## v2 vs v1

ACME v2 與 v1 API 有許多不同之處，值得注意的變更：

1. 授權/簽發流程已改變
2. JWS 請求授權以改變
3. JWS 請求體的"resource"欄位被新的 JWS 請求頭“url”替換
4. 目錄端點/資源重新命名

ACMEv 是 ACME 協議的更新版本，考慮到行業專家和其他組織可能希望在某天使用 ACME 協議進行證書頒發和管理，它已經透過 IETF 標準流程。

萬用字元證書 允許使用單個證書來保護域的所有子域。在某些情況下，萬用字元證書可以使證書更容易管理，以幫助使 Web 達到 100％ 的 HTTPS 協議。但是對於大多數用例，Let's Encrypt 仍然推薦使用非萬用字元證書。

萬用字元證書只能透過 ACMEv2 獲得。為了將 ACMEv2 用於萬用字元或非萬用字元證書，你需要一個已更新且支援 ACMEv 的客戶端。Let's Encrypt 希望所有客戶和訂戶轉換為 ACMEv2，儘管 ACMEv1 API 還沒有“報廢”。

另外，萬用字元域必須使用 DNS-01 質詢型別進行驗證。這表明你需要修改 DNS TXT 記錄才能演示對域的控制以獲得萬用字元證書。

更多有關 ACME v2 和萬用字元證書的技術資訊，請參閱此文章：

[letsencrypy.org](https://community.letsencrypt.org/t/acme-v2-production-envrionment-wildcards/55578)

## 萬用字元證書解釋：

域名萬用字元證書類似 DNS 解析的泛域名概念，主域名簽發的萬用字元證書可以在所有子域名中使用。

## 萬用字元證書的優勢：

域名萬用字元證書最大的特點就是申請之後可以部署在子域名使用， 因此對於子域名，沒有必要再次申請新的證書。

而價格方面，萬用字元域名證書通常會比單域名證書高几倍， 不過價格高的主要原因自然是使用的便利性。

新聞一出，馬上就有小夥伴解鎖了 Let's Encrypt 萬用字元 HTTPS 證書的申請方式，並分享了出來：

## 申請 Let's Encrypt 萬用字元 HTTPS 證書

> 連結：https://my.oschina.net/kimver/blog/1634575#comment-list
>
> 作者：飛奔的蘿蔔
>
> 部落格經授權釋出，轉載請註明來源

Let's Encrypt 釋出的 ACME v2 現已正式支援萬用字元證書，接下來將為大家介紹怎樣申請，Let's go.

注：本教程是在centos 7下操作的，其他Linux系統大同小異。

1. 獲取certbot-auto
	1. 下載： `wget https://dl.eff.org/certbot-auto`
	2. 新增執行許可權： chmod +x certbot-auto
2. 開始申請證書

注xxx.com請根據自己的域名自行更改

```
	./certbot-auto --server https://acme-v02.api.letsencrypt.org/directory -d "*.xxx.com" --manual --preferred-challenges dns-01 certonly

```

執行完這一步之後，會下載一些需要的依賴，稍等片刻之後，會提示輸入郵箱，隨便輸入都行

注意，申請萬用字元證書是要經過DNS認證的，按照提示，前往域名後臺新增對應的DNS TXT記錄。新增之後，不要心急著按回車，先執行dig xxxx.xxx.com txt確認解析記錄是否生效，生效之後再回去按回車確認
	
	```
	lenges dns-01 certonly
	WARNING: unable to check for updates.
	Saving debug log to /var/log/letsencrypt/letsencrypt.log
	Plugins selected: Authenticator manual, Installer None
	Enter email address (used for urgent renewal and security notices) (Enter 'c' to
	cancel): zhanglei@tansuotv.com
	
	-------------------------------------------------------------------------------
	Please read the Terms of Service at
	https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf. You must
	agree in order to register with the ACME server at
	https://acme-v02.api.letsencrypt.org/directory
	-------------------------------------------------------------------------------
	(A)gree/(C)ancel: A
	
	-------------------------------------------------------------------------------
	Would you be willing to share your email address with the Electronic Frontier
	Foundation, a founding partner of the Let's Encrypt project and the non-profit
	organization that develops Certbot? We'd like to send you email about EFF and
	our work to encrypt the web, protect its users and defend digital rights.
	-------------------------------------------------------------------------------
	(Y)es/(N)o: Y
	Obtaining a new certificate
	Performing the following challenges:
	dns-01 challenge for tansuotv.cn
	
	-------------------------------------------------------------------------------
	NOTE: The IP of this machine will be publicly logged as having requested this
	certificate. If you're running certbot in manual mode on a machine that is not
	your server, please ensure you're okay with that.
	
	Are you OK with your IP being logged?
	-------------------------------------------------------------------------------
	(Y)es/(N)o: Y
	
	-------------------------------------------------------------------------------
	Please deploy a DNS TXT record under the name
	_acme-challenge.tansuotv.cn with the following value: > DiG 9.8.2rc1-RedHat-9.8.2-0.62.rc1.el6_9.5 <<>> _acme-challenge.tansuotv.cn txt
	;; global options: +cmd
	;; Got answer:
	;; ->>HEADER<

Let's Encrypt 泛域名https

相關文章