WinAcme在IIS应用目录下创建HTTP验证文件的故障排查指南
【免费下载链接】win-acme 
项目地址: https://gitcode.com/gh_mirrors/win/win-acme
问题背景
在使用WinAcme（现更名为SimpleAcme）进行Let's Encrypt证书申请时，当目标网站指向IIS中的应用程序目录（如C:\Program Files\appname），程序可能无法正确创建HTTP-01验证文件（位于.well-known/acme-challenge目录），导致证书申请失败。
现象分析
- 文件创建异常：虽然程序日志显示尝试在正确路径创建验证文件（如C:\Program Files\AppName.well-known\acme-challenge\），但实际访问时返回404错误
- 短暂可见性：用户观察到.well-known目录会短暂出现后又消失
- 手动验证可行：若手动创建验证文件，则可通过浏览器正常访问
根本原因
- 权限问题：即使使用管理员权限运行，IIS应用程序池账户可能没有目标目录的写入权限
- IIS重定向干扰：应用程序可能配置了URL重写规则，干扰了验证请求
- 文件系统监控：某些安全软件可能阻止临时文件的创建
解决方案
方案一：使用自托管验证模式（推荐）
wacs.exe --validation selfhosting
- 优点：无需文件系统写入权限，由WinAcme直接响应验证请求
- 注意：需要临时停止IIS或确保端口80未被占用
方案二：手动验证文件创建
- 使用
--test参数暂停程序进行手动验证 - 通过
--verbose参数获取详细日志 - 预先创建完整路径并设置正确权限：
mkdir "C:\Program Files\AppName\.well-known\acme-challenge" icacls "C:\Program Files\AppName\.well-known" /grant "IIS AppPool\DefaultAppPool":(OI)(CI)F
方案三：升级到SimpleAcme
新版SimpleAcme对IIS集成有更好支持，建议迁移：
- 备份当前配置
- 下载最新SimpleAcme版本
- 使用相同参数重新创建证书
最佳实践建议
- 避免使用Program Files目录：考虑将应用程序部署到非系统目录（如C:\WebSites）
- 权限最小化原则：仅授予应用程序池账户必要权限
- 验证测试：首次配置时务必使用
--test参数进行测试 - 日志分析：结合Windows事件查看器和程序详细日志进行排查
技术原理补充
HTTP-01验证机制要求通过特定URL（http://domain/.well-known/acme-challenge/token）可访问到验证内容。WinAcme提供两种实现方式：
- 文件系统模式：创建物理文件依赖Web服务器访问
- 自托管模式：内置HTTP服务器直接响应请求
在IIS环境下，自托管模式通常更可靠，因为它避免了文件系统权限和IIS配置的复杂性。
【免费下载链接】win-acme 项目地址: https://gitcode.com/gh_mirrors/win/win-acme
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
