证书续期的几种方式

Let's Encrypt 的证书有效期是 90 天，续期方式主要看 80 端口能不能被外部访问到。

HTTP-01：把校验文件放到 /.well-known/acme-challenge/ 下，CA 从公网访问。最简单，但要求 80 可达。

DNS-01：添加一条 TXT 记录。适合 80 被封、或者服务在内网的情况，缺点是通常要准备 DNS API 凭据。

certbot certonly --webroot -w /var/www/acme -d example.com

续期任务由 systemd timer 负责，装好后可以用 certbot renew --dry-run 验证一遍，别等真过期了才发现失败。