为网站与邮件服务使用Let's Encrypt SSL证书的相关疑问

可以复用你现有的domain.com SSL证书，但得满足几个关键前提：

• 证书的SAN（主题备用名称）字段要覆盖邮件服务用的域名：
  • 如果你的邮件服务直接用domain.com作为服务器标识，并且客户端也是通过domain.com连接SMTP、POP3或IMAPS服务，那现有证书直接能用。
  • 要是邮件服务用的是子域名（比如mail.domain.com），那得看现有证书的SAN里有没有这个子域名——如果是通配符证书*.domain.com就没问题，普通单域名证书的话就不行，得给证书加这个子域名扩展。
• 要把证书和密钥安全传到Server2：用加密方式（比如sftp）传输文件，传到Server2后设置严格的文件权限，只让邮件服务进程能读取，避免泄露。
• 证书要支持邮件服务用途：检查证书的扩展密钥用法（EKU），确认包含emailProtection——现在主流SSL证书默认都带这个，一般不用额外担心。

如果以上条件都满足，直接在Server2的邮件服务配置里指定现有证书和密钥文件就行，不用再买新证书。要是不满足，比如缺子域名，可以联系证书提供商给现有证书添加SAN扩展，或者换成通配符证书，这样所有子域名的服务都能复用。

内容的提问来源于stack exchange，提问作者Michael Howell