[TOC]

# 兩種 https 的作法

SSL憑證（Secure Sockets Layer certificate），現在更常被稱為TLS（Transport Layer Security）憑證，是用來確保網絡通信安全的一種數字憑證。當你訪問一個使用SSL/TLS憑證的網站時，它可以保證你與該網站之間的數據傳輸是加密的，從而保護你的數據免受中間人攻擊。

關於SSL憑證的認證方式，你提到的“走DNS還是走website”可能指的是SSL憑證的驗證方法，特別是在使用Let's Encrypt這類免費SSL/TLS憑證發行機構時常見的兩種驗證方法：DNS驗證和HTTP驗證。

1. **DNS驗證**（DNS-01 Challenge）：

- 在這種驗證方法中，憑證申請者需要在其域名的DNS記錄中添加一個特定的TXT記錄。這個TXT記錄會被憑證授權機構（CA）查詢來驗證域名的所有權。這種方法的好處是可以用於獲取針對根域名（例如example.com）以及任何子域名（例如sub.example.com）的憑證，且不需要對網站進行任何修改。
2. **HTTP驗證**（HTTP-01 Challenge）：

- 在HTTP驗證中，憑證申請者需要在其網站的特定路徑下放置一個由憑證授權機構提供的特定文件。然後，憑證授權機構會通過訪問這個文件來驗證域名的所有權。這種方法要求申請者有權控制網站的服務器，並能夠在指定位置放置文件。

選擇哪一種驗證方法取決於你的具體需求和偏好。例如，如果你無法直接控制網站服務器（如使用某些托管平台時），DNS驗證可能是更好的選擇。相反，如果你想要快速且簡單地為網站啟用HTTPS，且能夠輕鬆訪問和修改網站的文件，那麼HTTP驗證可能更適合你。

無論選擇哪種方法，重要的是確保你的網站使用SSL/TLS憑證來保護用戶數據和提高網站的可信度。

## DNS-01 Challenge
DNS-01 Challenge 是一種用於自動化獲取和驗證SSL/TLS憑證的方法，特別是在使用ACME（Automatic Certificate Management Environment）協議的憑證授權機構（如Let's Encrypt）時。這種方法通過要求域名所有者在其域名的DNS記錄中添加一個特定的TXT記錄來證明對該域名的控制權。這個過程允許憑證授權機構自動驗證申請者的域名所有權，而無需直接訪問網站內容。

### DNS-01 Challenge的工作流程如下：

1. **申請憑證**：當你使用支持ACME協議的客戶端（例如Certbot）申請SSL/TLS憑證時，你可以選擇DNS-01 Challenge作為域名所有權驗證的方法。

2. **生成驗證記錄值**：ACME客戶端或憑證授權機構會生成一個特定的記錄值（通常是一串隨機生成的數字和字母），你需要將這個值作為TXT記錄添加到你的域名DNS配置中。

3. **更新DNS記錄**：你需要在你的域名的DNS設置中添加一個TXT記錄。這個TXT記錄的名稱通常是`_acme-challenge.yourdomain.com`，其中`yourdomain.com`是你的實際域名，記錄值是步驟2中生成的值。

4. **憑證授權機構驗證**：添加TXT記錄後，你需要通知ACME客戶端繼續進行驗證過程。然後，憑證授權機構會查詢DNS記錄，以確認TXT記錄中的值是否與它們提供的值匹配。

5. **簽發憑證**：一旦憑證授權機構確認TXT記錄中的值與期望值匹配，這表明你已成功證明了對域名的控制權，憑證授權機構隨後會為你的域名簽發SSL/TLS憑證。

### DNS-01 Challenge的優點：

- **靈活性**：適用於任何類型的服務，包括但不限於HTTP網站，因為它不需要對網站進行任何實際訪問。
- **安全性**：由於不需要將驗證文件放置在網站上，這種方法被認為在某些情況下更安全。
- **針對性**：特別適合需要為多個子域名獲取憑證的情況，或者在網站托管環境中無法輕易修改網站文件的情況。

### 注意事項：

- DNS記錄的傳播可能需要一些時間，從幾分鐘到幾小時不等，這取決於你的DNS提供商和當前的DNS設置。
- 管理DNS記錄需要對域名的DNS設置有足夠的訪問權限。

DNS-01 Challenge提供了一種高效且靈活的方式來證明域名所有權，特別適合於自動化憑證的獲取和續訂過程，對於那些尋求安全和便捷的SSL/TLS憑證管理方式的用戶來說，這是一個很好的選擇。

