Hooks on 我的文档站

API Hook

Mon, 01 Jan 0001 00:00:00 +0000

原理

Certbot 默认使用 HTTP-01 或 DNS-01 验证来证明你对域名的控制权。

HTTP-01：在服务器上放置一个临时文件，让 Let’s Encrypt 访问验证。

DNS-01：在域名 DNS 上添加 TXT 记录来验证。

当你使用 DNS-01 + API 模式时，Certbot 不需要你手动去 DNS 管理后台添加 TXT 记录，而是直接调用 DNS 服务商的 API 自动完成验证。这通常通过 Certbot 的 DNS 插件（如 certbot-dns-cloudflare、certbot-dns-route53 等）实现。

Deploy Hook

Mon, 01 Jan 0001 00:00:00 +0000

Deploy Hook 是 Certbot 中用于在证书成功签发或续期后自动执行脚本的一种机制。它常用于自动化部署证书，比如重启服务、复制证书、更新配置等。

一、Certbot Hook 简介

在 Certbot 的生命周期中，主要有三种 Hook：

Hook 类型	触发时机
`--pre-hook`	申请/续期前执行
`--post-hook`	申请/续期后执行（无论成功与否）
`--deploy-hook`	仅在证书成功更新后执行

Deploy Hook 是最常用的一种自动化方式，因为它只在证书真正更新时触发，避免不必要操作。

Post Hook

Mon, 01 Jan 0001 00:00:00 +0000

使用场景1 : ha2

假设我有一个程序是ha2,当Certbot自动更新完证书之后:

需要将新证书复制到etc/ha2目录下
在复制证书之前停止ha2,复制完证书之后,重启ha2,实现重新载入新的证书
可以根据自己的实际需求,修改fullchain.pem 和 privkey.pem证书权限.

脚本示例1:

#!/bin/bash

DOMAIN="www.test.net"
SRC="/etc/letsencrypt/live/$DOMAIN"
DST="/etc/ha2"

#停止ha2
systemctl stop ha2-server.service

# 拷贝证书到 ha2 专用路径
cp "$SRC/fullchain.pem" "$DST/fullchain.pem"
cp "$SRC/privkey.pem" "$DST/privkey.pem"

# 设置安全权限
chown ha2:ha2 "$DST/fullchain.pem" "$DST/privkey.pem"
chmod 0644 "$DST/fullchain.pem"
chmod 0640 "$DST/privkey.pem"

#重启ha2
systemctl restart ha2-server.service

修改脚本

将www.test.net修改成你真实需要的域名
将/etc/ha2改成你需要证书存放的目录
将命令grep ha2 /etc/passwd中ha2修改你你实际的应用名称,并在终端中输入,并查看输出结果,例如:

root@test:~# grep ha2 /etc/passwd
ha2:x:999:996::/var/lib/ha2:/bin/sh

提示: 从上面输出我们已经得知,ha2的用户名是ha2,因此根据你自己的实际需求修改chown ha2:ha2 "$DST/fullchain.pem" "$DST/privkey.pem中的ha2:ha2 提示: chown ha2:ha2 "$DST/fullchain.pem" "$DST/privkey.pem中第一个ha2是用户名,可以使用命令getent passwd ha2验证用户是否存在第二个ha2是用户组,可以使用命令id ha2验证ha2用户所属的gid的name,例如: