简介win-acme 是一款面向 Windows 平台的免费 SSL 证书自动获取与部署工具主要服务于网站管理员、系统集成商以及需要快速配置 HTTPS 的个人站长能够自动从 Lets Encrypt 等证书颁发机构申请证书并部署到 IIS、nginx 等主流 Web 服务器解决了手动申请与更新证书流程繁琐、容易遗漏续期的问题。该 zip 压缩包共包含 28 个文件总大小约 35.58MB主体为 21 个 PowerShell 脚本配合 2 个 bat 批处理文件以及 txt、dat、xml、json 格式的配置与数据文件另有 wacs.exe 主程序作为核心执行入口其中脚本覆盖 DNS 验证、Exchange、RD Gateway、Kemp 负载均衡、Azure 应用网关等多种服务器场景可显著简化证书导入与续期操作也能减少不同环境下重复配置的工作量。目前已有 359 人学习下载。借助这份资源用户无需等待官网慢速下载即可获得一套相对完整的证书管理工具链结合内置脚本与配置模板能够根据自身环境灵活选择自动化策略有效降低 SSL 证书生命周期内的维护成本和技术门槛。 凌晨两点被电话叫醒客户那边网站全红了——证书过期浏览器直接拦下。这事我遭遇过不止一次。后来我在所有Windows服务器上统一换成了win-acme这个开源的ACMEv2客户端才算是把这块心病去掉。当时用的版本就是标题里这个 win-acme.v2.2.9.1701.x64.pluggable.zip64位可插拔插件版。它是Windows平台上一个非常成熟的免费SSL证书自动申请、自动续期工具底层走ACMEv2协议默认对接Lets Encrypt这类免费CA也可以配置其他支持ACME的CA服务。你只需要把zip解压到服务器上跑一遍向导之后证书的签发、安装、续期基本都是自动的。这篇文章把我从选型、部署到踩坑的完整过程写一遍给还在手动维护证书的同行一个参考。1. Windows服务器上的HTTPS证书管理到底难在哪先说一个很多人不以为意的事实现在Lets Encrypt签发的证书有效期只有90天一年至少得续4次。如果你管着三五个站点、跨两三台服务器手动维护的工程量一下就上来了。早期我维护证书的方式很“原始”先在服务器上生成CSR然后找一个CA网站提交域名验证等邮件审核通过再下载证书文件打开mmc证书管理单元导入到本机最后去IIS里给站点重新绑定证书。遇到通配符证书还得先处理DNS验证的TXT记录。这一套做完快则半小时慢则大半天。关键这活儿没有任何技术含量纯机械操作但就是不能出错出了错线上直接事故。Windows平台更尴尬的是Linux那边有certbot这种近乎标准的自动化方案Windows生态里却没有同样普及度的一站式工具。网上搜“Windows自动申请SSL证书”出来的方案五花八门有写PowerShell脚本配合计划任务的有直接用openssl手工跑ACME的还有靠第三方面板的。我早年也试过自己写PowerShell脚本但坑很多。脚本里处理IIS绑定要把WebAdministration模块加载好处理证书导入要操作X509Store稍微一个权限没给够就失败。写出来之后看似自动化了实际上每次环境变化都要跟着改脚本维护成本一点都不低。还有一个最大的隐性成本人不可能永远记得住续期时间。尤其是“90天”这个周期卡在中间——你说忙吧它确实每年只要搞4次你说不忙吧随便一忙就把这事抛到脑后。我认识不少运维同行都栽在这上面不是不会配证书是真忘了续期。win-acme这类工具解决的核心问题并不是“帮你跑一次”而是“到点了自动跑跑完还告诉你结果”这跟手动维护是两种完全不同的体验。所以在我看来Windows服务器上装一个靠谱的ACME自动化客户端不是锦上添花而是运维的基本配置。除非你只维护一台服务器、一个站点且永远记得住续期这件事否则不值得拿线上的稳定性去赌记忆力。2. win-acme核心机制ACMElv2客户端如何工作要把它用好还是得先弄明白它底层的ACMEv2协议是怎么运转的。