPS能打开，但浏览器地址栏显示红色警告或“不安全”提示。
  • 排查思路：
    1. 证书链不完整：Let‘s Encrypt的证书需要中间证书才能构成完整的信任链。Certify在安装时通常会自动安装完整的证书链。但如果出现问题，你可以尝试在Certify的证书详情中，点击“View Certificate”并手动导出为包含完整链的.pfx文件，然后在IIS中删除旧绑定，重新导入这个.pfx文件。
    2. 服务器配置不支持SNI：如果同一IP上通过主机头绑定了多个HTTPS网站，需要服务器和客户端都支持SNI。现代操作系统和浏览器基本都支持。但对于非常古老的客户端（如Windows XP上的IE），可能无法正确访问。IIS 8及以上版本支持SNI，在创建HTTPS绑定时可以勾选“需要服务器名称指示”。
    3. 网站内容混合加载：你的网页中可能通过http://协议引用了某些资源（如图片、JS、CSS文件）。浏览器会认为这是“混合内容”并发出警告。需要将网页内所有资源引用都改为https://或使用协议相对URL（//example.com/resource.js）。

6. 超越基础：性能、安全与监控

当你的证书管理进入自动化正轨后，可以考虑一些进阶优化，让整个体系更健壮。

6.1 使用更高效的加密套件

IIS默认的加密套件设置可能不是最优的。你可以通过组策略或修改注册表来优先使用更安全、性能更好的套件（如TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384）。也可以使用微软的IIS Crypto工具，这是一个图形化界面，可以方便地启用/禁用协议版本和加密套件，禁用老旧不安全的SSLv3、TLS 1.0/1.1，强制使用TLS 1.2/1.3。

6.2 配置HTTP严格传输安全

HSTS是一种安全策略机制，告诉浏览器在未来一段时间内只能通过HTTPS访问该站点。这能有效防止SSL剥离攻击。你可以在IIS的HTTP响应头中添加此策略。对于IIS 10及以上版本，可以在web.config中配置：

<system.webServer> <httpProtocol> <customHeaders> <add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains; preload" /> </customHeaders> </httpProtocol> </system.webServer>

注意：includeSubDomains和preload要谨慎使用，一旦提交到HSTS预加载列表，撤销非常麻烦。

6.3 集中监控与告警

虽然Certify有自动续期，但监控不能少。你可以：

  • 查看Certify内置报告：Certify主界面提供了所有证书状态的概览。
  • 利用Windows事件日志：Certify的重要操作（成功、失败）会记录到Windows的“应用程序”事件日志中，来源是“Certify”。你可以配置Windows事件转发或使用监控工具（如Zabbix、PRTG）来收集这些日志并设置告警。
  • 自定义脚本监控：写一个PowerShell脚本，定期检查证书存储中特定颁发者（如“Let‘s Encrypt”）证书的过期时间，如果少于某个阈值就发送邮件或Teams通知。这可以作为Certify服务本身失效的双重保险。

6.4 备份与迁移

证书和私钥是安全资产，建议定期备份。

  1. 备份证书：在Certify界面，可以导出证书为.pfx文件（包含私钥），并妥善保管密码。也可以直接从Windows证书存储导出。
  2. 备份Certify配置：Certify的配置（账户信息、证书请求设置）存储在%ProgramData%\Certify目录下的数据库文件中。迁移服务器时，可以备份整个目录，在新服务器上安装相同版本的Certify后恢复此目录，再重新运行IIS绑定操作。

折腾IIS的HTTPS配置，从手动购买导入到使用Certify实现全自动化，是一个典型的“磨刀不误砍柴工”的过程。初期花点时间理解原理、踩平坑点，后续就是几乎零维护的安心。尤其是在微服务、多子域名成为常态的今天，能够自动管理泛域名证书的价值更加凸显。我自己的经验是，对于任何面向公网或对安全有要求的内部IIS站点，在部署之初就应该把Certify这套流程作为标准操作，它带来的安全提升和运维减负，远超过那一点点初始的学习成本。最后一个小提醒，定期登录Certify界面看一眼那个绿色的“Valid”状态，心里会更踏实。

编程学习 学习日记 实战经验
← 返回列表