## HTTP-01 Challenge
HTTP-01 Challenge 是 Let's Encrypt 和其他一些憑證授權機構用來驗證域名所有權的一種方法，屬於自動化獲取和更新SSL/TLS憑證的過程中的一部分。這種方法要求域名的所有者能夠在其網站上的特定URL下提供一個特定的文件，以證明他們對該網站的控制權。以下是HTTP-01 Challenge的基本步驟：

### 1\. 申請憑證

當你使用支持ACME（Automatic Certificate Management Environment）協議的客戶端（如Certbot）申請SSL/TLS憑證時，你可以選擇使用HTTP-01 Challenge作為驗證方法。

### 2\. 客戶端生成驗證文件

ACME客戶端會生成一個你需要在你的網站上特定路徑下提供的特定文件。這個文件包含了一串特定的字符，這串字符由憑證授權機構提供，用於證明域名的所有權。

### 3\. 放置驗證文件

你需要將這個文件放置在你的網站上，具體路徑通常是`/.well-known/acme-challenge/`。例如，如果你的域名是`example.com`，那麼憑證授權機構將會嘗試從`http://example.com/.well-known/acme-challenge/<TOKEN>`訪問這個文件，其中`<TOKEN>`是一個特定的字符串。

### 4\. 憑證授權機構驗證

一旦文件放置完成，憑證授權機構會自動嘗試訪問上述URL。如果能夠成功訪問並驗證文件中的內容，這表明申請憑證的人確實控制了該域名。

### 5\. 簽發憑證

一旦域名所有權得到驗證，憑證授權機構就會為該域名簽發SSL/TLS憑證。隨後，你可以將這個憑證安裝到你的網站服務器上，以啟用HTTPS。

#### 注意事項

- 確保你的網站服務器允許外部訪問`/.well-known/acme-challenge/`路徑。
- 如果你的網站運行在一個共享主機或是使用了某些類型的網站建設器，你可能需要查看你的服務提供商是否支持Let's Encrypt或HTTP-01 Challenge。
- 使用HTTP-01 Challenge方法時，確保80端口對外開放，因為憑證授權機構會通過HTTP（而非HTTPS）來訪問驗證文件。

HTTP-01 Challenge提供了一種相對簡單且自動化的方式來驗證域名所有權，使得網站管理者能夠輕鬆地獲取和續訂SSL/TLS憑證。

### Question:

所以如果我 `http://example.com/.well-known/acme-challenge/<TOKEN>` 有這文件的話，我就可以開啟 https://example.com 對嗎?

### Answer:

是的，但有一些步驟和細節需要進一步說明。當你成功在你的網站上按照指定路徑（`http://example.com/.well-known/acme-challenge/<TOKEN>`）放置了ACME Challenge文件並且這個文件能夠被憑證授權機構（CA）成功訪問和驗證後，這表明你已經證明了對該域名的控制權。接下來的步驟是憑證授權機構會為你的域名簽發SSL/TLS憑證。

獲得SSL/TLS憑證後，你需要在你的網站服務器上安裝和配置這個憑證。這個過程通常包括以下幾個步驟：

1. **安裝憑證**：將從憑證授權機構獲得的SSL/TLS憑證文件安裝到你的服務器上。這通常包括一個你的域名憑證（例如example.com.crt），以及一個或多個中繼憑證（intermediate certificates）。

2. **配置服務器**：根據你的服務器軟件（例如Apache、Nginx、IIS等），你需要修改配置文件，指定憑證文件的位置，並啟用HTTPS。這可能還包括配置服務器以使用特定的加密套件和其他安全設置。

3. **重啟服務器**：修改配置後，你需要重啟你的網站服務器，使更改生效。

4. **測試HTTPS連接**：安裝和配置完成後，你應該使用瀏覽器和/或專業的SSL檢查工具來測試你的網站的HTTPS連接，確保一切正常運作。

完成這些步驥後，你的網站將能夠通過HTTPS（`https://example.com`）安全地提供服務。這不僅加密了用戶與網站之間的通信，保護數據免受竊聽和篡改，還有助於提高你網站的信譽和搜索引擎排名。

記住，SSL/TLS憑證有一定的有效期，通常是1年。使用Let's Encrypt等服務時，你可以設置自動續訂，以確保你的網站安全連接不會因憑證過期而中斷。