上线前
- 域名的 A/AAAA 记录指向正确服务器。
- HTTP 能够访问 ACME challenge 路径。
- Nginx 配置通过
nginx -t。 - 站点根目录不包含
.env、备份文件和调试入口。
sudo nginx -t
curl -I http://example.com/.well-known/acme-challenge/ping证书生效后
HTTPS 站点应使用域名访问，不要只用 IP 检查证书。检查证书的 SAN、有效期和自动续期任务：
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates
sudo certbot renew --dry-run配置原则
将 HTTP 重定向到 HTTPS；静态资源使用 try_files；敏感目录明确拒绝访问；反向代理时补齐 Host、真实 IP 和协议头。