Let’s Encrypt 是一家新的證書頒發機構（Certificate Authority，簡稱 CA），其提供免費的 TLS/SSL 憑證再配合 Certbot 這個自動化工具，讓一般的網站可以很容易地使用 HTTPS 的安全加密網頁，設定很簡單，憑證的更新也可以自動處理。
(1) 從 Certbot 官方網站下載 certbot-auto 指令稿，並設定其執行權限：
certbot-auto 要放在哪裡都可以，建議一開始就找一個適合的地方放好，例如建立一個 /opt/letsencrypt 目錄，把 certbot-auto 放在這裡：
# mkdir /opt/letsencrypt
# cd /opt/letsencrypt
# wget https://dl.eff.org/certbot-auto
# chmod a+x certbot-auto
(2) 執行 certbot-auto，讓它自動安裝所有相依套件：
# /opt/letsencrypt/certbot-auto(3) 使用 certonly 功能下載憑證：
# /opt/letsencrypt/certbot-auto certonly --webroot -w /var/www/html/ -d adj.idv.tw -d www.adj.idv.tw下載完成後，會出現類似這樣的成功訊息。
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/adj.idv.tw/fullchain.pem. Your cert will
expire on 2018-11-12. To obtain a new version of the certificate in
the future, simply run Certbot again.
- If you like Certbot, please consider supporting our work by:
Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le
這樣就成功取得 Let’s Encrypt 的憑證了，而 nginx 用的憑證就儲存在 /etc/letsencrypt/live/adj.idv.tw/ 目錄之下，其中 fullchain.pem 就是 nginx 需要憑證，而 privkey.pem 則是需要保護好的私鑰，關於憑證檔案的詳細說明，請參考 Certbot 的說明文件。
接下來要設定 nginx 伺服器，使用這個新憑證來提供 HTTPS 的安全加密網頁。
(4)設定 nginx 伺服器使用 SSL 憑證
要讓 nginx 啟用 HTTPS 安全加密網頁，只要加上 SSL 相關的幾行設定即可，其餘的設定保持不變，以下是我個人使用的 nginx 伺服器設定：
引用:
server {
listen 443;
# 同時啟用 IPv6 的 HTTPS 安全加密網頁
listen [::]:443;
server_name adj.idv.tw www.adj.idv.tw;
root /var/www/html/;
index index.php index.html index.htm;
# 啟用 SSL
ssl on;
# 設定 SSL 憑證
ssl_certificate /etc/letsencrypt/live/adj.idv.tw/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/adj.idv.tw/privkey.pem;
# 其他 SSL 選項
ssl_session_timeout 5m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
ssl_prefer_server_ciphers on;
# ...
}
設定好之後，檢查一下設定檔是否正確：
# nginx -t
確認無誤之後，重新載入設定檔：
# service nginx reload
這樣就完成 nginx 伺服器的設定了，接著就可以開啟 HTTPS 加密的網址來測試了，正常來說，使用 Google Chrome 瀏覽器開啟自己主機的 HTTPS 加密網址，應該就會顯示一個綠色的鎖頭，這樣就代表我們安裝的 SSL 憑證是有效的。
(5) 自動更新 SSL 憑證
Let’s Encrypt 的憑證使用期限只有三個月，在憑證到期前的一個月可以使用 certbot-auto 來更新憑證，在實際更新之前我們可以加入 --dry-run 參數，先進行測試：
# /opt/letsencrypt/certbot-auto renew --dry-run若測試沒問題，就可以使用正式指令來更新：
# /opt/letsencrypt/certbot-auto renew --quiet --no-self-upgrade而為了方便起見，可以將這個更新指令寫在 /opt/letsencrypt/renew.sh 指令稿中：
引用:
#!/bin/bash
/opt/letsencrypt/certbot-auto renew --quiet --no-self-upgrade --post-hook "service nginx reload"
這裡我又加上一個 --post-hook 的設定，讓憑證更新完後，可以自動重新載入 nginx 伺服器的設定，讓憑證生效。
接著把這個 /opt/letsencrypt/renew.sh 指令稿寫進 crontab 中：
引用:
# letsencrypt SSL renew
30 6 * * 1 /opt/letsencrypt/renew.sh
官方的建議是這個指令可以一天執行兩次，讓伺服器的憑證隨時保持在最新的狀態，這裡我是設定讓伺服器每週一早上六點半進行憑證的檢查與更新，Certbot 只有在憑證到期前一個月才會進行更新，如果憑證尚未到期，就不會更新。
那如果之後domain 用不到需要刪除呢？可以這樣做...紅字部份改成自己需要的名稱
# /opt/letsencrypt/certbot-auto delete --cert-name adj.com.tw
參考資料：
https://blog.gtwang.org/linux/secure-nginx-with-lets-encrypt-ssl-certificate-on-ubuntu-and-debian/
https://blog.hellojcc.tw/2018/05/02/setup-https-with-letsencrypt-on-nginx/
