30个站点，手动一个一个点SSL申请、等验证、部署，搞完抬头一看天都黑了。关键三个月后证书过期，又得来一遍。这事不能靠人工扛，得让它自动跑。

① 进入宝塔面板 → 网站列表页
② 勾选左侧复选框，选中所有需要部署SSL的站点
③ 顶部操作栏点击 SSL → Let's Encrypt
④ 验证方式选"自动验证"（默认），点击申请
⑤ 面板自动逐个验证域名、签发证书、部署到站点

• 所有域名已正确解析到当前服务器IP（ping 域名 看返回的IP对不对）
• 80端口已放行（宝塔面板 → 安全 → 放行80端口；云服务器安全组也要放行）
• 站点根目录存在且有写入权限（Let's Encrypt需要在 .well-known/acme-challenge/ 目录下写验证文件）

curl https://get.acme.sh | sh -s email=your@email.com

# 创建 /root/domains.txt，每行一个域名

cat > /root/domains.txt << EOF

example1.com

example2.com

www.example3.com

shop.example4.com

EOF

#!/bin/bash

# 域名列表文件

DOMAIN_FILE="/root/domains.txt"

# 日志文件

LOG_FILE="/var/log/batch_ssl.log"

# 记录开始时间

echo "========== $(date) 开始批量处理 ==========" >> $LOG_FILE

while IFS= read -r domain; do

if [ -z "$domain" ]; then

continue

fi

echo "[$(date '+%H:%M:%S')] 处理: $domain" | tee -a $LOG_FILE

# 用acme.sh签发证书（文件验证方式）

~/.acme.sh/acme.sh --issue -d "$domain" \

-w "/www/wwwroot/$domain" --force 2>&1 | tee -a $LOG_FILE

if [ ${PIPESTATUS[0]} -eq 0 ]; then

echo " ✓ 签发成功: $domain" | tee -a $LOG_FILE

# 部署到宝塔证书目录

CERT_DIR="/www/server/panel/vhost/cert/$domain"

mkdir -p "$CERT_DIR"

~/.acme.sh/acme.sh --install-cert -d "$domain" \

--key-file "$CERT_DIR/privkey.pem" \

--fullchain-file "$CERT_DIR/fullchain.pem" 2>&1 | tee -a $LOG_FILE

echo " ✓ 证书已部署到 $CERT_DIR" | tee -a $LOG_FILE

else

echo " ✗ 签发失败: $domain" | tee -a $LOG_FILE

fi

done < "$DOMAIN_FILE"

# 重载Web服务

/etc/init.d/nginx reload

echo "========== $(date) 全部完成 ==========" >> $LOG_FILE

/www/server/panel/pyenv/bin/python3 -u /www/server/panel/class/acme_v2.py --renew_v2=1

功能覆盖：

• 批量建站（导入域名列表，自动创建站点）
• 批量申请SSL证书（一次性处理数百个域名）
• 一键部署HTTPS强制跳转
• 批量续签证书
• 文件批处理（批量解压、复制、移动）

① 宝塔面板 → 面板设置 → API接口 → 开启API → 获取App Key
② 把运行工具电脑的公网IP加到白名单
③ 打开BaoTaApi.exe，填入面板地址+App Key → 连接
④ 导入域名列表 → 选择批量申请SSL → 勾选"强制HTTPS" → 执行

核心能力：

• 全自动申请证书（支持阿里云、腾讯云、华为云域名）
• 全自动部署证书到多台服务器（宝塔面板、Nginx、CDN等）
• 支持通配符/泛域名证书
• 证书到期前自动续签+自动部署，无需人工干预
• 可视化流水线，拖拽式配置

docker run -d \

--name certd \

-p 7001:7001 \

-v /opt/certd/data:/app/data \

registry.cn-beijing.aliyuncs.com/certd/certd:latest

HTTP文件验证对泛域名无效。Let's Encrypt的ACME协议强制要求：通配符域名只能走DNS-01挑战（即添加TXT记录验证），不能走HTTP-01。很多人卡在这一步，就是因为没切换验证模式。

① 网站 → 对应域名 → 设置 → SSL → Let's Encrypt
② 点击右上角"设置"，勾选"使用DNS API验证"（这一步最容易漏！）
③ 选择你的DNS服务商，填入API密钥
④ 域名框填写：*.example.com,example.com（英文逗号分隔，无空格）
⑤ 点击申请

server {

listen 80;

server_name example.com www.example.com;

# ⚠️ 这一段必须有！

location /.well-known/acme-challenge/ {

root /www/wwwroot/你的站点根目录;

try_files $uri =404;

}

# 其他请求跳转HTTPS

location / {

return 301 https://$host$request_uri;

}

}

① 主服务器：SSL → 证书管理 → 上传云端
② 宝塔官网后台：SSL管理 → 创建同步任务 → 生成同步密钥
③ 目标服务器：SSL → 自动部署 → 创建 → 填入密钥 → 选择站点
④ 官网后台：确认接入 → 证书自动同步到所有目标服务器