本文详细记录了在腾讯云环境下，通过Certbot获取和续期Let’s Encrypt通配符证书的完整流程，包括 DNS API 配置、通配符证书申请、常见错误及解决方案。
1️⃣ 安装 Certbot
在 Ubuntu 系统中，推荐使用官方 PPA：
sudoaptupdatesudoaptinstallcertbot python3-certbot-dns-tencentcloud -ycertbot：核心工具python3-certbot-dns-tencentcloud：用于通过腾讯云 DNS API 获取通配符证书
确认安装成功：
certbot --version2️⃣ 配置腾讯云 DNS API 凭证
在腾讯云控制台创建API 密钥：
- 登录 腾讯云 API 密钥管理
- 记录SecretId和SecretKey
在服务器上创建凭证文件：
mkdir-p /root/.secrets/certbotvim/root/.secrets/certbot/tencentcloud.ini内容示例：
# 腾讯云 API 凭证 dns_tencentcloud_secret_id = YOUR_SECRET_ID dns_tencentcloud_secret_key = YOUR_SECRET_KEY修改权限，防止其他用户读取：
chmod600/root/.secrets/certbot/tencentcloud.ini3️⃣ 申请通配符证书
使用 TencentCloud DNS 插件申请证书：
certbot certonly\--dns-tencentcloud-credentials /root/.secrets/certbot/tencentcloud.ini\--dns-tencentcloud-propagation-seconds60\-d xunhuawenyou.cn\-d"*.xunhuawenyou.cn"操作说明：
certonly：只获取证书，不自动配置 Nginx--dns-tencentcloud-credentials：API 凭证文件路径--dns-tencentcloud-propagation-seconds：DNS 记录生效等待时间-d：指定域名，可包含通配符
⚠️ 常见交互
- 如果已有 RSA 证书，会提示是否升级为 ECDSA：
Update key type/(K)eep existing key type: U选择U。
- 如果已有证书部分域名相同，会提示是否扩展证书：
Do you want to expand and replace this existing certificate? (E)xpand/(C)ancel: E选择E扩展。
4️⃣ 常见问题及解决方案
4.1 DNS API 授权失败
报错示例：
Error communicating with the DNSPOD API: http error status: 401原因：
- API 密钥错误
- 使用了错误的 DNS 产品（腾讯云 DNS vs DNSPod）
解决方法：
- 确认凭证文件内容正确
- 确认域名在腾讯云 DNS 上托管
- 文件权限为 600
4.2 Nginx 配置导致续期失败
报错示例：
nginx: [emerg] open() "/var/log/nginx/xunhuawenyou.cn/access.log" failed (2: No such file or directory)解决方法：
- 确认 Nginx 配置文件正确
- 确保日志路径存在或切换 DNS 验证方式
5️⃣ 检查证书与文件路径
证书生成成功后路径：
证书文件：/etc/letsencrypt/live/xunhuawenyou.cn/fullchain.pem 私钥文件：/etc/letsencrypt/live/xunhuawenyou.cn/privkey.pem 证书有效期：至 2026-04-30注意：使用通配符证书必须 DNS 验证。
6️⃣ 自动续期
Certbot 默认安装后会创建systemd timer自动续期。
检查定时任务：
systemctl list-timers|grepcertbot手动测试续期：
sudocertbot renew --dry-run输出示例：
Simulating renewal of an existing certificate for xunhuawenyou.cn and *.xunhuawenyou.cn Congratulations, all simulated renewals succeeded⚠️ 注意事项：
- 如果不再使用的域名可以删除对应的 renewal 配置：
sudorm/etc/letsencrypt/renewal/huaxianguan.com.conf- 确保 DNS API 密钥有效，续期才会成功
7️⃣ 总结
- 在腾讯云使用 Certbot 获取通配符证书必须使用 DNS API 插件
- 生成证书前需创建凭证文件，并设置 600 权限
- 成功申请后，系统会自动创建定时任务续期
- 定期用
--dry-run检查续期情况 - 不再使用的域名可以删除对应的 renewal 文件，避免续期错误
