10分钟解决99%的acme.sh问题：从证书失败到自动续期全方案-优快云博客

10分钟解决99%的acme.sh问题：从证书失败到自动续期全方案

【免费下载链接】acme.sh A pure Unix shell script implementing ACME client protocol 项目地址: https://gitcode.com/GitHub_Trending/ac/acme.sh

你是否遇到过acme.sh证书申请时显示"invalid status"错误？续期时提示"hook执行失败"？本文整理了12类常见故障的排查流程和解决方案，包含3个实战案例和5个关键配置检查点，让普通用户也能快速定位问题。

证书申请失败排查

域名验证超时（Timeout）

当执行acme.sh --issue -d example.com -w /var/www/html时出现超时，需检查：

80/443端口是否被占用：netstat -tulpn | grep ':80'
防火墙规则是否允许ACME服务器访问：ufw allow 80/tcp
Webroot目录权限：确保acme.sh可写入验证文件

DNS验证失败（Invalid TXT Record）

使用DNS模式时提示"txt record not found"：

确认DNS记录已正确添加：dig _acme-challenge.example.com TXT
检查DNS缓存刷新状态：TTL值需≤300秒
多域名证书需为每个子域添加TXT记录

相关源码参考：acme.sh中_dns_verify函数的实现逻辑。

自动续期故障处理

续期钩子执行失败

证书续期成功但服务未加载新证书，检查：

# 查看续期日志
grep 'renew hook' ~/.acme.sh/acme.sh.log

# 验证钩子命令有效性
service nginx configtest  # 替换为实际reloadcmd

确保acme.sh中Le_RenewHook配置正确，示例：

acme.sh --install-cert -d example.com \
--fullchain-file /etc/nginx/cert.pem \
--reloadcmd "service nginx force-reload"

续期时间异常

证书提前/延迟续期，调整检查频率：

# 修改cron任务周期（默认每天检查）
crontab -e
# 添加：0 12 * * * "/home/user/.acme.sh"/acme.sh --cron --home "/home/user/.acme.sh"

环境配置问题

依赖缺失（Command Not Found）

执行时提示curl: command not found：

Debian/Ubuntu: apt install curl openssl
CentOS/RHEL: yum install curl openssl
Alpine: apk add curl openssl

权限错误（Permission Denied）

非root用户执行失败时，使用--home参数指定可写目录：

acme.sh --issue -d example.com --standalone --home /opt/acme

高级故障排查工具

调试模式启用

acme.sh --issue -d example.com --debug 2  # 详细调试输出

日志文件路径：~/.acme.sh/acme.sh.log

证书状态检查

# 查看证书信息
openssl x509 -in ~/.acme.sh/example.com/fullchain.cer -noout -dates

# 验证私钥匹配性
openssl x509 -noout -modulus -in fullchain.cer | openssl md5
openssl rsa -noout -modulus -in example.com.key | openssl md5

典型案例分析

案例1：Nginx配置冲突导致验证失败

症状：--nginx模式提示"invalid response from server" 解决方案：

备份当前配置：cp /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak
临时关闭SSL配置块
验证配置：nginx -t 相关处理逻辑见deploy/nginx.sh

案例2：ECC证书续期失败

症状：--ecc参数续期时提示"key type mismatch" 解决方案：

# 强制重新生成ECC证书
acme.sh --renew -d example.com --force --ecc

确保acme.sh中Le_Certificate_Profile配置正确

预防措施与最佳实践

定期维护命令

# 更新acme.sh
acme.sh --upgrade

# 检查所有证书状态
acme.sh --list

# 手动触发续期检查
acme.sh --cron

10分钟解决99%的acme.sh问题：从证书失败到自动续期全方案