ACME全称是Automated Certificate Management Environment说白了就是一个“自动申请证书”的标准协议。客户端和CA服务器之间通过HTTPS接口对话走四步客户端生成一个账户密钥对在CA那注册一个账户。提交域名订单CA返回几个“验证挑战”目的是证明你确实拥有这个域名。客户端完成其中任一个挑战CA就能确认域名控制权在你手里。CA签发证书客户端下载回来并落地安装。win-acme就是把这个流程封装成了Windows下的可交互工具。你去运行它它给你菜单你选域名、选验证方式、选安装目标剩下的全部由它和CA自动沟通。它本质上是一个封装得很好的ACME客户端帮我们把密钥生成、CSR提交、挑战响应、证书下载这些底层协议细节全藏起来了。验证方式这块win-acme支持三种主流挑战我做了个对比表方便你根据场景选验证方式原理适用场景前置条件HTTP-01CA回访你域名的80端口访问临时验证文件普通网站证书申请80端口可被公网访问DNS-01在域名的DNS记录里添加TXT记录通配符证书、内网服务器、不能开80端口能操作DNS解析或调用DNS服务商APITLS-ALPN-01在443端口用特定TLS扩展完成验证只有443端口开放的场景443端口可被公网访问个人建议如果你只是给IIS上的网站申请普通HTTPS证书优先用HTTP-01因为它不用碰DNS服务商的API权限流程最简单。如果要用通配符证书比如 *.example.com 这种那只能走DNS-01因为它需要在顶级域的DNS区域里配TXT记录。win-acme对DNS-01的支持也不错它内置了一批常用DNS解析商的API插件像阿里云、腾讯云、Cloudflare这些都有对应的插件配置好API密钥就能自动添加和删除TXT记录完全不用手动去DNS后台点。另外提一嘴版本号的含义v2.2.9是主版本号1701是构建号x64说明是64位程序现在的Windows Server基本都是64位选这个没毛病pluggable则是“可插拔插件版”的意思和普通精简版trimmed相比它自带了完整的运行环境和一批外部插件解压即用。当时我选择pluggable就是图省事不想到服务器上再额外装运行时。3. 一篇文章讲透部署从解压zip到签发第一张证书部署win-acme其实非常无脑但有几个细节值得留意。第一步把下载的zip包传到服务器上找一个稳定的目录解压比如C:\Tools\win-acme。不建议放桌面或临时下载目录因为它要在那长期驻扎每60天左右跑一次续期任务路径不要随便动。解压后你会看到主程序文件 wacs.exe以及 settings.json全局配置和 win-acme.json证书注册配置这两个JSON文件。第一次运行前先确认服务器能正常访问外网的443端口也就是能访问到CA服务器。这个很关键不然第一步就卡住了。第二步右键以管理员身份运行 wacs.exe。首次启动如果检测到没有配置过账户它会先让你输入一个邮箱地址这个邮箱是注册ACME账户用的证书到期提醒也会发到这个地址。接着进入主菜单选 N新建证书然后输入你要签发的域名。这里注意域名要裸域名和www一起写因为浏览器访问习惯两者都有。第三步选择验证方式。前面说过最省事的是HTTP-01它会要求80端口能被公网访问。选择之后win-acme会自动在站点的webroot里放一个临时验证文件等CA确认完再删掉。如果你的站点跑在IIS上win-acme能自动识别IIS的站点和绑定直接帮你选择用哪个站点来做验证这是一大便利。第四步选择安装方式。如果证书要装到IIS站点就选IIS相关的安装插件它会自动把证书导入到系统证书库并且绑定到指定的站点。装完之后浏览器访问一下就能看到绿色小锁了。如果你更习惯命令行win-acme也支持非交互式模式。比如下面这个示意命令作用是给一个域名申请证书走HTTP验证签下来之后安装到IIS所有绑定该域名的站点上wacs.exe --source manual --host example.com --validation http --install iis具体的参数名和开关建议先跑一下wacs.exe --help以你下载版本的帮助输出为准。我在实际运维中倾向于先用交互式跑通一次之后续期、更新都走计划任务自动完成命令行主要用于批量操作或脚本编排。还有一点值得说证书签发成功后默认情况下会在C:\ProgramData\win-acme\certificates目录下生成证书文件包含cer、pfx、crt等格式别乱删后续导入或迁移服务器都用得上。4. 自动续期不是挂个计划任务那么简单很多人以为“自动续期”就是把wacs.exe注册成计划任务就行实际上win-acme的续期逻辑再往前了一步它会周期性检查每个已签发证书的剩余可用天数如果剩余时间低于阈值才去真正执行续期动作如果距离过期还远就静默跳过。这样避免每次计划任务都跟CA服务器做无意义的通信。win-acme在部署时就会尝试自动注册一个Windows计划任务任务名包含win-acme关键字。注册好之后默认大概是每天或每隔几天触发一次检查具体频率和剩余天数阈值可以在settings.json里调。我习惯保留默认实际运行效果已经很稳。但续期任务注册完之后有一件事经常被忽略续期只是“重新签发了证书”并不等于“目标服务已经加载了新证书”。比如证书是装在IIS站点上的续期好之后IIS不一定立刻重载。win-acme的IIS安装插件在续期完成后通常会主动帮刷新站点绑定但如果你装的是Tomcat、Nginx、或者自研服务就得靠额外的“安装插件”或后续脚本来让它重新加载证书。我在一台跑Java服务的服务器上就吃过这个亏证书文件按时更新了但Java进程一直用的还是内存里的旧证书直到我手动重启服务才生效。后来我改用win-acme的脚本插件在续期完成后自动调用Tomcat的reload接口才算彻底解决。另一个值得注意的点是续期结果的通知。win-acme支持配置在续期完成后执行外部程序官方推荐的方式是写一个小脚本。比如你可以写一个PowerShell脚本把续期结果的summary追加到一个日志文件里再通过自己公司已有的监控系统抓取这个文件的最后修改时间也可以直接在脚本里调企业微信/钉钉的webhook把“证书已续期”或“续期失败”发到群里。我的做法是发到监控群里这样第二天早上看手机就能确认所有服务器的证书状态不用一台台远程登录进去看。续期这环节最大的风险其实是“计划任务被干掉”。Windows Server上装一些安全软件或系统优化工具后win-acme的计划任务偶尔会被当成无用项清理掉。我遇到过一次检查才发现计划任务列表里空了等于续期链路直接断掉。所以建议每季度手动看一眼任务计划程序里win-acme那个任务还在不在顺手在下次触发时间上确认一下。5. pluggable插件的实际用法与扩展思路标题里的pluggable是win-acme这个版本的核心亮点。它的插件体系分为两类验证插件和安装插件。验证插件解决“怎么证明域名是我的”安装插件解决“证书签发下来后装到哪、怎么生效”。这套插拔式架构最大的好处是主程序只做ACME协议的核心流程其他能力全部通过插件扩展你不需要的功能可以不装需要的高级功能装个插件就能上。我实际用下来比较常用的插件有以下几类DNS验证插件对接各家DNS服务商的API自动添加删TXT记录。我同时用过阿里云解析和Cloudflare的插件体验都不错。只需要在配置里填API密钥之后通配符证书的签发和续期全程不用碰DNS后台。IIS安装插件自动把证书导入Windows证书库并绑定到IIS站点。这是Windows服务器上最高频的一个安装插件。脚本插件续期成功后自动执行一段命令或脚本。这是最灵活的插件你可以用它来重启某个服务、把证书文件复制到内网其他机器、调API通知配置中心更新证书。Windows服务安装插件针对非IIS场景比如为自建Windows服务使用的证书提供安装能力。举个例子我有台内网负载均衡服务器它不直接对外开放但又需要一个有效的证书来终结HTTPS。win-acme本身只能装在有公网访问权的机器上完成签发于是我让一台公网服务器申请证书续期成功后通过脚本插件把pfx文件复制到负载均衡服务器的指定目录再触发一下那边的reload脚本。这个链路完全是自动的证书更新到新机器通常不超过一分钟。如果你有定制需求win-acme的插件接口是开放的你可以参照已有插件的实现写一个自定义dll丢到对应目录它就能在主界面里识别出来。不过这个门槛略高需要熟悉.NET编程对大多数运维场景来说用好官方插件和脚本插件就足够了。最后说一个关于pluggable版本的取舍。功能全确实方便但插件多也意味着程序体积大、组件依赖多。如果服务器环境受限或者你只需要最基础的单站点HTTP验证选trimmed精简版也是合理的。就我自己的服务器来说几乎每台都有通配符需求或多站点需求所以pluggable版是最稳妥的选择。6. 我踩过的坑和排查过程坑是肯定踩过的这里写几个典型的附带我当时的排查链路供你少走弯路。第一个是HTTP-01验证一直失败。现象win-acme里提示验证未通过CA服务器访问不到验证文件。我第一时间检查了网站根目录文件确实生成了浏览器直接访问那个路径也能打开。问题出在哪排查到第二步才找到腾讯云服务器安全组里没放行80端口的入站规则。ACME的HTTP-01验证是由CA的验证服务器从外部回访你的80端口如果云安全组或服务器防火墙挡了80哪怕你本地访问正常验证依然失败。这个坑很典型新服务器上线尤其容易忘。第二个是通配符证书DNS-01验证失败。我当时用的是阿里云DNS插件错误日志提示添加TXT记录失败。排查过程是先看win-acme日志确认它已经调用了阿里云API再登录阿里云控制台看RAM子账号权限结果发现子账号没有dns编辑权限只给了只读权限。这个提醒我DNS插件需要API密钥具备添加和删除解析记录的权限缺了它通配符证书就是签不下来。第三个是续期后网站还是旧证书。现象是日志显示续期成功但浏览器访问仍是旧证书。我当时的排查顺序是先确认证书目录文件时间戳发现确实更新了然后检查IIS绑定发现绑定指向的证书仍是旧的最后手动在IIS里刷新站点绑定后才正常。后来我才意识到IIS的安装插件在某些情况下不会强制重绑所有相关站点它在命令行续期模式下如果没有正确识别站点就会跳过绑定动作。解决办法是续期任务的参数里显式指定安装插件和站点或者干脆加一个脚本续期完成后执行iisreset避开业务高峰。顺带说一句不要随意在生产环境频繁iisreset最好用刷新绑定或重启对应应用池的方式。第四个坑是服务器时间偏移。证书签发过程中涉及签名校验客户端时间和CA服务器时间偏差过大时签名可能被判定为无效或请求被拒绝。这个坑不那么常见但一旦碰到很隐蔽日志里报的错也不直观。排查方式很简单w32tm /query /status看一下系统时间源发现服务器时间慢了五分钟同步之后重新签发就好了。Windows服务器建议一直开着自动同步时间这不是小事。第五个坑和计划任务有关。前面提过安全软件把win-acme的计划任务给清理了这类问题的特点是你很久没去看直到证书快过期才发现。排查方式就是打开任务计划程序搜win-acme如果任务不在了用wacs.exe重新注册一次。为避免以后再被误删我通常把计划任务的触发条件和运行账户信息截图存档万一被清理能快速重建。日志是排查这些问题的最重要帮手。win-acme会在自己的日志目录里按日期记录详细输出遇到问题先打开日志定位是协议交互阶段、挑战验证阶段还是本地安装阶段基本就能锁定方向。不要一上来就怀疑DNS解析日志会告诉你真正的问题在哪个环节。说句实在话win-acme这套工具用了一年多帮我省下的时间远超我最初安装它的那半小时。现在我大半年都不用碰证书最多是在续期通知里扫一眼“已续期”的状态。如果你还没把手动证书流程替换掉建议挑一台非核心服务器先试一次跑通之后你会回来感谢这个工具的。本文还有配套的精品资源点击获取