CDN是否支持Lets Encrypt：免费SSL证书部署全攻略
最近在CDN圈子裡混了十幾年，見過太多站長為了省錢折騰SSL證書。Let\’s Encrypt這免費玩意兒，簡直是中小網站的救星，但搭配CDN用起來，總有人問：「到底支不支持啊？」今天我就來聊聊這個，順手分享點實戰經驗，免得你踩坑。
CDN服務商對Let\’s Encrypt的態度，其實分兩派。一派是直接內建支援的，像Cloudflare這種大廠，後台點幾下就能自動部署免費證書，連DNS驗證都幫你搞定，省心得很。另一派是半支援的，比如Akamai或AWS CloudFront，你得自己上傳證書文件，有點技術門檻，但絕對可行。還有些老牌CDN像Fastly，以前卡卡的，現在也慢慢跟進，畢竟免費SSL是大勢所趨。
為什麼CDN要支援Let\’s Encrypt？說白了，就是成本和安全平衡。免費證書省下一年幾百美金，對電商或內容站來說，能多投點錢在流量優化上。但別以為免費就萬能，Let\’s Encrypt的90天有效期是個痛點，CDN若沒自動續簽功能，你得手動更新，萬一忘了，網站直接跳紅鎖警告，用戶跑光光。我遇過客戶用阿里雲CDN，證書過期導致流量掉三成，教訓啊。
部署全攻略來了，分三步走。第一，選對CDN服務商：新手推薦Cloudflare，註冊帳號後，在SSL/TLS設定裡啟用「Universal SSL」，系統自動用Let\’s Encrypt發證書，全程不用碰命令行。第二，如果是AWS CloudFront這類的，先去Let\’s Encrypt官網申請證書（用certbot工具生成.pem和.key文件），再到CDN控制台的上傳區塞進去，記得綁定域名和過期提醒。第三，測試環節別偷懶，用SSL Labs掃描HTTPS評分，確保A+等級，萬一有混合內容警告，檢查CDN的快取規則，強制所有資源走HTTPS。
實戰中常見的坑，一個是CDN邊緣節點快取舊證書，導致新部署延遲生效。解法是清空快取或調低TTL值。另一個是跨境CDN像Google Cloud的延遲問題，如果證書驗證伺服器在海外，可能超時失敗，這時改用DNS驗證模式更穩。總之，免費不代表簡單，但掌握這些，中小企業也能玩轉安全加速。
評論: