网络安全CLI后端【免费下载链接】certbotCertbot is EFFs tool to obtain certs from Lets Encrypt and (optionally) auto-enable HTTPS on your server. It can also act as a client for any other CA that uses the ACME protocol.项目地址https://gitcode.com/gh_mirrors/ce/certbot点击查看免费下载Certbot 的certbot-dns-gehirn插件通过 Gehirn Infrastructure ServiceGIS的 DNS API自动创建并删除 TXT 记录来完成 ACMEdns-01挑战从而为域名签发通配符证书。本文以该插件的官方文档为核心结合仓库源码certbot-dns-gehirn/src/certbot_dns_gehirn/_internal/dns_gehirn.py讲解安装、凭据配置、命令行参数与常见用法读完即可在 GIS 托管的 DNS 环境中一键签发并自动续期证书。插件定位用 DNS API 自动完成 dns-01 挑战certbot-dns-gehirn是 Certbot 生态中面向 Gehirn Infrastructure Service 的 DNS 认证器DNS Authenticator插件。它的核心职责是在 ACMEdns-01挑战acme.challenges.DNS01过程中通过 Gehirn 的 DNS API 为待验证域名创建 TXT 记录待验证完成后立即删除该记录全程无需人工干预。这一点在插件模块文档字符串中有明确说明见 certbot-dns-gehirn/src/certbot_dns_gehirn/init.pyThecertbot_dns_gehirnplugin automates the process of completing adns-01challenge by creating, and subsequently removing, TXT records using the Gehirn Infrastructure Service DNS API.使用dns-01挑战的核心价值在于它不依赖 80/443 端口对外可访问因此非常适合签发通配符证书Wildcard Certificate以及那些 Web 服务无法直接暴露 HTTP 验证路径的场景。从源码结构看该插件在 pyproject.toml 中通过certbot.pluginsentry point 注册为dns-gehirn由certbot_dns_gehirn._internal.dns_gehirn:Authenticator类实现。安装与启用前提该插件并非 Certbot 默认安装需要单独安装。官方文档建议前往 certbot.eff.org 的 Wildcard 标签页按系统环境选择安装方式在常规 Python 环境下直接使用 pip 安装即可pip install certbot-dns-gehirn从 setup.py 可以看到该插件的运行时依赖dns-lexicon3.14.1底层与各类 DNS 提供方 API 交互的 Lexicon 库acme当前插件版本与certbot当前插件版本与 Certbot 主程序版本保持对齐仓库注释说明了这一做法见 issue 8761 的讨论背景。插件对 Python 版本要求为3.10见 pyproject.toml声明支持 Python 3.10~3.14并标记为 Production/Stable。安装完成后可通过certbot plugins命令确认插件已被识别。命令行参数该插件提供两个专属命令行参数官方文档certbot-dns-gehirn/src/certbot_dns_gehirn/init.py中的完整说明如下参数说明是否必填--dns-gehirn-credentialsGehirn Infrastructure Service 凭据 INI 文件的路径必填--dns-gehirn-propagation-seconds在请求 ACME 服务器验证 DNS 记录前等待 DNS 传播的秒数可选默认值 30参数解析逻辑定义在 Authenticator.add_parser_arguments 中它先调用基类LexiconDNSAuthenticator.add_parser_arguments默认传播等待时间为 30 秒再注册credentials参数classmethod def add_parser_arguments(cls, add, default_propagation_seconds: int 30) - None: super().add_parser_arguments(add, default_propagation_seconds) add(credentials, helpGehirn Infrastructure Service credentials file.)其中propagation-seconds尤其值得注意TXT 记录写入 GIS 的权威 DNS 后需要一定时间在互联网上传播ACME 服务器才能查询到。若默认的 30 秒不够或你想加快验证可通过该参数调整下文示例三展示了设置为 60 秒的用法。配置凭据文件使用该插件必须提供包含 GIS DNS API 凭据的 INI 文件凭据需要登录 Gehirn Infrastructure Service 控制台即源码中的DASHBOARD_URL常量获取。官方文档给出的凭据文件示例如下# Gehirn Infrastructure Service API credentials used by Certbot dns_gehirn_api_token 00000000-0000-0000-0000-000000000000 dns_gehirn_api_secret MDAwMDAwMDAwMDAwMDAwMDAwMDAwMDAwMDAwMDAw字段与源码中的 provider 选项一一对应。在 dns_gehirn.py 的构造函数中插件通过_add_provider_option注册了两个 API 凭据项api-token凭据文件字段dns_gehirn_api_token映射到 Lexicon provider 的auth_tokenapi-secret凭据文件字段dns_gehirn_api_secret映射到 Lexicon provider 的auth_secret。凭据文件的提交方式与安全要求凭据文件路径有两种提供方式交互式运行 certbot 时按提示输入命令行通过--dns-gehirn-credentials参数显式指定。官方文档特别强调Certbot 只记录该文件的路径供续期时使用不会存储文件内容本身。关于安全性官方文档给出明确的警告caution与权限检查说明这些内容必须认真对待请像保护 GIS 账户密码一样保护这些 API 凭据能读取该文件的用户可以利用凭据以你的名义发起任意 API 调用能让 Certbot 使用这些凭据运行的用户可以完成dns-01挑战为相关域名获取新证书或吊销已有证书——即使这些域名并非由当前服务器管理Certbot 在检测到凭据文件可被系统其他用户访问时会输出形如Unsafe permissions on credentials configuration file后跟文件路径的警告该警告每次使用凭据文件时都会输出包括续期过程且无法静默唯一的解决办法是修复权限问题例如用chmod 600将文件权限收紧到仅属主可读写。典型的安全化做法是mkdir -p ~/.secrets/certbot # 编辑凭据文件后收紧权限 chmod 600 ~/.secrets/certbot/gehirn.ini实际使用示例官方文档提供了三个可直接照抄的命令行示例。示例一为单个域名签发证书certbot certonly \ --dns-gehirn \ --dns-gehirn-credentials ~/.secrets/certbot/gehirn.ini \ -d example.com示例二为多个域名签发一张证书certbot certonly \ --dns-gehirn \ --dns-gehirn-credentials ~/.secrets/certbot/gehirn.ini \ -d example.com \ -d www.example.com使用certonly子命令只获取证书、不做服务器自动配置-d可重复传入将多个域名合并进同一张证书SAN 证书。示例三延长 DNS 传播等待时间certbot certonly \ --dns-gehirn \ --dns-gehirn-credentials ~/.secrets/certbot/gehirn.ini \ --dns-gehirn-propagation-seconds 60 \ -d example.com当你遇到验证失败如 ACME 服务器查询 TXT 记录超时时可逐步调大--dns-gehirn-propagation-seconds重试。配合通配符域名时典型用法是-d *.example.com。源码级原理Authenticator 如何工作从源码结构看certbot-dns-gehirn的实现非常轻量核心类Authenticator直接继承自 Certbot 的通用 Lexicon 认证器基类LexiconDNSAuthenticator定义于 certbot/src/certbot/plugins/dns_common_lexicon.py因此继承了完整的dns-01挑战处理流程perform/cleanup 阶段创建与删除 TXT 记录。插件自身只声明差异点class Authenticator(dns_common_lexicon.LexiconDNSAuthenticator): description Obtain certificates using a DNS TXT record \ (if you are using Gehirn Infrastructure Service for DNS). property def _provider_name(self) - str: return gehirn_provider_name返回gehirn让基类在 Lexicon 中定位对应的 provider 实现构造函数中通过_add_provider_option完成api-token/api-secret到 Lexiconauth_token/auth_secret的映射more_info()用于在certbot plugins列表中展示插件用途。值得单独一提的是_handle_http_error的重写dns_gehirn.pydef _handle_http_error(self, e: HTTPError, domain_name: str) - Optional[errors.PluginError]: if domain_name in str(e) and (str(e).startswith(404 Client Error: Not Found for url:)): return None # Expected errors when zone name guess is wrong return super()._handle_http_error(e, domain_name)其作用是对zone 名称猜测错误时出现的 404 错误做宽容处理返回None表示可忽略让基类的 zone 猜测逻辑可以继续尝试其他候选 zone而不是直接中断。这属于从代码注释可确认的实现事实Expected errors when zone name guess is wrong。插件的完整工作流程可概括为Certbot 发起dns-01挑战 → 插件通过 Lexicon 调用 GIS API 写入_acme-challengeTXT 记录 → 等待--dns-gehirn-propagation-seconds秒 → ACME 服务器验证记录 → 插件删除 TXT 记录 → 签发证书。这一创建→等待→验证→清理闭环由基类LexiconDNSAuthenticator统一编排插件只需提供凭据映射与 provider 名称。测试与验证仓库为插件提供了单元测试certbot-dns-gehirn/src/certbot_dns_gehirn/_internal/tests/dns_gehirn_test.py。测试类AuthenticatorTest同时继承test_util.TempDirTestCase与dns_test_common_lexicon.BaseLexiconDNSAuthenticatorTest后者是 Certbot 为所有 Lexicon 系 DNS 插件准备的通用测试基类覆盖凭据文件解析、TXT 记录创建/删除、传播等待、错误处理等标准行为。测试要点包括在临时目录写入包含gehirn_api_token与gehirn_api_secret的 INI 文件验证凭据读取测试配置中将gehirn_propagation_seconds置为 0避免测试期间实际等待注释 dont wait during tests构造了404 Client Error: Not Found对应 zone 猜测错误与401 Client Error: Unauthorized对应登录失败两类 HTTP 错误场景验证_handle_http_error的分支行为。若想本地运行测试可在仓库根目录下执行需先安装插件及其 test 依赖cd certbot-dns-gehirn python -m pytest src/certbot_dns_gehirn/_internal/tests/续期与注意事项续期自动化由于dns-01挑战无需开放端口、无需停机插件签发的证书可配合 cron/systemd timer 全自动续期。续期时 Certbot 会依据记录下来的凭据文件路径重新读取凭据因此务必保证该路径长期有效且权限安全。凭据泄漏风险再次强调官方文档的警告——任何人只要能读取凭据文件或驱动 Certbot 以该凭据运行就可能为相关域名签发或吊销证书请始终以chmod 600收紧权限。权限警告不可静默一旦凭据文件权限不安全Certbot 每次使用含续期都会输出 Unsafe permissions on credentials configuration file 警告只能通过修复权限消除。参考文档插件官方文档Sphinx 生成源certbot-dns-gehirn/docs/index.rst 与 certbot-dns-gehirn/docs/api.rst插件模块文档与全部示例 certbot-dns-gehirn/src/certbot_dns_gehirn/init.py核心实现certbot-dns-gehirn/src/certbot_dns_gehirn/_internal/dns_gehirn.py单元测试certbot-dns-gehirn/src/certbot_dns_gehirn/_internal/tests/dns_gehirn_test.py基类实现certbot/src/certbot/plugins/dns_common_lexicon.py打包与依赖声明certbot-dns-gehirn/pyproject.toml、certbot-dns-gehirn/setup.py赞分享网络安全CLI后端【免费下载链接】certbotCertbot is EFFs tool to obtain certs from Lets Encrypt and (optionally) auto-enable HTTPS on your server. It can also act as a client for any other CA that uses the ACME protocol.项目地址https://gitcode.com/gh_mirrors/ce/certbot点击查看免费下载相关推荐Certbot DNS-01 认证插件 certbot-dns-route53 实战指南基于 AWS Route 53 自动签发通配符证书Certbot DNS 01 认证插件 certbot dns route53 实战指南基于 AWS Route 53 自动签发通配符证书 本指南围绕 Cer网络安全CLI后端机械键盘按键重复触发QMK 消抖 5 分钟调对机械键盘按键重复触发QMK 消抖 5 分钟调对 QMK Firmware 是开源的机械键盘固件跑在 AVR/ARM 芯片上。装好之后遇到一类老毛病按一下后端微服务存储认证鉴权certbot-dns-nsone 插件实战使用 NS1 DNS 自动完成 dns-01 验证并签发通配符证书certbot dns nsone 插件实战使用 NS1 DNS 自动完成 dns 01 验证并签发通配符证书 本指南围绕 Certbot 官方 DNS 插件网络安全CLI后端创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考