Let's encrypt 签发和更新证书都必须要把域名的 A 记录解析到主机， CDN 隐藏 IP 后，如何方便操作？

[hzqim]

如果暂停隐藏，更新后再恢复隐藏，不但麻烦，还降低了安全性。

[seerhut]

我用的 manual 模式，向 letsencrypt 提交 csr 后， le 会要求你在指定路径放一个指定文件，他通过域名去获取，对于你来说只要在源站放上这个文件，然后推给 cdn 确保各地都能取到就行了吧

[ak47iej]

acme.sh 有 DNS 认证模式的，支持挺多 DNS 供应商的，它直接在 DNS 加 txt 记录做认证，不用改 A 记录

[hzqim]

@seerhut 谢谢解答。
已经通过 standalone 或者 webroot 模式签发的证书，能通过 manual 模式来更新吗？
还是要删除现在的证书，重新通过 manual 模式生成新证书？

[srlp]

@hzqim 都可以，实际上更新证书就是换证书

[dongoo]

并不用一定要 A 解析，只要确保生成的文件被 cdn 拉去，且能通过域名访问到就通过验证了。

[RqPS6rhmP3Nyn3Tm]

用 dns 方式，简单很多

[hzqim]

@ak47iej 谢谢解答，另， certbox 能否适用这种方法？

[geeklian]

话说，既然用了 cdn ，为啥还要服务器更新证书。

cdn 和服务器间的通信不是都无视证书有效性的么

[msg7086]

为什么必须要解析 A 记录？不是啥都不用做直接在目录下生成 challenge 以后过认证就好了吗？

[ryd994]

只要 CDN 通 HTTP 就能用
我 HTTP ，除了 acme 目录，其他跳 https
除了第一次 Nginx 没证书会报错需要先把 https 服务注释掉以外，今后续签都是自动的啊
嗯专门写了段通用配置直接 include

[neilp]

如果用的 web 方式验证, 只要确保 服务器的文件能被 cdn 拉取就好了, 跟你是不是暴露真实 ip 没有关系.

当然如果能用 dns api 验证也是极好的.