如何在Windows Server上为多个站点配置启用Let's Encrypt SSL证书

前置准备 #

• 确认所有站点绑定的域名均已正确解析到当前服务器公网IP
• 确认服务器80、443端口的出站、入站规则已放开，无防火墙或运营商拦截
• 提前对IIS配置、站点文件做全量备份，可直接打包C:\inetpub目录，同时通过IIS管理器导出全部站点配置文件

零停机证书申请（以Let's Encrypt免费证书为例） #

推荐使用Windows平台适配IIS的Let's Encrypt客户端操作，无需停止站点即可完成证书签发和绑定：

• 下载对应系统版本的客户端压缩包，解压到本地非中文路径，比如D:\ssl_tools
• 右键以管理员身份运行工具主程序wacs.exe
• 按照命令行提示操作：
  1. 选择M选项，为多个站点批量生成证书
  2. 工具会自动识别IIS内所有站点绑定的域名，勾选需要配置HTTPS的站点即可
  3. 验证方式选择http-01，工具会自动在对应站点根目录创建临时验证文件，不会修改现有站点内容，验证完成后自动删除临时文件
  4. 证书生成后选择自动安装到IIS，工具会自动为每个站点添加443端口绑定，关联对应证书
• 如果使用付费SSL证书，直接在证书提供商后台提交CSR申请，签发后下载PFX格式证书，双击导入到服务器本地计算机的「个人」证书存储，再手动到IIS站点绑定界面添加443端口绑定，选择对应证书即可

后续配置（保障原有HTTP访问无中断） #

• 不要直接删除原有80端口的HTTP绑定，保留HTTP访问入口
• 如需强制跳转HTTPS，安装IIS的URL重写模块，添加跳转规则：匹配所有HTTP请求，跳转到HTTPS对应地址，返回码选301或302即可，跳转规则不会影响站点正常响应
• 所有配置完成后，先单独访问每个站点的HTTPS地址验证内容加载正常、证书有效，再逐步开启强制跳转

注意事项 #

• Let's Encrypt证书有效期为90天，配套客户端会自动创建系统定时任务续期，无需手动操作
• 多站点绑定证书时如果使用泛域名证书，需要提前完成域名DNS验证，可大幅降低证书管理成本
• 所有配置操作建议在业务低峰期执行，每完成一个站点的HTTPS配置立即验证可用性，出现问题可直接回滚到之前的IIS配置备份

内容的提问来源于stack exchange，提问作者hii