From d5cc8b3132b9f292102e1b1a756348af9396ece5 Mon Sep 17 00:00:00 2001 From: smail Date: Fri, 2 Oct 2026 14:49:21 +0800 Subject: [PATCH] =?UTF-8?q?=E4=BF=AE=E6=AD=A3=E6=B3=9B=E5=9F=9F=E5=90=8D?= =?UTF-8?q?=E7=AD=BE=E5=8F=91=E5=8F=82=E6=95=B0=E9=81=BF=E5=85=8D=E9=87=8D?= =?UTF-8?q?=E5=A4=8D=E8=AF=B7=E6=B1=82=E5=B7=B2=E8=A6=86=E7=9B=96=E5=AD=90?= =?UTF-8?q?=E5=9F=9F?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- deploy/nginx/acme-renew.env.example | 3 +-- deploy/nginx/smail-certificate-renew.service | 2 +- docs/HTTPS反向代理部署说明.md | 2 +- 3 files changed, 3 insertions(+), 4 deletions(-) diff --git a/deploy/nginx/acme-renew.env.example b/deploy/nginx/acme-renew.env.example index 0828ea0..7dd3bf2 100644 --- a/deploy/nginx/acme-renew.env.example +++ b/deploy/nginx/acme-renew.env.example @@ -1,7 +1,6 @@ # 首次签发及网页、邮件协议证书切换均确认后，再启用续期计时器。 # 正式文件为 /etc/smail/acme-renew.env，root 所有，权限 0600。 -# 使用 DNS 验证签发根域、泛域名及后台域名，不占用验证端口。 +# 使用 DNS 验证签发根域和泛域名，后台域名必须在其覆盖范围内，不占用验证端口。 # 专用服务商和最小权限凭据填写在 acme-dns.env，不能沿用示例或历史数据。 SMAIL_MAIL_DOMAIN= -SMAIL_WEB_DOMAIN= SMAIL_ACME_EMAIL= diff --git a/deploy/nginx/smail-certificate-renew.service b/deploy/nginx/smail-certificate-renew.service index b75e62b..9bc89dc 100644 --- a/deploy/nginx/smail-certificate-renew.service +++ b/deploy/nginx/smail-certificate-renew.service @@ -8,7 +8,7 @@ Type=oneshot EnvironmentFile=/etc/smail/acme-dns.env EnvironmentFile=/etc/smail/acme-renew.env ExecStartPre=/usr/sbin/nginx -t -ExecStart=/usr/local/libexec/smail-acme/lego --path /var/lib/smail-acme-tls --email ${SMAIL_ACME_EMAIL} --accept-tos --key-type ec256 --dns ${SMAIL_ACME_DNS_PROVIDER} --domains ${SMAIL_MAIL_DOMAIN} --domains *.${SMAIL_MAIL_DOMAIN} --domains ${SMAIL_WEB_DOMAIN} --filename smail --http-timeout 20 --cert.timeout 120 renew --days 30 --reuse-key --no-random-sleep +ExecStart=/usr/local/libexec/smail-acme/lego --path /var/lib/smail-acme-tls --email ${SMAIL_ACME_EMAIL} --accept-tos --key-type ec256 --dns ${SMAIL_ACME_DNS_PROVIDER} --domains ${SMAIL_MAIL_DOMAIN} --domains *.${SMAIL_MAIL_DOMAIN} --filename smail --http-timeout 20 --cert.timeout 120 renew --days 30 --reuse-key --no-random-sleep ExecStartPost=/opt/smail/smail-config --root /opt/smail --external-tls-dir /var/lib/smail-acme-tls/certificates --publish-external-tls /etc/nginx/smail/tls.pem ExecStartPost=/usr/sbin/nginx -t ExecStartPost=/usr/bin/systemctl reload nginx.service diff --git a/docs/HTTPS反向代理部署说明.md b/docs/HTTPS反向代理部署说明.md index 5e36f5b..5d869b1 100644 --- a/docs/HTTPS反向代理部署说明.md +++ b/docs/HTTPS反向代理部署说明.md @@ -57,7 +57,7 @@ 1. 安装与项目依赖版本一致的 lego 到 `/usr/local/libexec/smail-acme/lego`，安装最新版 `smail-config` 到 `/opt/smail/smail-config`。 2. 创建权限为 `0700` 的 `/var/lib/smail-acme-tls`，以及权限为 `0600`、root 所有的 `/etc/smail/acme-dns.env` 与 `/etc/smail/acme-renew.env`。按对应示例填写，禁止输出凭据或加入仓库。 -3. 首次使用相同参数执行 lego 的 `run` 完成签发，不能直接用缺少账户和证书状态的 `renew` 初始化。固定使用 `--filename smail`；域名包括邮件根域、该根域的泛域名及后台域名，验证方式为 DNS。 +3. 首次使用相同参数执行 lego 的 `run` 完成签发，不能直接用缺少账户和证书状态的 `renew` 初始化。固定使用 `--filename smail`；申请邮件根域及其泛域名，验证方式为 DNS。本模板要求后台域名被该证书覆盖；不要重复加入已被泛域名覆盖的后台子域，否则签发机构可能拒绝请求。独立的后台域名需要管理员额外加入明确的申请参数。 4. 执行下列发布命令。该命令校验证书有效期、域名、密钥匹配及文件权限，拒绝符号链接、不安全路径和源目录内覆盖；失败时保留原有 Nginx 合并证书。 ```sh